MSMQ AD разрешения

Question

У нас есть система, использующая две машины для некоторой обработки. Давайте назовем машину, которая выполняет ПРОЦЕССОР обработки, и машину, которая передает ей элементы для обработки СЕРВЕРА. Оба работают под управлением Windows Server 2008. У нас есть одна служба Windows, работающая на сервере SERVER, которая должна использовать MSMQ для отправки сообщений в общую очередь PROCESSOR.

В PROCESSOR у нас есть другая служба Windows, которая извлекает элементы из очереди для обработки.

Эти две машины находятся в одном домене, и все работает нормально, если мы запускаем обе службы под учетными записями с правами администратора домена. Однако нам необходимо, чтобы учетные записи имели минимально возможные привилегии (особенно для службы на сервере SERVER).

Прежде чем повысить права учетной записи, которую мы используем для службы в PROCESSOR, я попытался предоставить ей полные права на MSMQ. Однако этого оказалось недостаточно, и как только служба попыталась что-то сделать с MSMQ (первое, что она делает при запуске, это проверила, существуют ли соответствующие очереди), я получила исключение, говорящее «Доступ к очереди сообщений отказано».

Кто-нибудь знает, какие разрешения необходимо предоставить учетной записи AD, чтобы она могла использовать MSMQ?

Спасибо

Andrew

Answer 1

Вам необходимо установить разрешения для объектов в Active Directory.
Так что вам понадобится разрешение Get Properties, если вы запрашиваете объекты, например.
Это должно быть на объекте MSMQ под объектом компьютера и объекте (ах) очереди под объектом MSMQ. Кроме того, значения по умолчанию будут ограничены, чтобы разрешить всем отправлять, но не получать, поэтому вам потребуется добавить этот доступ для учетной записи домена, которую вы используете, чтобы иметь возможность читать сообщения.

Answer 2

Запустите службу под определенной системной учетной записью, например (я считаю, что Network), затем установите для MSMQ разрешения для полного контроля.

Когда я использовал это в прошлом, я просто обманул и разрешил доступ к «Все». Но в настройке домена лучший способ - создать пользователя домена и установить его для службы и разрешений на MQ.