如何为ActiveMQ编写自定义JAAS登录模块读取加密JMX密码文件并生效？

你当前的核心问题是：添加的jaasAuthenticationPlugin仅作用于ActiveMQ客户端连接认证，而非JMX远程连接认证，因此JMX仍在使用默认的FileLoginModule。要让自定义JAAS模块接管JMX的认证授权，需按以下步骤调整配置：

1. 移除原有JMX文件认证配置 #

删除managementContext中environment内的jmx.remote.x.password.file和jmx.remote.x.access.file配置项——这两个配置会强制JMX使用默认文件登录模块，与JAAS配置冲突。

修改后的managementContext基础结构：

<broker useJmx="true" persistent="false" xmlns="http://activemq.apache.org/schema/core">
    ...
    <managementContext>
        <managementContext createConnector="true">
            <property xmlns="http://www.springframework.org/schema/beans" name="environment">
                <map xmlns="http://www.springframework.org/schema/beans">
                    <!-- 移除原有文件路径配置，仅保留JAAS相关配置 -->
                </map>
            </property>
        </managementContext>
    </managementContext>
    ...
</broker>

2. 配置JMX使用自定义JAAS模块 #

在managementContext的environment中添加JMX JAAS配置项，指定使用你定义的MyLoginModule：

<entry key="jmx.remote.login.config" value="MyLoginModule"/>

完整的managementContext配置示例：

<broker useJmx="true" persistent="false" xmlns="http://activemq.apache.org/schema/core">
    ...
    <managementContext>
        <managementContext createConnector="true">
            <property xmlns="http://www.springframework.org/schema/beans" name="environment">
                <map xmlns="http://www.springframework.org/schema/beans">
                    <entry key="jmx.remote.login.config" value="MyLoginModule"/>
                    <!-- 可选：开启JAAS调试，排查认证问题 -->
                    <!-- <entry key="java.security.auth.debug" value="all"/> -->
                </map>
            </property>
        </managementContext>
    </managementContext>
    ...
</broker>

3. 确保JAAS配置文件被加载 #

在ActiveMQ启动脚本（如bin/activemq或bin/activemq.bat）中添加JVM参数，指定JAAS配置文件路径：

# Linux/macOS 脚本添加
JAVA_OPTS="$JAVA_OPTS -Djava.security.auth.login.config=/实际路径/login.config"

# Windows 脚本添加
set JAVA_OPTS=%JAVA_OPTS% -Djava.security.auth.login.config=C:\实际路径\login.config

4. 完善自定义EncryptedLoginModule实现 #

你的EncryptedLoginModule必须实现javax.security.auth.spi.LoginModule接口，核心逻辑需覆盖：

• 读取加密密码文件，验证用户名与加密密码的正确性
• 读取权限配置，为认证通过的用户分配对应角色（如read/write）
• 在commit()方法中，将用户角色作为Principal添加到Subject，供JMX授权使用

关键逻辑示例：

public class EncryptedLoginModule implements LoginModule {
    private Subject subject;
    private CallbackHandler callbackHandler;
    private String username;

    @Override
    public void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {
        this.subject = subject;
        this.callbackHandler = callbackHandler;
    }

    @Override
    public boolean login() throws LoginException {
        // 获取用户输入的用户名密码
        NameCallback nameCallback = new NameCallback("Username:");
        PasswordCallback passwordCallback = new PasswordCallback("Password:", false);
        try {
            callbackHandler.handle(new Callback[]{nameCallback, passwordCallback});
        } catch (Exception e) {
            throw new LoginException("获取凭证失败：" + e.getMessage());
        }
        username = nameCallback.getName();
        String inputPassword = new String(passwordCallback.getPassword());

        // 自定义逻辑：验证加密密码
        if (!verifyEncryptedPwd(username, inputPassword)) {
            throw new LoginException("用户名或密码错误");
        }
        return true;
    }

    @Override
    public boolean commit() throws LoginException {
        // 自定义逻辑：读取用户角色并添加到Subject
        String role = getUserRole(username);
        subject.getPrincipals().add(new JMXPrincipal(role));
        return true;
    }

    // 其他方法（abort、logout）按需实现
    @Override
    public boolean abort() throws LoginException { return false; }
    @Override
    public boolean logout() throws LoginException { return false; }

    // 自定义加密密码验证逻辑
    private boolean verifyEncryptedPwd(String username, String inputPwd) {
        // 实现你的加密密码校验逻辑
    }

    // 自定义角色获取逻辑
    private String getUserRole(String username) {
        // 实现从权限文件读取角色的逻辑
    }
}

5. 部署自定义模块 #

将包含EncryptedLoginModule的jar包放入ActiveMQ的lib目录，确保启动时能加载到该类。

6. 验证配置 #

重启ActiveMQ，使用JMX客户端（如jconsole、VisualVM）尝试登录，此时系统会使用你的自定义EncryptedLoginModule处理认证授权。

内容的提问来源于stack exchange，提问作者deva