ユーザーおよび役割の構成

IBM® MQ Console または REST APIを使用するには、ユーザーは mqweb サーバーに定義されているユーザー・レジストリーに対して認証を行う必要があります。

1. 特権ユーザーであることを確認します。
2. 以下のいずれかのパスから、いずれかのサンプル XML ファイルをコピーします。
   • UNIX, Linux®, and Windowsの場合: MQ_INSTALLATION_PATH /web/mq/samp/configuration
   • z/OS®の場合: PathPrefix /web/mq/samp/configuration

     ここで、 PathPrefix は IBM MQ Unix System Services Components のインストール・パスです。

   • no_security.xml

     このサンプルは、HTTPS を使用して IBM MQ Consoleまたは REST API にアクセスする機能を含むセキュリティーを無効にします。

   • basic_registry.xml

     このサンプルは、ユーザーとグループの基本レジストリーを定義します。

     レジストリー内のユーザー名とパスワードは、 IBM MQ Console および REST APIのユーザーの認証と許可に使用されます。

   • 

     local_os_registry.xml

     このサンプルは、ローカル・オペレーティング・システムのユーザーおよびグループの使用を構成します。

     「mqm」グループのメンバーには MQWebAdmin 役割が付与され、その他のすべての認証ユーザーには MQWebUser 役割が付与されます。

     オペレーティング・システム・レジストリー内のユーザー名とパスワードは、 IBM MQ Console および REST APIのユーザーの認証と許可に使用されます。

   • ldap_registry.xml

     このサンプルは、ユーザーとグループの情報を検索する LDAP レジストリーへの接続を定義します。

     LDAP レジストリー内のユーザー名とパスワードは、 IBM MQ Console および REST APIの使用を認証および許可するために使用されます。

     zos_saf_registry.xml

     このサンプルは、 z/OSでの System Authorization Facility (SAF) インターフェースの使用を構成します。

     RACF または他のセキュリティー製品のプロファイルを使用して、ユーザーとグループに役割へのアクセス権限を与えます。

     RACF データベース内のユーザー名およびパスワードは、IBM MQ Console および REST APIのユーザーを認証および許可するために使用されます。

3. 以下のように、サンプル・ファイルを適切なディレクトリーに置きます。
   • 

     でUNIX, Linux, and Windows: MQ_DATA_DIRECTORY/web/installations/installationName/servers/mqweb

   • 

     z/OS 上: WLP_user_directory/servers/mqweb

     ここで WLP_user_directory は、mqweb 定義を作成するために crtmqweb.sh スクリプトを実行した際に指定されたディレクトリーです。

4. オプション: mqwebuser.xmlで構成設定を変更した場合は、それらをサンプル・ファイルにコピーします。
5. 既存の mqwebuser.xml ファイルを削除し、サンプル・ファイルの名前を mqwebuser.xmlに変更します。
6. 必要に応じて、新しい mqwebuser.xml ファイルを編集してユーザーとグループを追加します。

   • basic_registry.xml サンプルに基づくセキュリティー・セットアップでは、basicRegistry タグ内にユーザーおよびグループを追加します。

     MQWebUser 役割を持つすべてのユーザーは、ユーザー ID がキュー・マネージャーで実行を許可されている操作のみを実行できることに注意してください。 したがって、レジストリーに定義されているユーザー ID は、 IBM MQ がインストールされているシステム上で同一のユーザー ID を持っている必要があります。 これらのユーザー ID は大/小文字が同じである必要があります。同じでない場合、ユーザー ID 間のマッピングが失敗することがあります。

     基本ユーザー・レジストリーの構成について詳しくは、 WebSphere Application Server Liberty 資料の「 Liberty の基本ユーザー・レジストリーの構成 」を参照してください。

   • 

     local_os_registry.xml サンプルに基づくセキュリティー・セットアップの場合、レジストリーは、パスワードの検証、ユーザーの識別、およびグループ・メンバーシップの計算のためにローカル・オペレーティング・システムにアクセスします。 このタイプのユーザー・レジストリーを有効にするには、 mqwebuser.xml ファイルの featureManager セクションに <feature>localOSAuthenticationMQ-1.0</feature> を追加します。

