本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将 ActiveMQ 经纪商与 LDAP

在启用后，您可以使用以下协议访问您的 ActiveMQ 代理：TLS

Amazon MQ 提供了在本地 ActiveMQ 身份验证和身份验证以及LDAP用于管理用户权限的授权之间进行选择。有关与 ActiveMQ 用户名和密码相关的限制的信息，请参阅用户。

要授权 ActiveMQ 用户和组使用队列和主题，必须编辑您的代理的配置。Amazon MQ 使用 ActiveMQ 的简单身份验证插件来限制读取和写入到目标。有关详细信息和示例，请参阅始终配置授权映射和 authorizationEntry。

LDAP与 ActiveMQ 集成

您可以通过存储在轻量级目录访问协议 (LDAP) 服务器中的凭证对 Amazon MQ 用户进行身份验证。您还可以添加、删除和修改 Amazon MQ 用户，并借此为主题和队列分配权限。诸如创建、更新和删除代理之类的管理操作仍需要IAM凭证，并且未与之集成LDAP。

想要使用服务器简化和集中其 Amazon MQ 代理身份验证和授权LDAP的客户可以使用此功能。将所有用户凭据保存在LDAP服务器中可以为存储和管理这些凭据提供一个中心位置，从而节省时间和精力。

亚马逊 MQ 使用 Apache Activ JAAS eMQ 插件提供LDAP支持。Amazon MQ 还支持该插件支持的任何LDAP服务器LDAP，例如微软 Active Directory 或 Open。有关插件的更多信息，请参阅 Active MQ 文档的 Security (安全) 部分。

除了用户之外，您还可以通过LDAP服务器为特定群组或用户指定对主题和队列的访问权限。为此，您可以创建代表LDAP服务器中主题和队列的条目，然后向特定LDAP用户或组分配权限。然后，您可以将代理配置为从LDAP服务器检索授权数据。

先决条件

在向新的或现有的 Amazon MQ 经纪商添加LDAP支持之前，您必须设置服务账户。此服务帐户是启动与LDAP服务器的连接所必需的，并且必须具有正确的权限才能建立此连接。此服务账户将为您的经纪人设置LDAP身份验证。任何连续的客户端连接都将通过同一连接进行身份验证。

服务帐户是您LDAP服务器中的一个帐户，它有权启动连接。这是一项标准LDAP要求，您只需提供一次服务帐号凭证。建立连接后，所有未来的 Client 端连接都将通过您的LDAP服务器进行身份验证。您的服务账户凭证以加密形式安全存储，只有 Amazon MQ 才能访问。

要与 ActiveMQ 集成，需要在服务器上安装特定的目录信息树 DIT ()。LDAP有关清楚显示此结构的示例ldif文件，请参阅 ActiveMQ 文档的 “安全” 部分中的将以下LDIF文件导入LDAP服务器。

入门 LDAP

首先，请导航到 Amazon MQ 控制台，并在创建新的 Amazon MQ 或编辑现有代理实例时选择LDAP身份验证和授权。

提供有关服务账户的以下信息：

下图突出显示了提供这些详细信息的位置。

在LDAP登录配置部分，提供以下必需信息：

下图突出显示了指定这些详细信息的位置。

在 Optional settings (可选设置) 部分中，您可以提供以下可选信息：

下图突出显示了指定这些可选设置的位置。

LDAP整合的工作原理

您可以将集成分为两大类：身份验证结构和授权结构。

身份验证

对于身份验证，客户端凭证必须有效。这些凭据是针对LDAP服务器用户群中的用户进行验证的。

提供给 ActiveMQ 代理的用户群必须指向服务器中DIT存储用户的节点。LDAP例如，如果您正在使用 AWS Managed Microsoft AD，并且有域组件corpexamplecom、和，并且在这些组件中包含组织单位corp和Users，则应使用以下内容作为用户群：

