Quando você recebe um erro "não" no Windows usando o IBM WebSphere MQ (agora conhecido como IBM MQ), quase certamente significa que você está encontrando um mqrc_not_authorized erro.

Aqui está um colapso do que isso significa e como solucionar problemas:

O que MQRC_NOT_AUTHORIZELED (ou Código de Razão 2035) significa:

Este é o erro de autorização mais comum no MQ. Indica que o ID do usuário (ou o contexto do usuário sob o qual o aplicativo está em execução) * não * tem as permissões necessárias para executar a ação que está tentando fazer em um recurso MQ específico. Pense nisso como tentar acessar um arquivo no seu computador sem as permissões de leitura/gravação necessárias.

cenários e causas comuns:

1. contexto de ID de usuário incorreto:
* Correndo como um usuário diferente: O aplicativo pode estar em execução em uma conta de usuário do Windows diferente daquele que você acha que é. Isso pode acontecer se você alterar as contas de serviço, as tarefas agendadas ou estiver executando o aplicativo de um prompt de comando com privilégios elevados (por exemplo, "execute como administrador").
* Usuário incorreto para aplicativos com+: Se o seu aplicativo estiver usando os serviços COM+, a identidade configurada para o aplicativo COM+ será crucial. Verifique se está usando uma conta com permissões de MQ.
* WebSphere Application Server (Was) problemas: Se o seu aplicativo for implantado no WebSphere Application Server, verifique se o ID do usuário configurado para a fonte de dados e os mapeamentos de função de segurança do aplicativo estão corretamente autorizados no MQ.

2. Permissões de objeto MQ ausentes ou incorretas:
* Acesso à fila: O usuário não possui `+get`,`+put`, `+Browse` ou outras permissões necessárias na fila específica que o aplicativo está tentando acessar. As permissões `+Connect` e`+Inquirire` também são frequentemente necessárias.
* Acesso ao gerente da fila: O usuário não possui autoridade `+Connect` para o próprio gerente de filas. Este é um requisito fundamental.
* Acesso ao canal: Se o aplicativo se conectar remotamente, o usuário não possui autoridade `+Connect` ao canal de conexão do servidor (SVRConn). Também pode precisar de permissões para usar o canal, como `+altuser` ou`+setall`, dependendo de como os registros de autenticação do canal (Chlauth) estão configurados.
* Definição do processo (processo) Acesso: Se o aplicativo estiver usando monitores de gatilho, o usuário precisará de `+Get` Authority na fila de iniciação e acesso apropriado na definição do processo.
* Acesso ao tópico: Para publicar/assinar aplicativos, o usuário precisa das permissões de assinatura e publicação apropriadas sobre o tópico ou a sequência de tópicos.

3. registros de Chlauth (registros de autenticação de canal):
* canais bloqueados: A Chlauth Records pode bloquear explicitamente determinados IDs de usuário ou endereços IP do uso de canais específicos. Se um registro Chlauth estiver impedindo que o usuário se conecte, o erro será exibido como `mqrc_not_authorized`.
* atributo mcAuser: O atributo `McAuser` no canal de conexão do servidor (SVRConn) especifica o ID do usuário que será usado quando um cliente se conectar. Se `McAuser` for definido incorretamente ou não configurado corretamente, ele poderá levar a problemas de autorização.

4. Objetos da Autoridade do Objeto (OAM) Questões de configuração:
* políticas incorretas do OAM: O OAM é responsável por aplicar políticas de segurança. Políticas incorretas podem negar inadvertidamente o acesso aos recursos do MQ.
* Associação do grupo: O usuário pode ser membro de um grupo Windows, mas o grupo não recebeu as permissões de MQ necessárias.

5. práticas de codificação incorretas:
* sem passar credenciais corretamente: Se o aplicativo for projetado para passar as credenciais do usuário para o MQ para autorização, verifique se essas credenciais estão sendo passadas corretamente (por exemplo, usando o campo `userID` no MQMD ou na estrutura` SecurityParameters` ao conectar).
* Usando o contexto do usuário padrão incorretamente: Contar com o contexto padrão do usuário pode ser problemático, especialmente em arquiteturas de várias camadas. Especificar explicitamente o ID do usuário geralmente é mais confiável.

Solução de problemas de etapas:

1. Identifique o ID do usuário:
* dos registros de aplicativos: Verifique os logs do aplicativo para qualquer mensagem relacionada à conexão ou autorização MQ. A mensagem de erro pode conter o ID do usuário que está sendo usado.
* de MQ Error Logs: Examine os logs de erro MQ (AMQERR01.LOG) no servidor do gerenciador de filas. Esses logs fornecem informações detalhadas sobre a falha da autorização, incluindo o ID do usuário, o objeto que está sendo acessado e as permissões que estão faltando.
* do código do aplicativo: Depure o código do aplicativo para determinar como o ID do usuário está sendo determinado e passado para o MQ.
* Windows Process Explorer (SysInternalths): Use o Process Explorer para identificar o contexto do usuário sob o qual o aplicativo está em execução. Isso é particularmente útil para serviços ou aplicativos em diferentes contas.

