IBM MQ是否支持仅采用用户名+密码的队列管理器认证方式？

当然可以！IBM MQ完全支持不依赖LDAP的本地用户名+密码认证方式，你可以直接使用操作系统本地用户（或MQ专属的本地用户）的凭据来完成连接认证，下面是具体的配置和验证步骤：

一、确认队列管理器的认证信息配置 #

首先，你需要确保队列管理器启用了本地用户名密码认证规则：

• 查看当前队列管理器的认证信息对象：

  DISPLAY AUTHINFO(*) ALL
  

• 默认情况下，MQ会自带一个SYSTEM.DEFAULT.AUTHINFO.IDPWOS的认证信息对象，它使用操作系统的用户密码进行认证。如果这个对象存在，你可以直接使用，或者修改它的属性（比如强制要求客户端提供凭据）：

  ALTER AUTHINFO(SYSTEM.DEFAULT.AUTHINFO.IDPWOS) AUTHTYPE(IDPWOS) ADOPTCTX(YES) CHCKCLNT(REQUIRED)
  

  其中CHCKCLNT(REQUIRED)表示强制客户端提供用户名和密码，ADOPTCTX(YES)表示使用该用户的上下文进行后续权限检查。

二、配置通道的认证规则 #

接下来需要确保客户端连接通道允许使用用户名密码认证：

1. 首先，确保通道没有硬编码固定的MCAUSER（本地认证时我们需要使用客户端传入的用户）：

   ALTER CHANNEL(你的客户端通道名) CHLTYPE(SVRCONN) MCAUSER('')
   

2. 添加或修改CHLAUTH规则，强制要求客户端提供凭据：

   SET CHLAUTH(你的客户端通道名) TYPE(USERMAP) CLNTUSER('*') USERSRC(CHANNEL) CHCKCLNT(REQUIRED)
   

   这条规则表示对所有连接到该通道的客户端，强制检查用户名和密码，并使用客户端传入的用户身份进行认证。

三、创建并授权本地用户 #

1. 在MQ服务器所在的操作系统上创建一个用户（比如mquser），并将其添加到MQ的授权组（通常是mqm组）：
   • Linux/Unix环境：

     useradd mquser
     usermod -aG mqm mquser
     passwd mquser
     

   • Windows环境：
     在「计算机管理」中创建用户，将其添加到mqm本地组，设置好密码。
2. 给该用户授予队列管理器的基本连接权限：

   SET AUTHREC PROFILE(你的队列管理器名) OBJTYPE(QMGR) PRINCIPAL('mquser') AUTHADD(CONNECT,INQ)
   

   如果需要让用户访问特定队列，再补充对应的权限：

   SET AUTHREC PROFILE(你的队列名) OBJTYPE(QUEUE) PRINCIPAL('mquser') AUTHADD(PUT,GET,BROWSE)
   

四、客户端连接测试 #

以Java客户端为例，你可以在连接时直接指定用户名和密码：

MQQueueManager qmgr = new MQQueueManager("QMGR_NAME",
    new MQEnvironment() {{
        hostName = "MQ_SERVER_HOST";
        port = 1414;
        channel = "SVRCONN_CHANNEL_NAME";
        userID = "mquser";
        password = "mquser_password";
    }});

使用MQ Explorer连接时，在连接向导中选择「使用用户名和密码」，填入对应的凭据即可完成认证。

注意事项 #

• 确保队列管理器的全局CHCKCLNT属性没有设置为NONE（否则会跳过认证检查）：

  DISPLAY QMGR CHCKCLNT
  

  如果是NONE，可以修改为REQUIRED或OPTIONAL：

  ALTER QMGR CHCKCLNT(REQUIRED)
  

• 避免使用空密码，确保用户密码符合操作系统的安全策略。

内容的提问来源于stack exchange，提问作者Neir0