기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

ActiveMQ 브로커와 통합 LDAP

TLS 활성화된 다음 프로토콜을 사용하여 ActiveMQ 브로커에 액세스할 수 있습니다.

Amazon MQ는 사용자 권한을 관리하기 위해 기본 ActiveMQ 인증과 LDAP 인증 및 권한 부여 중에서 선택할 수 있는 옵션을 제공합니다. ActiveMQ 사용자 이름 및 암호와 관련된 제한에 대한 자세한 내용은 사용자 단원을 참조하세요.

ActiveMQ 사용자 및 그룹이 대기열 및 주제를 사용하도록 권한을 부여하려면 브로커의 구성을 편집해야 합니다. Amazon MQ는 ActiveMQ의 단순 인증 플러그 인을 사용하여 대상에 대한 읽기 및 쓰기를 제한합니다. 자세한 정보와 예제를 보려면 항상 권한 부여 맵 구성 단원과 authorizationEntry 단원을 참조하세요.

ActiveMQLDAP와 통합

경량 디렉터리 액세스 프로토콜(LDAP) 서버에 저장된 자격 증명을 통해 Amazon MQ 사용자를 인증할 수 있습니다. 또한 해당 자격 증명을 통해 Amazon MQ 사용자를 추가, 삭제 및 수정하고 주제 및 대기열에 대한 권한을 할당할 수도 있습니다. 브로커 생성, 업데이트 및 삭제와 같은 관리 작업은 여전히 IAM 보안 인증 정보가 필요하며 와 통합되지 않습니다LDAP.

LDAP 서버를 사용하여 Amazon MQ 브로커 인증 및 권한을 단순화하고 중앙 집중화하려는 고객은 이 기능을 사용할 수 있습니다. LDAP 서버에 모든 사용자 보안 인증을 유지하면 이러한 보안 인증을 저장하고 관리할 수 있는 중앙 위치를 제공하여 시간과 노력을 절약할 수 있습니다.

Amazon MQ는 Apache ActiveMQ JAAS 플러그인을 사용하여 LDAP 지원을 제공합니다. 플러그인에서 지원하는 Microsoft Active Directory 또는 OpenLDAP과 같은 모든 LDAP 서버는 Amazon MQ 에서도 지원됩니다. 플러그 인에 대한 자세한 내용은 Active MQ 설명서의 보안 단원을 참조하세요.

사용자 외에도 LDAP 서버를 통해 특정 그룹 또는 사용자의 주제 및 대기열에 대한 액세스를 지정할 수 있습니다. 이렇게 하려면 LDAP 서버의 주제 및 대기열을 나타내는 항목을 생성한 다음 특정 LDAP 사용자 또는 그룹에 권한을 할당합니다. 그런 다음 LDAP 서버에서 권한 부여 데이터를 검색하도록 브로커를 구성할 수 있습니다.

사전 조건

신규 또는 기존 Amazon MQ 브로커에 LDAP 지원을 추가하기 전에 서비스 계정을 설정해야 합니다. 이 서비스 계정은 LDAP 서버에 대한 연결을 시작하는 데 필요하며 이 연결을 수행하려면 올바른 권한이 있어야 합니다. 이 서비스 계정은 브로커에 대한 LDAP 인증을 설정합니다. 이후의 모든 클라이언트 연결은 동일한 연결을 통해 인증됩니다.

서비스 계정은 LDAP 서버의 계정이며 연결을 시작할 수 있는 액세스 권한이 있습니다. 표준 LDAP 요구 사항이며 서비스 계정 자격 증명을 한 번만 제공해야 합니다. 연결이 설정되면 향후 모든 클라이언트 연결이 LDAP 서버를 통해 인증됩니다. 서비스 계정 자격 증명은 Amazon MQ만 액세스할 수 있는 암호화된 형식으로 안전하게 저장됩니다.

ActiveMQ 와 통합하려면 LDAP 서버에 특정 디렉터리 정보 트리(DIT)가 필요합니다. 이 구조를 명확하게 보여주는 예제 ldif 파일은 ActiveMQ 설명서의 https://activemq.apache.org/security LDAP 보안 섹션에서 서버로 다음 LDIF 파일 가져오기를 참조하세요.

시작하기 LDAP

시작하려면 Amazon MQ 콘솔로 이동하여 새 Amazon MQ를 생성하거나 기존 브로커 인스턴스를 편집할 때 LDAP 인증 및 권한 부여를 선택합니다.

서비스 계정에 대한 다음 정보를 제공합니다.

다음 이미지에서는 이러한 세부 정보를 제공하는 위치를 강조 표시합니다.

LDAP 로그인 구성 섹션에서 다음 필수 정보를 제공합니다.

다음 이미지에서는 이러한 세부 정보를 지정하는 위치를 강조 표시합니다.

Optional settings(선택적 설정) 섹션에서 다음과 같은 선택적 정보를 제공할 수 있습니다.

다음 이미지에서는 이러한 선택적 설정을 지정할 위치를 강조 표시합니다.

LDAP 통합 작동 방식

통합은 인증을 위한 구조와 권한 부여를 위한 구조의 두 가지 기본 범주로 고려할 수 있습니다.

인증

인증을 위해서는 클라이언트 자격 증명이 유효해야 합니다. 이러한 자격 증명은 LDAP 서버의 사용자 기반 사용자를 대상으로 검증됩니다.

ActiveMQ 브로커에 제공된 사용자 기반은 사용자가 LDAP 서버에 저장DIT되는 의 노드를 가리켜야 합니다. 예를 들어, 를 사용하고 있고 도메인 구성 요소 AWS Managed Microsoft AD, example및 corpcom가 있고 조직 단위 corp 및 가 있는 구성 요소 내에 있는 경우 다음을 사용자 기반으로 Users사용합니다.

