如何在Artemis Web控制台按地址为域用户拆分操作权限

核心结论 #

不能直接通过broker.xml中的地址权限限制Web GUI的操作，因为Web GUI依赖的管理API权限与broker.xml控制的消息操作权限是两套独立机制。你需要在management.xml中通过资源匹配掩码来实现域用户仅操作自身队列的需求，无需逐个队列手动配置。

具体实现思路 #

1. 关联用户组与队列/地址：为域用户按其对应的队列/地址前缀分配专属组（比如用户alice对应队列queue.alice.*，则将其加入alice-queue-group组）。
2. 在management.xml中配置带掩码的权限块：利用Artemis支持的通配符匹配，批量为对应队列/地址授予指定组的管理方法权限。

示例配置片段：

<security-settings>
  <!-- 匹配所有以queue.user.开头的队列，授予对应组list、browse、get等方法权限 -->
  <security-setting match="queue.user.*">
    <permission method="list" roles="user-*"/>
    <permission method="browse" roles="user-*"/>
    <permission method="get" roles="user-*"/>
    <!-- 按需添加其他允许的管理方法 -->
  </security-setting>
</security-settings>

关键说明 #

• broker.xml的权限仅控制消息生产消费层面的操作（如send、browse），不涉及Web GUI调用的管理API；
• management.xml的resource-pattern支持*和#通配符（*匹配单层路径，#匹配多层），可高效批量配置同类型队列的权限；
• 需确保域用户的组命名与队列掩码规则对应，保证权限的精准匹配。

内容的提问来源于stack exchange，提问作者Faringot