java - C# MQ Connect 出现错误 2035，但 Java MQ Connect 运行良好

Question

我用 C# 编写了一个 MQ 7.5 连接例程，如下所示，但收到“2035”错误

using IBM.WMQ;
namespace ConsoleApplication1
{
    class Program
    {
        static void Main(string[] args)
        {
            try
            {
                MQEnvironment.Hostname = "192.168.163.63";
                MQEnvironment.Port = 1418;
                MQEnvironment.UserId = "mq";
                MQEnvironment.Password = "mq";
                MQEnvironment.Channel = "ServerChannel";

                MQQueueManager queueManager = new MQQueueManager("QueueManager1418");
            } catch (Exception ex)
            {
                Console.WriteLine(ex.Message);
        }
            Console.ReadKey();
        }
    }
}

同时/同一台机器我写了下面的 JAVA MQ 连接，效果很好!

import com.ibm.mq.MQEnvironment;
import com.ibm.mq.MQQueueManager;

public class Program {
    public static void main(String[] args) {
        MQEnvironment.hostname = "192.168.163.63";
        MQEnvironment.port = 1418;
        MQEnvironment.userID = "mq";
        MQEnvironment.password = "mq";
        MQEnvironment.channel = "ServerChannel";
        try{
            MQQueueManager queueManager = new MQQueueManager("QueueManager1418");
            System.out.println("Connected");
        }catch (Exception ex){
            System.out.println(ex.getMessage());
        }
    }
}

我能做什么？

Answer 1

在 Java 中，当您将 MQEnvironment.userID 设置为某个值时，该值实际上会作为断言的用户 ID 传递到 MQ 队列管理器。

在 C# 中，当将 MQEnvironment.UserId 设置为某个值时，该值不会传递到 MQ 队列管理器，而是将运行 C# 进程的 ID 作为断言的用户 ID 传递。

如果没有被其他配置(例如将其映射到另一个 ID 的 SVRCONN channel 的 MCAUSER 或 CHLAUTH 规则)覆盖，MQ 将使用断言用户来确定您拥有的授权。

使用您的 Java 应用程序，您发送 mq 作为断言的用户 ID，这可能具有连接到队列管理器的适当权限，例如 +connect +dsp。

使用您的 C# 应用程序，您可以发送正在运行进程的用户 ID，并且该用户 ID 可能没有具有连接到队列管理器的适当权限。

这表明您的 MQ SVRCONN channel 具有空白的 MCAUSER 并且没有 CHLAUTH 规则来覆盖此值。

解决此问题的一种方法是将 SVRCONN channel 的 MCAUSER 设置为 mq。这可以通过诸如 ALTER CHL(ServerChannel) CHLTYPE(SVRCONN) MCAUSER('mq') 之类的命令来完成。然后，这将覆盖断言的用户 ID，并且 MQ 将始终使用用户 ID mq 来确定您拥有的授权，除非您具有将其映射到其他用户 ID 的 CHLAUTH 规则。

如果将其留空，那么任何人都可以轻松断言任何用户 ID。如果您没有禁用 CHLAUTH 并且没有更改新 MQ 7.1 或更高版本队列管理器上的任何默认 CHLAUTH 规则，则默认情况下将阻止具有 MQ 管理员权限的用户 ID 进行连接。如果您确实禁用了 CHLAUTH 或删除了阻止具有 MQ 管理员权限的用户 ID 的规则，那么任何人都可以断言具有 MQ 管理员权限的用户 ID。

我建议您阅读有关 MQ 安全性的更多内容，以决定如何进一步保护 MQ 队列管理器的安全。如果您还有其他问题，请使用标签 ibm-mq 将其作为新问题发布在 Stackoverflow 上。由许多具有 MQ 知识的人员(有些甚至来自 IBM)监控。

您可以在T.Rob's website查看许多优秀的MQ安全相关演示。 .

Capitalware 每年赞助 MQ 技术 session ，前几年的 session (其中许多与 MQ 安全相关)都存档在 MQTC v2.0.1.7's Sessions Page 下(查看之前的 MQTC session 下的底部)。