如何为MQ队列管理器特定通道配置LDAP认证，仅管理员需认证

完全可以实现你的需求——仅管理员专用通道启用LDAP认证，应用通道无需认证。MQ支持通道级别的认证配置，可覆盖队列管理器的全局设置，具体操作步骤如下：

1. 重置全局认证默认行为 #

先把队列管理器的全局CONNAUTH设置为无认证模式，避免所有通道默认继承LDAP认证要求：

# 先创建一个无认证的AUTHINFO对象（如果还没有）
DEFINE AUTHINFO('NO_AUTH') AUTHTYPE(IDPWOS) ADOPTCTX(YES)
# 将全局CONNAUTH指向该对象
ALTER QMGR CONNAUTH('NO_AUTH')

2. 为管理员通道绑定LDAP认证 #

修改或创建管理员专用的服务器连接通道，指定其使用你已配置好的LDAP认证对象：

ALTER CHANNEL('ADMIN_SVRCONN') CHLTYPE(SVRCONN) CONNAUTH('YOUR_LDAP_AUTHINFO')

这里的YOUR_LDAP_AUTHINFO是你之前配置的LDAP类型AUTHINFO对象名称。

3. 用CHLAUTH规则锁定管理员通道权限 #

为了确保管理员通道只对LDAP管理员开放，添加通道认证规则：

SET CHLAUTH('ADMIN_SVRCONN') TYPE(USERMAP) USERLIST('LDAP_ADMIN_GROUP') ACTION(ADD)

替换LDAP_ADMIN_GROUP为你的LDAP管理员组名，这样只有该组内的用户能连接此通道。

4. 应用通道保持无认证状态 #

应用使用的服务器连接通道无需额外配置，会自动继承全局的NO_AUTH设置，应用连接时无需提供LDAP凭据。

核心原理 #

MQ通道的CONNAUTH属性优先级高于队列管理器的全局CONNAUTH配置，因此可以为不同通道指定不同的认证策略。只要确保全局默认是无认证，再给管理员通道单独绑定LDAP认证对象，就能实现你的需求。

内容的提问来源于stack exchange，提问作者sachinrameshch