OU=Users,OU=corp,DC=corp,DC=example,DC=com
                

ActiveMQ 브로커는 의 이 위치에서 사용자를 검색하여 브로커에 DIT 대한 클라이언트 연결 요청을 인증합니다.

ActiveMQ 소스 코드는 사용자의 속성 이름을 uid에 하드코딩하므로 각 사용자에게 해당 속성 집합이 있는지 확인해야 합니다. 편의상 사용자의 연결 사용자 이름을 사용할 수 있습니다. 자세한 내용은 activemq 소스 코드 및 Windows Server 2016 이상 버전의 Active Directory 사용자 및 컴퓨터에서 ID 매핑 구성을 참조하세요.

특정 사용자의 ActiveMQ 콘솔 액세스를 활성화하려면 해당 사용자가 amazonmq-console-admins 그룹에 속해 있는지 확인합니다.

권한 부여

권한 부여의 경우 브로커 구성에서 권한 검색 기반을 지정합니다. 권한 부여는 브로커의 activemq.xml 구성 파일에 있는 cachedLdapAuthorizationMap 요소를 통해 대상(또는 와일드카드, 대상 집합)별로 수행됩니다. 자세한 내용은 캐시된 LDAP 권한 부여 모듈 섹션을 참조하세요.

cachedLDAPAuthorizationMap 요소의 일부로 다음 세 가지 속성을 제공해야 합니다.

다음은 cachedLdapAuthorizationMap의 작동 예제를 보여줍니다.

<authorizationPlugin>
    <map>
        <cachedLDAPAuthorizationMap
            queueSearchBase="ou=Queue,ou=Destination,ou=corp,dc=corp,dc=example,dc=com"
            topicSearchBase="ou=Topic,ou=Destination,ou=corp,dc=corp,dc=example,dc=com"
            tempSearchBase="ou=Temp,ou=Destination,ou=corp,dc=corp,dc=example,dc=com"
            refreshInterval="300000"
            legacyGroupMapping="false"
        />
    </map>
</authorizationPlugin> 

이러한 값은 각 유형의 대상에 대한 DIT 권한이 지정된 의 위치를 식별합니다. 따라서 위의 예제에서 AWS Managed Microsoft AD, example및 와 동일한 도메인 구성 요소를 사용하여 모든 대상 유형을 포함하도록 corp라는 조직 단위destination를 com지정합니다. 해당 OU 내에서 queues, topics 및 temp 대상에 대해 OU를 하나씩 생성할 수 있습니다.

즉, 유형 대기열의 대상에 대한 권한 부여 정보를 제공하는 대기열 검색 기반이 에서 다음 위치를 갖게 됩니다. DIT

OU=Queue,OU=Destination,OU=corp,DC=corp,DC=example,DC=com
                

마찬가지로 주제 및 임시 대상에 대한 권한 규칙은 의 동일한 수준에 위치합니다DIT.

OU=Topic,OU=Destination,OU=corp,DC=corp,DC=example,DC=com
OU=Temp,OU=Destination,OU=corp,DC=corp,DC=example,DC=com
            

각 대상 유형(대기열, 주제, 임시)의 OU 내에서 와일드카드 또는 특정 대상 이름을 제공할 수 있습니다. 예를 들어 접두사 DEMO.EVENTS.$로 시작하는 모든 대기열에 대한 권한 부여 규칙을 제공하려면 다음 OU를 생성할 수 있습니다.

OU=DEMO.EVENTS.$,OU=Queue,OU=Destination,OU=corp,DC=corp,DC=example,DC=com

ActiveMQ의 와일드카드에 대한 자세한 내용은 와일드카드를 참조하세요.

와 같은 특정 대기열에 대한 권한 부여 규칙을 제공하려면 다음과 같은 항목을 MYQUEUE지정합니다DEMO.

OU=DEMO.MYQUEUE,OU=Queue,OU=Destination,OU=corp,DC=corp,DC=example,DC=com

보안 그룹

대상 또는 와일드카드를 나타내는 각 OU 내에서 세 개의 보안 그룹을 생성해야 합니다. ActiveMQ의 모든 권한과 마찬가지로 읽기/쓰기/관리자 권한입니다. 이러한 각 사용 권한에 대한 자세한 내용은 ActiveMQ 설명서에서 보안을 참조하세요.

이러한 보안 그룹 read , write 및 admin의 이름을 지정해야 합니다. 이러한 각 보안 그룹 내에서 사용자 또는 그룹을 추가할 수 있으며, 해당 사용자 또는 그룹은 관련 작업을 수행할 권한을 가집니다. 각 와일드카드 대상 집합 또는 개별 대상에 이러한 보안 그룹이 필요합니다.

특정 대상의 admin 보안 그룹에 사용자를 추가하면 사용자가 해당 주제를 생성 및 삭제할 수 있습니다. read 보안 그룹에 추가하면 대상에서 읽을 수 있고 write 그룹에 추가하면 대상에 쓸 수 있습니다.

보안 그룹 권한에 개별 사용자를 추가하는 것 외에 전체 그룹을 추가할 수도 있습니다. 그러나 ActiveMQ에서 그룹의 속성 이름을 다시 하드코딩하므로 activemq 소스 코드에 나온 대로 추가할 그룹에 개체 클래스 groupOfNames이 있는지 확인해야 합니다.

이렇게 하려면 사용자 uid의 경우와 동일한 프로세스를 수행합니다. Windows Server 2016 이상 버전의 Active Directory 사용자 및 컴퓨터에서 ID 매핑 구성을 참조하세요.