WebSphere MQ, работающий под локальной учетной записью или группой, не может читать членство в группах для пользователя Active Directory. Обходной путь или альтернативное решение?

Я разрабатываю приложение, использующее WebSphere MQ v6.0. WebSphere MQ в настоящее время не работает из-за следующей проблемы:

  • служба WebSphere MQ работает под локальным пользователем " MUSR_MQADMIN "в локальной группе"mqm"
  • Я пытаюсь использовать сервис, используя свою учетную запись, BIZnoahz
  • MUSR_MQADMIN должен проверить, находится ли BIZnoahz в локальной группе "mqm"
  • MUSR_MQADMIN не имеет разрешения на чтение группы Active Directory членство Бизnoahz
  • в файле журнала MQ появляется следующая ошибка:

----- amqzfubn.c : 3582 -------------------------------------------------------

1/31/2011 18:51:32 - процесс (704.1105) пользовательская(MUSR_MQADMIN) программа(amqzlaa0.исполняемый)
AMQ8079: отказано в доступе при попытке получить членство в группе
информация для пользователя 'noahz@biz'.

пояснение:
WebSphere MQ, работает с полномочия пользователя 'musr_mqadmin@noahz-biz',
не удалось получить сведения о членстве в группе для указанного пользователя.
ДЕЙСТВИЕ:
Убедитесь, что разрешения доступа Active Directory разрешить пользователю
'musr_mqadmin@noahz-Биз' в группах пользователя 'noahz@Биз'. К
получить информацию о членстве в группе для пользователя домена, MQ должен работать с
полномочия пользователя домена.

----- amqzfubn.c: 3582 -------------------------------------------------------

Я нашел более подробную информацию здесь, на веб-сайте IBM:
http://publib.boulder.ibm.com/infocenter/wmqv7/v7r0/index.jsp?topic=/com.ibm.mq.amqtac.doc/wq10830_.htm

У меня нет прав администратора Active Directory для моей машины Windows, поэтому мой вопрос:

есть ли что-нибудь еще, что я могу сделать, чтобы решить (или обойти) эту проблему и снова заставить WebSphere MQ работать на меня? Для например, можно ли отключить эту проверку безопасности в WebSphere MQ?

обновление вот ответ, который я получил от поддержки IBM:

обычно эти ошибки указывают на проблему с идентификатором пользователя, под которым настроена служба MQ в dcom. Если вы не уверены, что это userid, вы можете проверить следующее:

Откройте командную строку и введите команду dcomcnfg.
После открытия MMC служб компонентов дважды щелкните " компонент Заслуги"
дважды щелкните "компьютер"
дважды щелкните "Мой компьютер"
дважды щелкните "DCOM Config".
В окне, найдите "сервисы IBM MQSeries", и на нем правой кнопкой мыши, выберите Свойства.
Нажмите на вкладку" Identity". Он должен показать" этого пользователя", а затем идентификатор.

убедитесь, что идентификатор служб MQ (на вкладке удостоверение выше) имеет необходимые права локально. Предоставьте ему любые права, которые отсутствуют для следующего:

открыть Пуск - >Программы - >Администрирование - >Локальные Параметры Безопасности.

откройте Локальные политики, затем назначения прав пользователя, дважды щелкните, чтобы проверить, что установлены следующие права:


- Вход в систему как пакетное задание


- Вход в систему как сервис


- Выключите систему


- Отладка программ


- Увеличение квот


- Действовать как часть операционной системы


- Обходить траверс проверка


- Замена маркера уровня процесса

конечным результатом стало то, что мой ИТ-отдел и InfoSec решили, что WebSphere MQ является "серверным программным обеспечением" и поэтому не допускается на отдельных рабочих станциях, поэтому я даже не проверял вышеупомянутое решение!

9
задан fixer1234
17.05.2023 22:07 Количество просмотров материала 2914
Распечатать страницу

5 ответов

хотя я не смог найти вышеупомянутые записи DCOM (V7.1 родственник?), Я смог с помощью ранее упомянутой runas-tip создать, запустить и подключиться к локальной Windows V7.1 Qmgr без доступа к Active Directory. Вот что я сделал:

