Apache RocketMQ ACL 2.0 全新升级
内容提要
RocketMQ ACL 2.0是流行的分布式消息中间件RocketMQ的升级版本，解决了现有ACL 1.0版本面临的安全挑战，并引入了细粒度的API资源权限定义、多种匹配模式的授权资源、支持集群组件访问控制、用户身份验证和权限验证的分离、安全性和性能之间的平衡以及灵活可扩展的插件机制等新功能。文章还提供了访问控制模型、身份验证和授权过程、审计日志、部署架构、集群配置、用户和ACL管理以及扩展和迁移策略的信息。
延伸解读
从ACL 1.0到2.0：安全短板的针对性修补
ACL 1.0存在三大痛点：IP白名单被用于绕过鉴权、仅支持9个管控API的权限控制、集群组件间缺乏访问验证。ACL 2.0将全部API和资源纳入权限体系，并支持组件间访问控制，直接回应了这些风险。对于仍在使用1.0的用户，需注意IP白名单不会自动迁移，若依赖该能力需提前改造。
无状态与有状态策略：安全与性能的取舍
ACL 2.0提供两种认证授权策略。无状态策略对每个请求独立校验，权限变更实时生效，但高吞吐下会增加CPU和耗时；有状态策略对同一连接、相同资源和操作仅首次完整校验，后续复用结果，降低开销但权限变更无法实时生效。选择时需权衡安全要求和性能需求，高安全场景可选无状态，高并发场景可考虑有状态。
RBAC与ABAC融合：权限模型的灵活设计
ACL 2.0将RBAC和ABAC结合。超级用户自动拥有全部权限，简化初始化运维；普通用户需显式授权，并可通过ABAC基于用户、资源、环境、操作等属性精细控制。资源匹配支持完全、前缀和通配符三种模式，操作类型细化为PUB、SUB及CREATE等，便于按需配置。用户状态管理支持启用禁用，可在密码泄露时快速止损。
迁移与扩展：平滑升级和未来可塑性
从ACL 1.0迁移至2.0只需在Broker配置中开启migrateAuthFromV1Enabled，启动时会自动将1.0的用户权限写入2.0存储，已存在的用户和权限不会被覆盖。但1.0的IP白名单因行为不匹配不会迁移，需改造后再迁移。ACL 2.0提供插件化机制，支持认证授权方式、流程编排和存储的扩展，未来还计划在Dashboard提供可视化权限管理。
Q&A
RocketMQ ACL 2.0 相比于 1.0 版本有哪些主要改进？
ACL 2.0 解决了 1.0 的安全挑战，增加了细粒度的 API 权限定义、集群组件间访问控制、用户认证与权限校验分离等新特性。
ACL 2.0 如何实现细粒度的权限控制？
ACL 2.0 通过对所有资源进行独立访问控制，并引入完全匹配、前缀匹配和通配符匹配三种授权资源匹配模式来实现细粒度权限控制。
RocketMQ ACL 2.0 支持哪些认证和授权策略？
ACL 2.0 提供无状态和有状态两种认证授权策略，以平衡安全性和性能需求。
ACL 2.0 中的用户状态管理功能有什么作用？
用户状态管理功能允许对用户进行启用与禁用，以应对安全风险，如用户密码泄露，快速阻止非法访问。
如何在 RocketMQ 中配置 ACL 2.0 的认证功能？
在 Broker 配置中设置 authenticationEnabled 为 true，并提供相关的认证提供者和用户信息即可开启认证功能。
ACL 2.0 的审计日志有什么重要性？
审计日志记录所有认证和授权操作，确保系统的可靠性和安全性，并有助于问题排查和合规要求。
