ActiveMQ Artemis添加用户时抛出安全异常的原因排查

错误原因分析 #

你遇到的AMQ229031用户验证失败错误，主要源于以下几种情况：

• 执行命令的用户权限不足：你通过--user-command-user guest指定连接broker的操作用户，但默认情况下guest仅拥有普通消息收发权限，不具备添加/修改用户这类管理操作的权限，broker会直接拒绝无权限的管理请求。
• 连接用户参数混淆：虽然你指定了guest作为执行命令的用户，但CLI可能错误地将待添加的adminuser作为连接broker的身份，而该用户当前密码并非你命令中填写的xyz（adminuser是创建实例时就存在的，密码为当时设置的值），从而触发验证失败。
• broker安全配置限制：如果你的broker在broker.xml中配置了严格的安全域规则，要求管理操作必须由admin角色的用户执行，而guest不在该角色范围内，就会被拦截。

解决方案 #

针对上述问题，你可以选择以下方式解决：

1. 使用有管理权限的用户执行命令 #

用创建实例时的adminuser（本身具备管理权限）来执行添加操作，命令如下：

./artemis user add --user adminuser --password xyz --user-command-user adminuser --user-command-password [你的adminuser原密码] --role admin

替换[你的adminuser原密码]为你创建实例时给adminuser设置的密码。

2. 赋予guest用户管理权限 #

如果一定要用guest执行操作，编辑实例目录下的etc/artemis-roles.properties，给guest添加manage角色：

guest=guest,manage

修改后重启broker，再重新执行原命令即可。

3. 直接修改配置文件 #

由于adminuser已经存在，你可以直接编辑配置文件更新密码和角色：

• 编辑etc/artemis-users.properties，修改adminuser的密码为xyz：

  adminuser=xyz
  

• 编辑etc/artemis-roles.properties，确保adminuser关联admin角色：

  admin=adminuser
  

修改后重启broker即可生效，无需使用CLI命令。

内容的提问来源于stack exchange，提问作者Sourav Das