如何在iAPC（Swisscom应用云）中实现RabbitMQ的用户访问权限管控？

首先明确：你完全可以创建不同的RabbitMQ用户并配置精细的读写权限，只是因为管理GUI不可用，需要通过命令行工具或iAPC的服务机制来实现。下面是具体的操作步骤和实践建议：

1. 获取RabbitMQ的管理凭证 #

因为GUI无法使用，第一步要拿到RabbitMQ的管理员级凭证来操作权限：

• 用Cloud Foundry的cf命令行工具创建并获取服务密钥：

  cf create-service-key your-rabbitmq-service instance-admin-key
  cf service-key your-rabbitmq-service instance-admin-key
  

  这个命令会返回RabbitMQ的管理员用户名、密码、AMQP地址和管理API URL，这些是后续操作的核心凭证。

2. 创建专用用户并配置权限 #

方式一：用rabbitmqctl命令操作 #

如果你的本地环境安装了rabbitmqctl，可以通过远程连接操作（注意iAPC的RabbitMQ实例可能需要内部网络访问，或者通过绑定的应用做端口转发）：

• 先验证连接：

  rabbitmqctl -u amqp://admin-username:admin-password@rabbitmq-host:port list_users
  

• 创建应用A的专属用户（仅允许写入队列X）：

  rabbitmqctl add_user app_a_writer secure-app-a-pass
  rabbitmqctl set_permissions -p / app_a_writer "^$" "^queue_x$" "^$"
  

  权限格式为set_permissions [-p vhost] user configure write read，这里给app_a_writer的write权限仅限定队列X，configure和read权限设为空，确保它只能写入，无法修改队列配置或读取其他资源。

• 创建应用B的专属用户（仅允许读取队列X）：

  rabbitmqctl add_user app_b_reader secure-app-b-pass
  rabbitmqctl set_permissions -p / app_b_reader "^$" "^$" "^queue_x$"
  

  同样，仅给app_b_reader开放队列X的read权限，限制其写入和配置操作。

方式二：用RabbitMQ HTTP API操作 #

如果rabbitmqctl不好用，也可以通过管理API完成操作：

• 创建用户：

  curl -u admin-username:admin-password -X PUT http://rabbitmq-host:port/api/users/app_a_writer -d '{"password":"secure-app-a-pass","tags":"none"}'
  

• 设置权限（注意vhost/要转义为%2F）：

  curl -u admin-username:admin-password -X PUT http://rabbitmq-host:port/api/permissions/%2F/app_a_writer -d '{"configure":"^$","write":"^queue_x$","read":"^$"}'
  

3. 在iAPC中绑定应用到专用用户 #

创建好用户后，直接在应用配置中使用这些专用凭证即可：

• 对于应用A，在manifest.yml或环境变量中设置AMQP连接字符串：

  amqp://app_a_writer:secure-app-a-pass@rabbitmq-host:port/%2F
  

• 应用B同理，使用app_b_reader的凭证。

如果想通过iAPC的服务绑定机制管理，也可以创建自定义服务密钥，但手动配置专用用户凭证的安全性更高（避免应用拿到管理员权限）。

验证权限的小技巧 #

可以临时部署一个测试应用，分别用两个用户的凭证尝试：

• 用app_a_writer尝试读取队列X，应该被拒绝
• 用app_b_reader尝试写入队列X，应该被拒绝
  确保权限配置完全符合预期。

内容的提问来源于stack exchange，提问作者simoncuche