为了账号安全,请及时绑定邮箱和手机立即绑定
首页 手记 RabbitMQ权限控制原理

RabbitMQ权限控制原理

2018.12.30 22:02 894浏览


我们在使用MQ搭建系统的时候,经常要开放队列给外接系统访问。外接系统的稳定性是不可控的。为了防止外接系统不稳定导致误操作破坏了MQ的配置或数据,需要对MQ做比较精细的权限控制。

我的需求是这样的:

我有一个数据查询服务,并且通过MQ推送数据变动消息。对接MQ的每个系统都会有自己一个独立的队列来读取消息。所有消息通过一个扇形交换机广播到所有队列。我需要这个交换机和所有队列都由管理员统一创建好。而其他系统使用的用户,均没有创建交换机和队列的权限。数据查询服务只拥有推送消息的权限,其他对接MQ的系统只拥有从自己队列读取消息的权限。

我们使用的MQ是RabbitMQ。我在网上搜了一下,大部分讲的是用户角色配置。对于MQ的资源授权管理讲的比较少。以下内容将主要讲解 RabbitMQ权限控制的基本概念和模型 。理解了这些基本概念后,应该可以愉快地使用RabbitMQ管理界面进行授权操作。如果你们只有命令行可用,也能很轻松地找到相应的命令。

RabbitMQ初始化

RabbitMQ初次启动时,初始创建这两个东西:

/

/

RabbitMQ授权模型

第一级控权单位是virtual host,virtual host下面第二级的控权单位是resource(包含exchange和queue)。两个相同名称的resource如果分属不同的virtual host,则算是不同的resource。

什么是virtual host:

RabbitMQ is multi-tenant system: connections, exchanges, queues, bindings, user permissions, policies and some other things belong to virtual hosts, logical groups of entities.

就是说RabbitMQ是多租户系统,简单理解就是把多virtual host当做多个MQ系统来用就好了……

当用户访问MQ时,首先触发 第一级控权,判断用户是否有访问该virtual host的权限 。

若可访问,则进行 第二级控权,判断用户是否具有操作(operation)所请求的资源的权限 。

RabbitMQ定义了操作(operation)有这么三种:

configure:主要对应创建exchange和queue操作;

write:write主要对应绑定和推送消息操作;

read:read主要对应读取消息操作。

后面有个表格列出了具体的对应关系。

当管理员对一个用户进行授权时,要配置两个元素:

允许什么操作,即configure、write、read三种operation;

操作什么resource。用户是否拥有某资源的权限,通过对该资源的名称与授权时配置的正则进行匹配来判断。

RabbitMQ权限控制原理

下面这张表详细描述了operation、resource和用户可执行的操作的关系:

RabbitMQ权限控制原理

例子:

如果要给用户授权可以往exchange foo 推消息,则我们找到basic.publish这行,格子不是空的只有write这列,所以我们需要给用户授权一个write权限,其正则可以匹配字符串 foo (比如说 ^foo$ ,或者 .* 等)。

如果要给用户授权只能从queue bar 读取消息,则需要给用户授权一个read权限,其正则可以匹配字符串 bar 。

©著作权归作者所有:来自51CTO博客作者沙漏半杯的原创作品,如需转载,请注明出处,否则将追究法律责任


点击查看更多内容
0人点赞

若觉得本文不错,就分享一下吧!

评论

作者其他优质文章

正在加载中
手记
粉丝
237
获赞与收藏
986

关注TA,一起探索更多经验知识

同主题相似文章浏览排行榜

风间影月说签约讲师

51篇手记,涉及Java、MySQL、Redis、Spring等方向

进入讨论

Tony Bai 说签约讲师

151篇手记,涉及Go、C、Java、Python等方向

进入讨论
感谢您的支持,我会继续努力的~
扫码打赏,你说多少就多少
赞赏金额会直接到老师账户
支付方式
打开微信扫一扫,即可进行扫码打赏哦
意见反馈 帮助中心 APP下载
官方微信

举报

0/150
提交
取消