  • изменить пароль пользователя MUSR_MQADMIN в lusrmgr Windows
  • проверьте, что MQService остановлен
  • в списке служб измените пароль пользователя MUSR_MQADMIN как ну
  • открыть DOSbox и выполнить: C:> runas / пользователь: MUSR_MQADMIN " crtmqm QMGR1" C:> runas / пользователь: MUSR_MQADMIN " strmqm QMGR1" (обратите внимание, что для каждой команды вам нужно будет указать пароль)
  • щелкните правой кнопкой мыши значок MQ на панели задач и выберите "WebSphere MQ Explorer"
  • В MQ Explorer открывает и должны указать на "qmgr" "QMGR1" с красным стрелка, указывающая вниз. Щелкните этот значок правой кнопкой мыши и выберите "пуск"..."
  • во всплывающем окне выберите " Start interactive" и нажмите кнопку "OK"
  • значок QMGR1 теперь должен иметь зеленую стрелку, указывающую вверх (запущен) а его квадрат должен быть желтым (Соединенным).
  • в Проводнике MQ создайте очередь с именем TEST1 и сделайте ее сохраняемость по умолчанию постоянной
  • в DOSbox выполнить:

    C:> amqsput TEST1 QMGR1 Введите сообщение ... а затем пустая строка для завершения примера программы
  • Теперь проверьте в MQ Explorer, что ваше сообщение там!

Совет: МQ returncodes можно быстро проверить с помощью команды "mqrc , Ф.я. С:>mqrc 2085

3
отвечен Rob van der Spek 2023-05-19 05:55

WebSphere MQ всегда должен получать членство в группе любого ID, пытающегося запустить его компоненты или авторизовать доступ к его ресурсам. Если эти идентификаторы не являются локальными, MQ потребуются права для выполнения поиска членства SAM в домене, которому принадлежит идентификатор. Есть несколько обходных путей:

  1. использовать локальный идентификатор. MQ всегда сможет выполнять поиск в локальной базе данных SAM, так как она должна быть установлена администратором и иметь предоставил себе соответствующие локальные права во время установки. Это не обязательно должен быть MUSR_MQADMIN, но он должен быть в группе mqm, если он собирается запустить QMgr.
  2. использовать WMQ Explorer, чтобы начать на "qmgr". Любая последняя версия Wmq Explorer будет запрашивать различные параметры, один из которых должен запустить QMgr под ID, которому принадлежит сервис. После того, как он запущен, вы можете использовать свой обычный идентификатор для доступа к очередям и тематическое направление.

обновление:

Жаль, что я не думал об этом, прежде чем ваш ИТ-отдел зажат, но можно отключить диспетчер полномочий объектов. Это компонент, который выполняет поиск в домене AD. Я знаю, что отключение его позволяет что-нибудь для подключения к QMgr без проблем разрешения домена. Я уверен это также позволяет вашему ID выполнять процессы, которые запускают QMgr.

1
отвечен T.Rob 2023-05-19 08:12

Я также разрабатываю приложение с помощью WebSphere Message Broker. В настоящее время у меня есть издание "developer". Я нашел способ обойти это, установив MQ с отключенным наблюдением членства SAM.

для этого я запустил "Websphere MQ Launchpad" (запуск программы установки).exe в Windows) из каталога установки (Websphere_MQ_V7.5). На вкладке "конфигурация сети" можно отключить настройку идентификатора пользователя. Выберите " No " и выполните установку.

Не что это может быть не лучшим вариантом для рабочей среды и среды контроля качества.

1
отвечен ajkret 2023-05-19 10:29

Я знаю, что это старый вопрос, но с тех пор я сталкивался с этим несколько раз; поэтому я решил поделиться своим опытом.

то, что я сделал, было получить через установщик, выбрав нет для параметров пользователя домена; затем:

  1. проверьте, что служба запущена как локальная системная учетная запись (Диспетчер задач -> службы -> Службы -> IBM Websphere MQ -> свойства -> войти -> локальная системная учетная запись)
  2. задайте для переменной среды значение отключить OAM (ВНИМАНИЕ: ЭТО ОТКЛЮЧАЕТ АУТЕНТИФИКАЦИЮ В MQ), установив MQSNOAUT=NO
  3. добавить всех в группу MQM, чтобы быть на безопасной стороне.

это сработало для меня, во всяком случае (Windows 7)

1
отвечен simonalexander2005 2023-05-19 12:46

Я думаю, что лучше всего использовать runas для запуска от имени пользователя mq:

runas /user:MUSR_MQADMIN "strmqm <qmgr-name>"
0
отвечен Eduardo Costa 2023-05-19 15:03

Постоянная ссылка на данную страницу: [ Скопировать ссылку | Сгенерировать QR-код ]

Ваш ответ

Опубликуйте как Гость или авторизуйтесь

Имя
Мы используем cookie. Это позволяет нам анализировать взаимодействие посетителей с сайтом и делать его лучше. Продолжая пользоваться сайтом, вы соглашаетесь с использованием файлов cookie. Политика конфиденциальности
Согласен
Вверх