仅使用 ssl 进行用户识别

Question

我为我的 IBM MQ 配置了 SSL 安全性。我使用

禁用了用户识别

ALTER AUTHINFO(SYSTEM.DEFAULT.AUTHINFO.IDPWOS) AUTHTYPE(IDPWOS) CHCKCLNT(OPTIONAL)

REFRESH SECURITY TYPE(CONNAUTH)

我在各自的频道上设置了一个 MCA 用户 ID，因此在建立连接后，该用户将用于任何进一步的操作。我查看了 IBM MQ 文档，发现存在两种用户标识方式（使用系统用户或 LDAP）。现在我想打开用户识别，但我只想使用 SSL 证书而不是系统用户或 LDAP。我既不想交出用户名或密码，也不想配置 LDAP。

我的问题是，是否可以将 SSL 安全性不仅用于连接建立（身份验证），还用于用户识别。

Answer 1

是的，可以使用证书专有名称详细信息将用户映射到运行ning 通道使用的 MCAUSER。为此，您将使用 CHLAUTH 功能。

确保它已启用：-

DISPLAY QMGR CHLAUTH

如果不是，请使用以下命令启用它：-

ALTER QMGR CHLAUTH(ENABLED)

要从 SSL 证书映射到 MCAUSER，您可以创建如下所示的 CHLAUTH 规则：-

SET CHLAUTH(APP1.SSL.SVRCONN) TYPE(SSLPEERMAP) SSLPEER('CN=Morag,O=MQGem') MCAUSER('hughson')

其中 APP1.SSL.SVRCONN 是我的频道名称，SSLPEER 字段中的字符串是我证书中的主题 DN，'hughson' 是我希望看到运行ning 的值当来自此证书的连接进入此通道时，其 MCAUSER 中的通道使用。

这种规则通常与backstop rule、and/or MCAUSER 中的垃圾用户ID 结合使用。因此，如果您不匹配填充合适 MCAUSER 的 CHLAUTH 规则，则频道将不会运行.

仅使用 ssl 进行用户识别

User identification using ssl only

authentication

ssl

ibm-mq