配置为免认证的IBM MQ连接JavaEE MDB时出现认证错误

核心原因 #

虽然你通过ALTER QMGR CHLAUTH(DISABLED)关闭了通道认证，但IBM MQ仍会执行操作系统级别的用户权限检查——队列管理器会验证连接请求携带的用户ID是否存在于MQ容器的系统中，且拥有连接队列管理器的权限。

JBoss（WildFly）默认以jboss用户进程运行，资源适配器建立MQ连接时，会自动传递这个用户ID到MQ。如果MQ容器内没有jboss用户，或者该用户未被授权访问队列管理器，就会触发JMSWMQ2013认证错误。

具体排查与解决步骤 #

1. 检查MQ容器内是否存在jboss用户 #

进入MQ容器执行以下命令：

cat /etc/passwd | grep jboss

如果没有输出，说明容器内不存在该用户，有两种处理方式：

• 在MQ容器中添加jboss用户，并授予其访问MQ的权限：

  useradd jboss
  usermod -a -G mqm jboss
  

• 或者修改连接配置，使用MQ容器中已存在的有权限用户（比如默认的mqm用户）。

2. 配置MQ通道的MCAUSER属性（推荐） #

给你使用的连接通道设置MCAUSER，指定一个MQ认可的有权限用户（比如mqm），这样连接时会自动用该用户替代jboss用户执行权限检查。执行MQSC命令：

ALTER CHANNEL(你的通道名称) MCAUSER('mqm')

注意替换成实际使用的通道名，比如SYSTEM.DEF.SVRCONN或者你自定义的通道。

3. 修改JBoss资源适配器配置，指定连接用户 #

在JBoss的standalone.xml中，给MQ连接工厂添加userName属性，指定MQ容器内存在的用户（比如mqm）：

<connection-definition class-name="com.ibm.mq.connector.outbound.ManagedConnectionFactoryImpl" 
                        jndi-name="java:/jms/MyMQConnectionFactory" 
                        enabled="true" 
                        pool-name="MyMQConnectionFactoryPool">
    <config-property name="hostName">mq-container</config-property>
    <config-property name="port">1414</config-property>
    <config-property name="queueManager">QM1</config-property>
    <config-property name="channel">SYSTEM.DEF.SVRCONN</config-property>
    <config-property name="userName">mqm</config-property>
    <!-- 如果MQ未设置用户密码，可省略password属性 -->
</connection-definition>

4. 完全关闭MQ的用户认证（仅测试环境使用） #

如果是测试环境，需要彻底取消所有权限检查，可以修改队列管理器的CONNAUTH设置：

ALTER QMGR CONNAUTH(' ')
REFRESH SECURITY TYPE(CONNAUTH)

此方法不推荐用于生产环境，会带来安全风险。

内容的提问来源于stack exchange，提问作者Noel93