ApsaraMQ for RocketMQ:ユーザー認証

インテリジェント認証

ACL ベースの認証

アクセス制御方法として ACL ベースの認証を指定する場合は、ACL ユーザーを作成し、特定のリソースに対する権限をユーザーに付与する必要があります。デフォルトでは、新しい ACL ユーザーには権限がありません。

メッセージングのためにクライアントを ApsaraMQ for RocketMQ インスタンスに接続する場合は、クライアントコードで、作成して承認した ACL ユーザーのユーザー名とパスワードを指定する必要があります。クライアントが認証に合格した後、ACL 権限範囲内で指定されたリソースに対してのみ、クライアントを使用してメッセージをパブリッシュまたはサブスクライブできます。

ACL ユーザーを管理する

1. ACL ユーザーを作成する

   1. 左側のナビゲーションウィンドウで、アクセス制御 をクリックします。表示されるページで、ACL ユーザー タブをクリックします。

   2. ACL ユーザー タブで、[ACL ユーザーの作成] をクリックします。表示されるパネルで、画面の指示に従ってパラメーターを構成します。

2. ACL ユーザーに権限を付与する

   1. アクセス制御 ページで、ACL 権限 タブをクリックし、権限の追加 をクリックします。

   2. 権限の追加 パネルで、パラメーターを構成し、OK をクリックします。次の表にパラメーターを示します。

   ACL ユーザーに権限を付与するためのパラメーター

   パラメーター	説明	例
   ユーザー名	権限を付与する ACL ユーザー。ドロップダウンリストから作成済みの ACL ユーザーを選択します。	user_mq
   リソースのタイプ	TOPIC：ACL ユーザーにトピックに対する権限を付与します。 GROUP：ACL ユーザーにグループに対する権限を付与します。	TOPIC
   リソース名	ACL ユーザーに権限を付与するトピックまたはグループの名前。次のいずれかの方法を使用して、このパラメーターを構成できます。 特定のトピックまたはグループの名前を入力します。この場合、ACL ユーザーには、指定されたトピックまたはグループに対する権限が付与されます。 アスタリスク (*) ワイルドカード文字を入力して、すべてのトピックまたはグループと一致させます。この場合、ACL ユーザーには、インスタンス上のすべてのトピックまたはグループに対する権限が付与されます。 文字とアスタリスク (*) ワイルドカード文字を入力して、特定のトピックまたはグループと一致させます。この場合、ACL ユーザーには、指定されたトピックまたはグループに対する権限が付与されます。	normal_topic
   操作タイプ	[リソースタイプ] パラメーターを GROUP に設定した場合、このパラメーターは 読み取り にのみ設定できます。 書き込み：ACL ユーザーに、指定されたトピックにメッセージをパブリッシュする権限を付与します。 読み取り：ACL ユーザーに、指定されたトピックまたはグループからメッセージをサブスクライブする権限を付与します。	書き込み
   IP アドレスホワイトリスト	リソースにアクセスできる IP アドレスまたは CIDR ブロック。複数の IP アドレスまたは CIDR ブロックはセミコロン (;) またはコンマ (,) で区切ります。 このパラメーターを空のままにすると、すべての IP アドレスまたは CIDR ブロックがリソースにアクセスできます。	192.168.xx.xx
   デシジョン	許可: [アクション] パラメーターに指定した操作を許可します。 拒否: [アクション] パラメーターに指定した操作を拒否します。 説明 特定のリソースへのアクセスを許可および拒否するルールが同時に存在する場合、アクセスを拒否するルールが優先的に使用されます。	許可

   上記の表のサンプル構成は、ApsaraMQ for RocketMQ インスタンスにクライアントを接続するときに、user_mq という名前の ACL ユーザーのユーザー名とパスワードを認証に使用できることを示しています。クライアントは、クライアントの IP アドレスが 192.168.xx.xx の場合にのみ、インスタンスに接続してメッセージを送受信できます。

   クライアントが認証に合格した後、クライアントは normal_topic という名前のトピックにのみメッセージをパブリッシュできます。

ACL ユーザーを一括管理する

1. テンプレートをエクスポートしてからインポートして、ACL ユーザーを一括作成できます。

   1. アクセス制御 ページで、ACL ユーザー タブをクリックします。

   2. ACL ユーザー タブで、ファイルのエクスポート または ファイルのインポート をクリックします。

      1. ACL ユーザーが作成されていない場合は、ACL ユーザーを作成してからテンプレートをエクスポートする必要があります。

      2. テンプレートをインポートして ACL ユーザーを一括作成する前に、テンプレートに他の ACL ユーザーに関する情報を指定します。

      3. テンプレートをインポートするときに、既存のユーザーを上書きするかどうかを選択できます。

         • 既存のユーザーの上書き機能が無効になっていて、インポートするテンプレート内の特定の ACL ユーザーが既に存在する場合、ACL ユーザーに関する情報はインポートに失敗します。

