连接认证: 配置

在队列管理器对象上，可以将 CONNAUTH 属性设置为认证信息 (AUTHINFO) 对象的名称。 此对象可以是以下两种类型之一 (AUTHTYPE 属性):

IDPWOS

指示队列管理器使用本地操作系统来认证用户标识和密码。

IDPWLDAP

指示队列管理器使用 LDAP 服务器来认证用户标识和密码。

要检查本地连接，请使用 AUTHINFO 属性 CHCKLOCL (检查本地连接)。 要检查客户机连接，请使用 AUTHINFO 属性 CHCKCLNT (检查客户机连接)。 必须先刷新配置，然后队列管理器才能识别更改。

ALTER QMGR CONNAUTH(USE.PW)
DEFINE AUTHINFO(USE.PW) +
AUTHTYPE(IDPWOS) +
FAILDLAY(10) +
CHCKLOCL(OPTIONAL) +
CHCKCLNT(REQUIRED)
REFRESH SECURITY TYPE(CONNAUTH)

其中 CONNAUTH 中的 USE.PW 是与 AUTHINFO 定义匹配的字符串。

CHCKLOCL 和 CHCKCLNT 都具有相同的一组可能的值，这些值允许更改检查的严格性:

NONE

关闭检查。

可选

确保如果用户标识和密码由应用程序提供，那么它们是有效的对，但并非必须提供这些用户标识和密码。 例如，在迁移期间，此选项可能很有用。

要点: OPTIONAL 是您可以设置的最小值，以便使用更严格的 CHLAUTH 规则。

如果选择 NONE ，并且客户机连接与 CHCKCLNT REQUIRED (或 z/OS®以外的平台上的 REQDADM ) 的 CHLAUTH 记录匹配，那么连接将失败。 您在除 z/OS以外的平台上接收到消息 AMQ9793 ，在 z/OS上接收到消息 CSQX793E 。

Required

要求所有应用程序提供有效的用户标识和密码。 另请参阅以下注释。

REQDADM

特权用户必须提供有效的用户标识和密码，但非特权用户被视为具有 OPTIONAL 设置。 另请参阅以下注释。 (在 z/OS 系统上不允许此设置。)

例如，可以将整体 CHCKCLNT 值设置为 OPTIONAL，然后通过在 CHLAUTH 规则中将 CHCKCLNT 设置为 REQUIRED 或 REQDADM ，将其升级为对特定通道更严格。 缺省情况下， CHLAUTH 规则将与 CHCKCLNT(ASQMGR) 一起运行，因此不必使用此粒度。 例如：

DEFINE AUTHINFO(USE.PW) AUTHTYPE(xxxxxx) +
CHCKCLNT(OPTIONAL)
SET CHLAUTH('*') TYPE(ADDRESSMAP) +
ADDRESS('*') USERSRC(CHANNEL) +
CHCKCLNT(REQUIRED)
SET CHLAUTH('*') TYPE(SSLPEERMAP) +
SSLPEER('CN=*') USERSRC(CHANNEL)

如果应用程序在需要时未提供用户标识和密码，或者提供了不正确的组合 (即使该组合是可选的) ，那么将记录错误。

该错误以多种方式记录:

应用程序

将返回标准 IBM MQ 安全性错误 RC2035 -MQRC_NOT_AUTHORIZED。

管理员

IBM MQ 管理员会看到错误日志中报告的事件，因此可以看到应用程序已被拒绝，因为用户标识和密码未能通过检查，而不是因为例如没有连接权限。

监测工具

如果通过向 SYSTEM.ADMIN.QMGR.EVENT 队列:

ALTER QMGR AUTHOREV(ENABLED)

此 "未授权" 事件是类型 1 连接事件，并提供与其他类型 1 事件相同的字段以及提供的附加字段 MQCSP 用户标识。 事件消息中未提供密码。 这意味着事件消息中有两个用户标识: 应用程序运行所使用的标识以及应用程序为用户标识和密码检查提供的标识。

您可以配置队列管理器，以要求某些应用程序提供用户标识和密码，因为应用程序打开队列以进行输出时，应用程序运行所使用的用户标识可能不是应用程序提供的用户标识以及密码，例如:

ALTER QMGR CONNAUTH(USE.PWD)
DEFINE AUTHINFO(USE.PWD) +
AUTHTYPE(xxxxxx) +
CHCKLOCL(OPTIONAL) +
CHCKCLNT(REQUIRED) +
ADOPTCTX(YES)

如何处理用户标识和密码由认证信息对象上的 ADOPTCTX 属性控制。

ADOPTCTX (是)

将使用您通过密码认证的用户标识对应用程序进行所有授权检查，方法是选择在连接的剩余时间内采用上下文作为应用程序上下文。

注意: 使用 ADOPTCTX (YES) 和操作系统用户标识时，必须确保所采用的用户标识不超过用户标识的最大长度。 请参阅 用户标识 以获取更多信息。

ADOPTCTX (NO)

应用程序提供用户标识和密码以用于在连接时对其进行认证，但随后继续使用应用程序运行时所使用的用户标识进行将来的授权检查。 如果您计划使用其他机制 (例如通道认证记录) 来分配 消息通道代理程序用户标识 (MCAUSER)，那么您可能会发现此选项在迁移时很有用。

SET CHLAUTH('MY.CHLAUTH') TYPE(ADDRESSMAP) DESCR('Block all access by
default') ADDRESS('*') USERSRC(NOACCESS) ACTION(REPLACE)
SET CHLAUTH('MY.CHLAUTH') TYPE(USERMAP) DESCR('Allow user bob and force
CONNAUTH') CLNTUSER('bob') CHCKCLNT(REQUIRED) USERSRC(CHANNEL)

runmqsc -c -u bob QMGR