新版ibmcom/mq镜像报'mqm组不存在'，如何用htpasswd创建用户？

报错根因 #

IBM MQ 9.2.0.0-r1及以后的官方镜像调整了初始化逻辑，mqm用户组不再是构建阶段预置的静态组，而是容器首次启动时根据环境变量动态生成，因此旧Dockerfile中构建阶段执行useradd -g mqm命令会触发组不存在的报错。

本地调试场景配置步骤 #

1. 调整Dockerfile内容 #

FROM ibmcom/mq:9.2.0.0-r1
ENV LICENSE accept
ENV MQ_QMGR_NAME QM_MY_APP
# 可选：开启HTTP文件认证，方便Web控制台用同一套账号调试，仅本地使用
ENV MQ_ENABLE_HTTP_FILE_AUTH 1

USER root
# 安装htpasswd工具依赖
RUN apt-get update && apt-get install -y --no-install-recommends \
    apache2-utils \
    && rm -rf /var/lib/apt/lists/*

# 创建bcrypt加密的密码文件
RUN mkdir -p /run/mqm
# 此处替换为你需要的用户名和测试密码，-B参数指定使用bcrypt加密
RUN htpasswd -B -c -b /run/mqm/.htpasswd my_user_id 测试密码
# MQ运行用户UID/GID为1001，直接用ID赋权避免构建阶段找不到mqm组报错
RUN chown 1001:1001 /run/mqm/.htpasswd
RUN chmod 400 /run/mqm/.htpasswd

ADD QueueManager /etc/mqm/myapp.mqsc
USER 1001

追加多用户时不要加-c参数，否则会覆盖已有密码文件，追加命令参考：htpasswd -B -b /run/mqm/.htpasswd 其他用户名 其他密码

2. 新增MQ认证配置 #

在你已有的myapp.mqsc文件末尾追加以下配置，让队列管理器读取htpasswd密码文件做认证，同时给测试用户分配必要权限：

# 修改默认OS认证规则，指向自定义密码文件路径
ALTER AUTHINFO(SYSTEM.DEFAULT.AUTHINFO.IDPWOS) AUTHTYPE(IDPWOS) \
  CHCKCLNT(REQUIRED) \
  USERPATH('/run/mqm') \
  PASSWD(YES)
ALTER QMGR CONNAUTH(SYSTEM.DEFAULT.AUTHINFO.IDPWOS)
REFRESH SECURITY TYPE(CONNAUTH)

# 给自定义用户分配权限，可根据实际调试需求调整权限范围
SET AUTHREC PRINCIPAL('my_user_id') OBJTYPE(QMGR) AUTHADD(CONNECT,INQ)
SET AUTHREC PRINCIPAL('my_user_id') OBJTYPE(QUEUE) OBJNAME('*') AUTHADD(PUT,GET,INQ,BROWSE)

注意事项 #

• 以上配置仅用于本地调试场景，生产环境请保持队列管理器默认用户配置，不要修改原生认证规则
• 本地测试密码不要设置过于简单，避免不必要的安全风险

内容的提问来源于stack exchange，提问作者neznayka