如何阻止IBM MQ AMQP订阅者访问非授权主题？权限配置求助

咱们一步步来解决这个AMQP权限问题，我之前碰到过类似的情况，大多是因为MQ的对象类型映射或者通道配置没弄对导致的。

问题根源分析 #

你当前给用户xyz配置T01权限时用了-t queue参数，但MQ中AMQP主题对应的是topic类型的对象，不是普通队列。这就导致你之前的权限配置根本没作用在AMQP主题上，所以xyz能绕过限制订阅T01。

解决方案步骤 #

1. 修正权限配置的对象类型 #

把针对T01的权限命令从-t queue改为-t topic，明确拒绝xyz的发布/订阅权限：

# 重新配置xyz对T01的权限，明确拒绝pub和sub
setmqaut -m QM01 -t topic -n T01 -p xyz -all -pub -sub

然后用以下命令验证权限是否生效：

dspmqaut -m QM01 -t topic -n T01 -p xyz

正常输出里应该能看到pub和sub权限标记为deny。

2. 检查AMQP通道的身份覆盖配置 #

如果通道配置了MCAUSER参数，会强制替换客户端传递的用户身份，这也会导致权限检查失效。咱们来排查：

1. 进入MQ命令行工具：

runmqsc QM01

2. 查询CHL02的MCAUSER配置：

DIS CHANNEL(CHL02) MCAUSER

3. 如果输出的MCAUSER不是空白，而是其他用户（比如abc），说明通道强制用了这个用户身份，需要修改为空白让客户端身份生效：

ALTER CHANNEL(CHL02) MCAUSER('')

4. 刷新安全配置让修改生效：

REFRESH SECURITY TYPE(CONNAUTH)

然后退出命令行：

END

3. 验证AMQP服务的安全策略 #

确保MQ的AMQP服务没有开启宽松的默认权限：

runmqsc QM01
DIS SERVICE(AMQP)

检查输出中的CONTROL和DESCRIPTION，确认服务是遵循队列管理器的安全策略，没有额外开放权限。

4. 测试验证 #

用xyz身份通过amqp://localhost:5671尝试订阅T01，此时应该收到权限拒绝的错误，符合你的预期。

内容的提问来源于stack exchange，提问作者Sagii