security - rabbitmq-management 插件 HTTP API - 安全问题

Question

我想在我的生产环境中启用 RabbitMQ 管理插件，但我不确定这可能带来的安全问题。我已经有一些应用程序连接到 RMQ，因此现在无法更改凭据(我使用的是默认凭据)。

任何人都可以阐明这一点吗？我想知道我可能需要担心的所有事情以及我可以做些什么来最大程度地减少漏洞。

谢谢!

Answer 1

Management Plugin 使用credentials，这对大多数情况来说已经足够了，除非你希望它可以从外部访问。在这种情况下，iptables 是您的 friend 。此外，您可以通过 nginx(或 apache)代理 HTTP api 和管理接口(interface)，并使用额外的安全层，如基本身份验证。

如果您有点偏执(像我一样)，您可以结合所有 3 种方法以获得更多保护(并且可以从非常规位置(如免费 wifi 区域)轻松访问您的管理界面在您的服务器上应用流量控制时在机场，但这是非常不寻常的情况)。

更新:

注意:如果您的应用程序设计不当，并且在同一帐户下将日常工作与管理工作混合在一起，您可能会遇到一些麻烦。我建议你management plugin Permission section进一步阅读。

通常，从安全的角度来看，应用程序和管理工作的单独帐户以及禁用默认 guest 帐户(仅适用于外部或一般)是最佳选择。

如果您被迫使用默认的 guest 帐户，您可以禁用它的管理插件并创建单独的帐户仅用于管理。事实上，在最近的 RabbitMQ 版本中，它被禁止从外部访问。

为此，首先创建管理用户(带有administrator 标签的帐户)，确保它有效，然后通过删除它拥有的所有标签来更新guest 使用(实际上，删除 administrator 标签是 guest 帐户默认设置的唯一标签。

这是默认 guest 帐户的图片，并注明要删除的内容。