ibm-mq - WebSphere MQ channel 访问安全性问题

Question

考虑以下队列定义:

SET AUTHREC OBJTYPE(QMGR) GROUP('mq-user') AUTHADD(INQ,DSP,CONNECT)

SET AUTHREC PROFILE(SYSTEM.MQEXPLORER.REPLY.MODEL) OBJTYPE(QUEUE) GROUP('mq-user') AUTHADD(INQ,DSP,GET)

SET AUTHREC PROFILE(SYSTEM.ADMIN.COMMAND.QUEUE) OBJTYPE(QUEUE) GROUP('mq-user') AUTHADD(INQ,DSP,PUT)

DEFINE CHANNEL ($cname) CHLTYPE (SVRCONN) TRPTYPE (TCP) MCAUSER('tcs-mq-user') REPLACE

SET CHLAUTH($cname) TYPE(ADDRESSMAP) ADDRESS(*) MCAUSER('tcs-mq-user')

DEFINE CHANNEL和SETCHLAUTH中的MCAUSER是什么意思？

tcs-mq-user应该属于mq-user组吗？

这是否意味着只有tcs-mq-user可以在绑定(bind)模式下访问队列管理器？现在，如果我想以绑定(bind)模式授予其他用户访问权限，我应该为该用户创建另一对DEFINE CHANNEL和SET CHLAUTH命令吗？

是否可以将 channel 访问权限授予mcs-user组？

Answer 1

好的，答案已经开始销售，今天就买一送三! :-)让我们按顺序整理这些...

1.A. channel 的MCAUSER值是执行授权检查所依据的ID。如果DEFINE CHL() CHLTYPE(SVRCONN)将MCAUSER留为空白，则连接的客户端可以指定其希望连接的ID。如果未指定，则WMQ客户端会尝试使用客户端用户的ID(从运行客户端应用的工作站看到)，并显示该ID。在 channel 定义中设置MCAUSER会阻止客户端应用指定值。

1.B. ADDRESSMAP规则中的MCAUSER用于基于一些标识条件来映射MCAUSER。它说“，如果，则连接以指定的IP地址到达此 channel |用户名| SSL专有名称然后，使用此ID作为MCAUSER ，并且允许该 channel 在没有其他规则阻止的情况下运行。

建议如果使用CHLAUTH映射规则，通常是将 channel 的MCAUSER设置为不可能是用户ID的值，因此它将不会运行。这样，除非CHLAUTH规则将MCAUSER覆盖为旨在允许访问的值，否则 channel 将默认为安全状态。 MCAUSER的典型值曾经是nobody，直到Hursley Lab的WMQ战略家Mark Taylor建议使用不能是实际用户ID的值，例如no#body。从WMQ V7.1开始，值*NOACCESS是保留的工作，这是我最近在 session 演示中使用的值。

2. 是。 WMQ基于组进行授权。标准建议是将您的安全要求分解为“admin”，“app1”，“app2”，“monitoring”，“anonymous”等角色，然后为每个需要访问权限的角色创建一个组。

但是访问请求来自唯一标识的主体，而不是来自组。授权检查需要一个帐户进行检查，因此，按组存储授权权限时， channel 中的MCAUSER是ID。要将用户与正确的权限相关联，请在正确的组中注册他们。

这是支持职责分离的标准UNIX授权模型。资源管理员(WMQ管理员)授权组。帐户管理员将用户ID分组注册。这两个组都需要提供访问权限。在现实世界中，大多数商店不使用分工功能，但在相当大的情况下，这是强制性的。

3. 之类的。 V7.1或更高版本的默认QMgr根本不允许任何远程连接。这是因为创建时它没有AUTHREC规则，因此未授予非管理员访问权限。默认的CHLAUTH规则禁止管理员进行远程访问。

使用指定的规则，任何人都可以成功连接到$cname channel ，并将被授权为tcs-mq-user。如果希望他们以具有相同特权的其他用户ID身份进行连接，则需要将该ID添加到mq-user组，然后设置 channel 以映射显示的ID。如果您想强制某人连接，那么您必须按IP地址指定映射，或者最好根据其证书可分辨名称指定映射。

4. 否。如上面＃2所述，访问请求始终由委托(delegate)人而非组提出。 CHLAUTH规则，MCAUSER和专有名称映射的全部要点是解析 channel 用于授权检查的用户ID。 channel 定义的MCAUSER是该ID解析过程中的安全控件，因此它在ID而不是组上进行操作。

如果尚未找到该站点，则可能会发现T-Rob.net有用。特别是，在“链接”页面上，我发布了 session 的所有WMQ Security演示文稿以及指向我和其他作者的文章的链接。