         • 既存のユーザーの上書き機能が有効になっていて、インポートするテンプレート内の特定の ACL ユーザーが既に存在する場合、システムはテンプレートに基づいて ACL ユーザーに関する情報を更新します。

      次の表に、ACL ユーザーテンプレートのパラメーターを示します。

      パラメーター	説明	有効な値
      ユーザー名	作成する ACL ユーザーのユーザー名。	ユーザー名は文字で始まる必要があります。 ユーザー名には、文字、数字、ハイフン (-)、およびアンダースコア (_) のみを含めることができます。 ユーザー名は 3 ～ 64 文字の長さである必要があります。
      パスワード	作成する ACL ユーザーのパスワード。	パスワードは 3 ～ 64 文字の長さである必要があります。
      AccountStatus	ユーザー名とパスワードのステータス。	ENABLE：使用可能 DISABLE：使用不可

      次の表に、ACL ユーザーテンプレートの例を示します。

      ユーザー名	パスワード	AccountStatus
      user1	xxx	ENABLE
      user2	xxx	DISABLE
      user3	xxx	ENABLE

2. テンプレートをエクスポートしてからインポートして、ACL ユーザーに権限を一括付与できます。

   1. アクセス制御 ページで、ACL 権限 タブをクリックします。

   2. ACL 権限 タブで、ファイルのエクスポート または ファイルのインポート をクリックします。

      1. ACL ユーザーに権限が付与されていない場合は、ACL 権限を作成してからテンプレートをエクスポートする必要があります。

      2. テンプレートをインポートして ACL ユーザーに権限を一括付与する前に、テンプレートに他の ACL 権限に関する情報を指定します。

      3. テンプレートをインポートするときに、既存の権限を上書きするかどうかを選択できます。システムは、ユーザー名、リソースタイプ、およびリソース名に基づいて権限レコードが存在するかどうかを判断します。

         • 既存の権限の上書き機能が無効になっていて、特定の権限レコードが既に存在する場合、権限レコードはインポートに失敗し、システムは既存の権限レコードを変更しません。

         • 既存の権限の上書き機能が有効になっていて、特定の権限レコードが既に存在する場合、システムはテンプレートに基づいて権限レコードを更新します。

      次の表に、ACL 権限テンプレートのパラメーターを示します。詳細については、「ACL ユーザーに権限を付与するためのパラメーター」をご参照ください。

      パラメーター	説明
      ユーザー名	権限を付与する ACL ユーザーのユーザー名。 入力するユーザー名は、既存の ACL ユーザーの名前である必要があります。
      ResourceType	権限を付与するリソースのタイプ。
      ResourceName	権限を付与するリソースの名前。
      Actions	リソースに対して実行できる操作。 PUB：ACL ユーザーにメッセージをパブリッシュする権限を付与します。 SUB：ACL ユーザーにメッセージをサブスクライブする権限を付与します。 PUB|SUB：ACL ユーザーにメッセージをパブリッシュおよびサブスクライブする権限を付与します。この値は、ResourceType を Topic に設定した場合にのみ有効です。
      SourceIps	リソースにアクセスできる IP アドレスまたは CIDR ブロック。
      Decision	ACL ユーザーがリソースに対して操作を実行することを許可するかどうかを指定します。 許可：ACL ユーザーがリソースに対して操作を実行することを許可します。 拒否：ACL ユーザーがリソースに対して操作を実行することを許可しません。

      次の表に、ACL 権限テンプレートの例を示します。

      ユーザー名	ResourceType	ResourceName	Actions	SourceIps	Decision
      user1	TOPIC	topic_normal	PUB	0.0.0.0/0	Allow
      user2	TOPIC	*	PUB|SUB	0.0.0.0/0	Allow
      user3	GROUP	Group_a	SUB	192.168.xx.xx	Deny

ACL ユーザーのユーザー名とパスワードを取得する

ACL ベースの認証を使用してクライアントの ID を認証する場合は、インターネット経由でブローカーにクライアントを接続するか、VPC 内で接続するかに関係なく、クライアントコードで ACL ユーザーのユーザー名とパスワードを指定する必要があります。

1. 左側のナビゲーションウィンドウで、アクセス制御 をクリックします。表示されるページで、ACL ユーザー タブをクリックします。

2. ACL ユーザー タブで、ユーザーリストに ACL ユーザーのユーザー名を表示し、ACL ユーザーのパスワードをコピーします。