2. Verifique as permissões do objeto MQ:
* usando `dspmqaut` (Autoridade MQ de exibição): Este comando é sua ferramenta principal. Execute -o para exibir as permissões concedidas a um usuário ou grupo específico em um objeto MQ específico (gerenciador de filas, fila, canal etc.).
* Exemplo:`dspmqaut -m qmgrname -t qmgr -p userid` (mostra permissões para` userID` na fila gerenciador `qmgrname`)
* Exemplo:`dspmqaut -m qmgrname -t fileeue -n queuename -p userid` (mostra permissões para` userID` na fila `queuename`)
* Exemplo:`dspmqaut -m qmgrname -t canal -n canalname -p userID` (mostra permissões para` userID` no canal `canalname`)
* MQ Explorer (GUI): Você também pode visualizar e modificar as permissões de objeto através da GUI do MQ Explorer (clique com o botão direito do mouse no objeto, selecione "Propriedades", depois vá para a guia "Autoridade registros").

3. Examine os registros de Chlauth:
* usando `dspmqchauth` (registros de autenticação do canal de exibição):
* Exemplo:`dspmqchauth -m qmgrname -t chlauth -n ChannelName` (mostra todos os registros Chlauth para canal` canalname`
* MQ Explorer: Você também pode visualizar e gerenciar registros Chlauth na GUI do MQ Explorer (clique com o botão direito do mouse no gerenciador de filas, selecione "Propriedades", depois vá para a guia "Channel Authentication Records").
* Verifique se há regras de bloqueio: Procure registros Chlauth que possam estar bloqueando explicitamente o ID do usuário, o endereço IP ou o nome do cliente.
* Verifique o atributo `McAuser`: Verifique o atributo `McAuser` no canal SVRConn. Está definido corretamente? Se estiver usando um ID de usuário genérico, verifique se o ID do usuário possui as permissões necessárias.

4. permissões de concessão (usando `setMqaut`):
* Depois de identificar as permissões ausentes, use o comando `setMqaut` para conceder -lhes.
* Exemplo:`setMqaut -m qmgrName -t qmgr -n +Connect -g" domain \ groupName "` (subsídios conecta permissão ao gerenciador de filas ao grupo de domínio especificado)
* Exemplo:`setMqaut -m qmgrName -t fileeue -n queuename -g" domain \ groupName " +get +put +Browse` (subsídios, coloque e navegue e navegue para a fila para o grupo de domínio especificado)
* Exemplo:`setMqaut -m qmgrName -t Channel -n ChannelName -p UserID +Connect` (subsídios conectam permissão ao canal a um usuário específico)

5. Atualizar segurança:
* Depois de fazer alterações nas permissões de objeto ou registros de Chlauth, atualize a segurança, emitindo o comando:`Refresh Security Type (Connauth)` para alterações na autenticação de conexão. Se isso não funcionar, tente reiniciar o gerente da fila.

6. simplificar e testar:
* teste com `amqsputc` e` amqsgetc`: Use os programas de amostra `amqsputc` (para colocar uma mensagem) e` amqsgetc` (para obter uma mensagem) para verificar a conectividade e a autorização básicas. Estes são excelentes para isolar o problema. Execute -os no mesmo servidor que o servidor MQ inicialmente. Se isso funcionar, execute -os de uma máquina cliente.
* Reduza a complexidade: Comece com a configuração mais simples possível e adicione gradualmente a complexidade. Por exemplo, conecte -se inicialmente ao gerenciador de filas sem o Chlauth ativado e, em seguida, adicione e refine gradualmente as regras do Chlauth.

7. Consulte a documentação e o suporte da IBM:
* IBM MQ Documentação: A documentação do IBM MQ é a sua melhor fonte para obter informações detalhadas sobre autorização, Chlauth e outros recursos de segurança.
* IBM Suporte: Se você ainda estiver preso, considere abrir um caso de suporte com a IBM. Eles têm especialistas que podem ajudá -lo a diagnosticar e resolver problemas complexos de autorização.

Considerações importantes:

* grupos vs. usuários individuais: Geralmente, é uma prática recomendada conceder permissões aos grupos Windows, em vez de usuários individuais. Isso facilita muito a administração, especialmente em ambientes maiores.
* Menos privilégio: Conceda apenas as permissões mínimas necessárias para cada usuário ou grupo.
* Auditoria: Permitir a auditoria de eventos relacionados à segurança para ajudá-lo a rastrear falhas de autorização e identificar possíveis problemas de segurança.

Seguindo sistematicamente essas etapas de solução de problemas e revisando cuidadosamente os logs de erros e a configuração do MQ, você poderá diagnosticar e resolver o erro "não autorizado" em seu ambiente IBM MQ. Lembre -se de que a identificação precisa do ID do usuário e um entendimento completo dos conceitos de segurança MQ são cruciais para o sucesso.