AIX与Linux系统下MQ MFT代理运行用户指定及连接MQ管理器用户分离配置问询

针对你提到的两个MQ MFT安全配置需求，我来分享下实际生产环境里常用的实现方法，都是经过验证的方案：

一、指定非默认mqm用户运行MQ MFT代理 #

要让代理用非mqm用户运行，得从用户准备、权限配置到启动方式全流程调整，具体步骤如下：

• 步骤1：创建专用代理用户
  先在AIX/Linux系统上创建目标用户（比如mqmftuser002），一定要把它加入mqm用户组——毕竟MQ的核心资源都是对mqm组开放权限的，能避免后续很多权限问题：

  useradd -g mqm mqmftuser002
  passwd mqmftuser002
  

• 步骤2：调整代理目录权限
  找到你的MFT代理数据目录（通常是/var/mqm/mft/agents/[你的代理名]），修改目录和文件的所有者为新用户，同时确保权限足够：

  chown -R mqmftuser002:mqm /var/mqm/mft/agents/YourAgentName
  chmod -R 775 /var/mqm/mft/agents/YourAgentName
  

• 步骤3：修改启动方式
  如果是用系统服务（比如systemd）启动代理，直接修改服务配置文件里的User和Group为新用户；如果是手动启动，切换到新用户身份再执行启动命令：

  su - mqmftuser002 -c "fteStartAgent YourAgentName"
  

• 验证结果
  启动后用ps -ef | grep fte查进程，就能看到代理进程是用新用户运行的了。

二、保持代理以mqm运行，但连接MQ管理器用其他用户 #

这个需求不需要改变代理进程的运行身份，只需要配置代理的连接凭证就行，具体操作：

• 步骤1：给目标用户配置MQ权限
  先在MQ管理器上给mqmftuser001分配必要的权限——至少要能连接管理器、访问MFT相关的队列。用MQSC命令配置：

  # 赋予访问MFT队列的权限
  SET AUTHREC PROFILE('SYSTEM.FTE.**') OBJTYPE(QUEUE) PRINCIPAL('mqmftuser001') AUTHADD(CONNECT,INQ,PUT,GET)
  # 赋予连接管理器的权限
  SET AUTHREC PROFILE('QMGR') OBJTYPE(QMGR) PRINCIPAL('mqmftuser001') AUTHADD(CONNECT)
  

• 步骤2：修改代理配置文件
  找到代理的agent.properties文件（在代理数据目录下），添加或修改以下配置项，指定连接MQ时用的用户：

  # 指定连接MQ的用户ID
  mq.userid=mqmftuser001
  # 对应的明文密码（如果担心明文不安全，可以用fteEncryptPassword命令加密后替换成mq.password.encrypted）
  mq.password=YourSecurePasswordHere
  

  要是用加密密码，先执行fteEncryptPassword生成加密串，再替换成：

  mq.password.encrypted=YourEncryptedPasswordString
  

• 步骤3：重启代理生效
  重启MFT代理让配置生效：

  fteStopAgent YourAgentName
  fteStartAgent YourAgentName
  

• 验证连接身份
  可以去MQ管理器的日志（比如AMQERR01.LOG）里查连接记录，或者用dspmqconn命令查看，就能确认代理连接MQ时用的是mqmftuser001而非mqm了。

内容的提问来源于stack exchange，提问作者jc303