Hermes JMS无法连接到Websphere MQ 7.1（2035错误）

Question

在网上进行了几个小时的反复试验和研究后，问题似乎是由于授权错误而无法连接，但我可以使用Java代码（使用相同的库MQQueueConnectionFactory）连接，也可以使用QueueZee与完全相同的库连接，获得所有队列的列表并浏览它们，这样我就知道用户授权问题不应该是问题所在。

我运行的是Hermes JMS1.14，并且尝试使用Java1.6.0_33和1.7.0_5。Websphere MQ运行在版本7.1.0.0上，库是从远程服务器上的安装中获得的。

我尝试将channel变量设置为system.def.svrconn，这是我在QueueZee中使用的使其工作的方法，但仍然存在相同的问题。

Answer 1

在V7.1中，新的CHLAUTH规则默认情况下关闭对除system.admin.SVRCONN以外的所有system.*通道的访问，并且默认情况下不允许对任何SVRCONN通道进行任何管理访问。为了诊断这种情况，需要知道使用了什么通道、设置的CHLAUTH规则、通道定义（特别是MCAUSER值）以及使用的ID是否在mqm组中。

您没有提到QueueZee设置是否也适用于V7.1QMgr，或者特别是这个。粗略猜测一下，我认为CHLAUTH规则已经启用，system.def.svrconn通道此时已经禁用。建议的步骤是定义一个名称不以System开头的新通道。并确保所使用的ID不在mqm组中，而是被授权为非管理员ID。

或者，可以使用mqm组中的ID，但您必须定义一个CHLAUTH规则来允许它工作。例如，默认的CHLAUTH规则使用通道(*)BLOCKUSER(*mqadmin)，您可以将其更改为通道(the.new.chl.name)BLOCKUSER('nobody')。新规则将比旧规则更具体，因此优先于您的频道。它告诉QMgr阻止用户ID'nobody'，但忽略了*mqadmin。由于'nobody'无论如何都没有访问权限，但由于*mqadmin没有被提及（因此没有被thei规则阻止），该规则的作用是允许管理员访问此通道。

作为一种快速、肮脏和临时的措施，您还可以更改QMGR CHLAUTH(DISABLED)以获得与V7.0和更早版本中的QMGRS相同的行为。但是请注意，这允许使用mqm用户ID执行匿名远程管理和远程代码。这就是更改默认设置的原因。现在，如果需要，您必须显式地提供远程管理访问。

关于此主题的更多信息，我建议您从IMPACT会议中保护您的QMgr演示文稿。

请注意，QMGR不会检查应用程序发送的密码。该字段的存在使得通道出口可以根据AD、LDAP等验证密码。没有这样的出口，密码将被忽略。客户机传入的用户ID可以接受表面值，也可以通过通道的MCAUSER或CHLAUTH规则进行修改。