OU=Users,OU=corp,DC=corp,DC=example,DC=com
                

ActiveMQ 代理将在中的DIT此位置搜索用户，以便对客户端向代理发出的连接请求进行身份验证。

由于 ActiveMQ 源代码对用户的属性名称硬编码为 uid，您必须确保每个用户都设置了此属性。为简单起见，您可以使用用户的连接用户名。有关更多信息，请参阅 activemq 源代码和在 Windows Server 2016（及后续）版本的 Active Directory 用户和计算机中配置 ID 映射。

要为特定用户启用 ActiveMQ 控制台访问，请确保他们属于 amazonmq-console-admins 组。

授权

对于授权，权限搜索基础在代理配置中指定。授权通过代理的 activemq.xml 配置文件中的 cachedLdapAuthorizationMap 元素在每个目标（或通配符，目标集）上完成。有关更多信息，请参阅缓存LDAP授权模块。

您必须提供以下三个属性作为 cachedLDAPAuthorizationMap 元素的一部分：

以下演示了 cachedLdapAuthorizationMap 的工作示例。

<authorizationPlugin>
    <map>
        <cachedLDAPAuthorizationMap
            queueSearchBase="ou=Queue,ou=Destination,ou=corp,dc=corp,dc=example,dc=com"
            topicSearchBase="ou=Topic,ou=Destination,ou=corp,dc=corp,dc=example,dc=com"
            tempSearchBase="ou=Temp,ou=Destination,ou=corp,dc=corp,dc=example,dc=com"
            refreshInterval="300000"
            legacyGroupMapping="false"
        />
    </map>
</authorizationPlugin> 

这些值标识了指定每种目的地类型权限DIT的位置。因此，对于上面的示例 AWS Managed Microsoft AD，使用corpexample、和的相同域组件com，您可以指定一个名为的组织单位destination来包含所有目标类型。在该组织部门中，您将为 queues、topics 和 temp 目标分别创建一个。

这意味着你的队列搜索库（提供队列类型目的地的授权信息）将在你的以下位置DIT：

OU=Queue,OU=Destination,OU=corp,DC=corp,DC=example,DC=com
                

同样，主题和临时目标的权限规则将位于以下内容的同一级别：DIT

OU=Topic,OU=Destination,OU=corp,DC=corp,DC=example,DC=com
OU=Temp,OU=Destination,OU=corp,DC=corp,DC=example,DC=com
            

在每个目标类型（队列、主题、临时）的组织部门中，可以提供通配符或特定目标名称。例如，为所有以该前缀开头的队列提供授权规则DEMO。 EVENTS.$.，你可以创建以下 OU：

OU=DEMO.EVENTS.$,OU=Queue,OU=Destination,OU=corp,DC=corp,DC=example,DC=com

有关 ActiveMQ 中通配符的更多信息，请参阅 Wildcards (通配符)

为特定队列提供授权规则，例如DEMO。 MYQUEUE，请指定类似以下内容的内容：

OU=DEMO.MYQUEUE,OU=Queue,OU=Destination,OU=corp,DC=corp,DC=example,DC=com

安全组

在每个表示目标或通配符的组织部门中，您必须创建三个安全组。与 ActiveMQ 中的所有权限一样，这些是读/写/管理权限。有关每个权限允许用户执行哪些操作的更多信息，请参阅 ActiveMQ 文档中的安全性。

您必须命名这些安全组 read、write 和 admin。在这些安全组中，您可以添加用户或组，他们将有权执行相关操作。对于每个通配符目标集或单个目标，您都需要这些安全组。

将用户添加到特定目标的 admin 安全组将允许用户创建和删除该主题。将他们添加到 read 安全组将使他们能够从目标读取，而将他们添加到 write 组则将使他们能够写入目标。

除了将单个用户添加到安全组权限之外，您还可以添加整个组。但是，由于 ActiveMQ 再次对组的属性名称进行硬编码，因此必须确保要添加的组具有对象类 groupOfNames，如 activemq 源代码中所示。

要执行此操作，请遵循与用户 uid 相同的流程。请参阅在 Windows Server 2016（及后续）版本的 Active Directory 用户和计算机中配置 ID 映射。