Keine Verbindung zum queue-manager in WebSphere MQ 7.1

Wenn Sie erstellen eine neue QMgr bei V7.1 oder oben, es kommt mit den folgenden Standard-CHLAUTH Regeln:

SET CHLAUTH(SYSTEM.ADMIN.SVRCONN)           TYPE(ADDRESSMAP)
    DESCR(Default rule to allow MQ Explorer access)
    ADDRESS(*) 
    MCAUSER( )                              USERSRC(CHANNEL)

SET CHLAUTH(SYSTEM.*)                       TYPE(ADDRESSMAP)
    DESCR(Default rule to disable all SYSTEM channels)
    ADDRESS(*)
    MCAUSER( )                              USERSRC(NOACCESS)

SET CHLAUTH(*)                              TYPE(BLOCKUSER)
    DESCR(Default rule to disallow privileged users)
    USERLIST(*MQADMIN)

Die eine auf der Unterseite sagt die QMgr "wenn jemand versucht, eine Verbindung über einen SVRCONN mit einem administrativen Benutzer-ID, blockieren die Verbindung in allen Fällen."

Ermöglichen eine Verbindung von Makler-Toolkit haben Sie zwei Möglichkeiten, wie folgt:

1. Entfernen mqbrkrs von der mqm-Gruppe. Dies ermöglicht es, zu verbinden, ohne brennen der CHLAUTH Regel, dass die Blöcke den admin-Benutzer. Sie wird natürlich erforderlich sein, um eine Bewilligung erteilen, die für die mqbrkrs Gruppe zu alle broker-und-Anwendung-Warteschlangen, auf die es zugreifen muss, da es nicht länger ein MQ admin.
2. Überschreiben der CHLAUTH Regel zum zulassen der broker toolkit zu verbinden, wie ein admin auf dem SYSTEM.Der BROKER.KONFIG-channel.

Als ein security-Spezialist, ich bevorzuge die erste option. Es ist unvermeidlich, dass die MQ-admin verwalten können der broker. Es ist jedoch möglich, zu vermeiden, ermöglicht der broker (und durch Verlängerung alle der broker fließt) zur Verwaltung des QMgr.

Wenn Sie jedoch möchten, nehmen Sie die zweite route, die Sie brauchen, um das überschreiben der CHLAUTH Regel blockiert admin-Zugang. Es gibt mehrere Möglichkeiten, dies zu tun. Könnten Sie die Regel löschen, aber das öffnet alle Ihre Kanäle zu admin-verbindungen. Eine genauere Vorgehensweise ist in der Regel nur für den Kanal, auf dem der administrator eine Verbindung herstellen. Zum Beispiel:

SET CHLAUTH(SYSTEM.BKR.CONFIG) TYPE(BLOCKUSER) +
    USERLIST('*NOACCESS')

Da ein Fehler in WMQ gilt die spezielle Regel, die default-Regel wird außer Kraft gesetzt durch die neue ersetzt, sondern nur für die SYSTEM.BKR.CONFIG Kanal. Die BLOCKUSER Regel-syntax ermöglicht es uns zu bestimmen, wer zu verleugnen, aber wer nicht zu ermöglichen, und es dauert, Benutzer-IDs, anstatt Gruppen-IDs. Damit admin-Zugriff ist es notwendig, um anzugeben einige - ID, die ist nicht *MQADMIN. Ich nahm *NOACCESS weil es nicht eine tatsächliche Benutzer-ID und das ist ein reserviertes Wort, das verwendet wird, indem ein Fehler in WMQ anderswo. Sie konnte so leicht eine Benutzer-ID wie nobody oder sogar mqm. (Blockierung mqm erlauben würde mqbrkrs aber nicht mqm jedoch seit mqbrkrs ist in der mqm Gruppe würde es nicht einschränken mqbrkrs von der Verwaltung des QMgr.)

Schließlich ist zu beachten, dass jeder Kanal, der es ermöglicht admin-Zugriff sollte stark authentifiziert. Wenn die nur CHLAUTH Regel, die Sie legen, ist die eine oben, dann jemand mit einer Netzwerk-route zu der QMgr Verbindung herstellen können, die auf diesen Kanal durch die Geltendmachung der mqbrkrs Benutzer-ID für die Verbindung. Einmal verbunden, Sie würden die volle Kontrolle über den QMgr und die Fähigkeit, aus der Ferne, anonym ausführen der Befehle unter Verwendung der mqm oder mqbrkrs Benutzer-IDs. Zumindest fügen Sie ein CHLAUTH Regel filtern conenctions auf diesem Kanal die IP-Adresse. Oder, noch besser, verwenden Sie SSL-und filter-verbindungen durch das Zertifikat distinguished name.

InformationsquelleAutor T.Rob