IBM MQ Console 和 REST API 安全性

通过编辑 mqwebuser.xml 文件中的 mqweb 服务器配置来配置 IBM® MQ Console 和 REST API 的安全性。

1. 定义用户注册表以认证用户，并为每个用户或组分配角色以授权用户和组使用 IBM MQ Console 或 REST API。 有关更多信息，请参阅 配置用户和角色
2. 选择 IBM MQ Console 的用户如何向 mqweb 服务器进行认证。 您不必对所有用户使用相同的方法:
   • 使用令牌认证来认证用户。 在这种情况下，用户在 IBM MQ Console 登录屏幕上输入用户标识和密码。 这会生成一个 LTPA 令牌，可让用户在一段时间内保持登录和授权状态。 无需进一步配置即可使用此认证选项，但您可以选择配置 LTPA 令牌的到期时间。 有关更多信息，请参阅 配置 LTPA 令牌到期时间间隔。
   • 使用客户机证书来认证用户。 在这种情况下，用户不会使用用户标识或密码来登录到 IBM MQ Console，而是改为使用客户机证书。 有关更多信息，请参阅 将客户机证书认证用于 REST API 和 IBM MQ 控制台。
3. 选择 REST API 的用户如何向 mqweb 服务器进行认证。 您不必对所有用户使用相同的方法:
   • 使用 HTTP 基本认证来认证用户。 在这种情况下，将对用户名和密码进行编码，但不对其进行加密，并随每个 REST API 请求一起发送该用户名和密码，以针对该请求对该用户进行认证和授权。 为保证此认证的安全，必须使用安全连接。 即，必须使用 HTTPS。 更多信息，请参阅 《使用 HTTP 基本认证与REST API 》。
   • 使用令牌认证来认证用户。 在这种情况下，用户通过 HTTP向 REST API login 资源提供用户名和密码。 这会生成一个 LTPA 令牌，可让用户在一段时间内保持登录和授权状态。 有关更多信息，请参阅 将基于令牌的认证与 REST API 配合使用。

     为保证此认证的安全，必须使用安全连接。 即，必须使用 HTTPS。 但是，如果您启用了 HTTP ，则允许为 HTTPS颁发的 LTPA 令牌用于 HTTP。 有关更多信息，请参阅 配置 LTPA 令牌。

   • 使用客户机证书来认证用户。 在这种情况下，用户不会使用用户标识或密码来登录到 REST API，而是改为使用客户机证书。 有关更多信息，请参阅 将客户机证书认证用于 REST API 和 IBM MQ 控制台。
4. 可选: 为 REST API配置跨源资源共享。

   默认情况下，当脚本与 REST API 不是来自同一来源时，网络浏览器不允许脚本（如 JavaScript, ）调用 REST API 。 即，未启用跨源请求。 您可以配置跨源资源共享 (CORS) 以允许来自指定 URL 的跨源请求。 有关更多信息，请参阅 为 REST API 配置 CORS。

5. 可选: 配置 IBM MQ Console 和 REST API的主机头验证。

   您可以配置主机头验证并创建主机名和端口的允许列表，以确保 IBM MQ Console 和 REST API仅处理包含特定主机头的请求。 有关更多信息，请参阅 为 IBM MQ 控制台和 REST API 配置主机头验证。