Autorisations AD MSMQ

Question

Nous avons un système utilisant deux machines pour effectuer un traitement. Appelons la machine qui traite le PROCESSEUR de traitement, et la machine lui donne des éléments pour traiter le SERVEUR. Les deux exécutent Windows Server 2008. Nous avons un service Windows fonctionnant sur SERVER qui doit utiliser MSMQ pour envoyer des messages à un PROCESSOR de file d'attente public.

Sur PROCESSEUR, nous avons un autre service Windows qui extrait les éléments de la file d'attente pour traitement.

Les deux machines sont dans le même domaine et tout fonctionne correctement si nous exécutons les deux services sous des comptes avec des privilèges d'administrateur de domaine. Cependant, nous avons besoin des comptes pour avoir les privilèges minimum possibles (en particulier pour le service sur SERVER). Avant d'élever les droits du compte que nous utilisons pour le service sur PROCESSOR, j'ai essayé de lui donner tous les droits sur MSMQ. Cependant, cela ne semble pas suffisant, et dès que le service a essayé de faire quoi que ce soit avec MSMQ (la première chose à faire est de vérifier si des files d'attente pertinentes existent), j'ai reçu une exception disant "Access to Message Queuing est refusé ".

Est-ce que quelqu'un sait quelles autorisations doivent être accordées à un compte AD afin qu'il puisse utiliser MSMQ?

Merci,

Andrew

Answer 1

Exécutez votre service sous un compte système défini, comme (je crois réseau), puis définissez les autorisations sur le MSMQ pour le contrôle total pour cela.

Lorsque je l'ai utilisé dans le passé, j'ai juste triché et autorisé l'accès à "Tout le monde". Mais dans un domaine, le meilleur moyen est de créer un utilisateur de domaine et de définir celui pour le service et les permissions sur le MQ.

Answer 2

Vous devez définir des autorisations sur les objets dans Active Directory.
Vous aurez donc besoin de l'autorisation Obtenir les propriétés si vous interrogez des objets, par exemple.
Cela doit être sur l'objet MSMQ sous l'objet ordinateur et les objets file d'attente sous l'objet MSMQ. En outre, les valeurs par défaut seront limitées à autoriser tout le monde à envoyer mais pas à recevoir. Vous devrez donc ajouter cet accès au compte de domaine que vous utilisez pour pouvoir lire les messages.