     ローカル OS 認証機能を使用するクライアント証明書認証の場合、ユーザー ID は、クライアント証明書の識別名 (DN) からの共通名 (CN) です。 ユーザー ID がオペレーティング・システム・ユーザーとして存在しない場合、クライアント証明書ログインは失敗し、パスワード・ベースの認証にフォールバックします。

   • ldap_registry.xml サンプルに基づくセキュリティーをセットアップする場合は、 ldapRegistry および idsLdapFilterProperties タグ内の LDAP レジストリーの設定を変更してください。

     MQWebUser 役割を持つすべてのユーザーは、ユーザー ID がキュー・マネージャーで実行を許可されている操作のみを実行できることに注意してください。 したがって、LDAP サーバー上で定義されたユーザー ID は、 IBM MQ がインストールされているシステム上で同一のユーザー ID を持っている必要があります。 これらのユーザー ID は大/小文字が同じである必要があります。同じでない場合、ユーザー ID 間のマッピングが失敗することがあります。

     LDAP レジストリーの構成について詳しくは、 WebSphere Application Server Liberty 資料の「 Liberty での LDAP ユーザー・レジストリーの構成 」を参照してください。

7. 新しい mqwebuser.xml ファイルを編集して、ユーザーおよびグループに役割を割り当てます。

   IBM MQ Consoleおよび REST APIを使用する権限をユーザーおよびグループに付与するために使用可能な役割は 3 つあります。 各役割は別のレベルのアクセス権を付与します。 詳しくは、 IBM MQ コンソールおよび REST API での役割を参照してください。

   • 役割を割り当て、 IBM MQ Consoleへのアクセス権限を付与するには、 <enterpriseApplication id="com.ibm.mq.console"> タグ内の適切な security-role タグの間にユーザーとグループを追加します。

   • 

     役割を割り当て、 REST APIへのアクセス権限を付与するには、 <enterpriseApplication id="com.ibm.mq.rest"> タグ内の適切な security-role タグの間にユーザーとグループを追加します。

   security-role タグ内のユーザーおよびグループ情報の形式については、 例を参照してください。

8. mqwebuser.xmlでユーザーにパスワードを指定した場合は、 WebSphere Application Server Libertyによって提供される securityUtility encoding コマンドを使用して、これらのパスワードをエンコードし、セキュリティーを強化する必要があります。 詳しくは、 WebSphere Application Server Liberty 製品資料の Liberty:securityUtility コマンド を参照してください。

<enterpriseApplication id="com.ibm.mq.console">
        <application-bnd>
            <security-role name="MQWebAdmin">
                <group name="MQWebAdminGroup" realm="defaultRealm"/>
            </security-role>
            <security-role name="MQWebAdminRO">
                <user name="reader" realm="defaultRealm"/>
            </security-role>
            <security-role name="MQWebUser">
                <user name="guest" realm="defaultRealm"/>
            </security-role>
        </application-bnd>
    </enterpriseApplication>

<enterpriseApplication id="com.ibm.mq.console">
    <application-bnd>
        <security-role name="MQWebAdmin">
            <group name="MQAdmin" realm="defaultRealm"/>
        </security-role>
        <security-role name="MQWebAdminRO">
            <user name="reader" realm="defaultRealm"/>
        </security-role>
        <security-role name="MQWebUser">
            <user name="guest" realm="defaultRealm"/>
        </security-role>
    </application-bnd>
</enterpriseApplication>

<enterpriseApplication id="com.ibm.mq.rest">
    <application-bnd>
        <security-role name="MQWebAdmin">
            <group name="MQAdmin" realm="defaultRealm"/>
        </security-role>
        <security-role name="MQWebUser">
            <user name="user" realm="defaultRealm"/>
        </security-role>
     </application-bnd>
</enterpriseApplication>