消息队列：ActiveMQ：ActiveMQ的安全性与权限管理

消息队列：ActiveMQ：ActiveMQ的安全性与权限管理1ActiveMQ安全性概述1.1ActiveMQ安全特性介绍ActiveMQ,作为一款高性能、功能丰富的开源消息中间件，提供了多种安全特性来保护消息的传输和存储。这些特性包括但不限于：身份验证（Authentication）:确保只有授权的用户可以访问消息队列。授权（Authorization）:控制用户对特定资源的访问权限，如发送、接收消息或管理队列。加密（Encryption）:保护消息在传输过程中的安全，防止数据被窃听或篡改。审计（Audit）:记录系统中发生的操作，用于安全审计和合规性检查。1.1.1身份验证ActiveMQ支持多种身份验证机制，包括但不限于：基于用户名和密码的认证:最常见的认证方式，用户需要提供正确的用户名和密码才能访问队列。基于SSL/TLS的认证:通过证书进行身份验证，适用于需要更高安全级别的场景。Kerberos认证:适用于大型企业环境，提供集中式身份验证服务。示例：基于用户名和密码的认证在activemq.xml配置文件中，可以设置如下：<securityContext>

<jaasAuthenticationPlugin>

<loginModuleControlFlag>required</loginModuleControlFlag>

<loginModuleName>org.apache.activemq.jaas.PropertiesLoginModule</loginModuleName>

<propertyKey>activemq.users</propertyKey>

<propertyKey>activemq.passwords</propertyKey>

</jaasAuthenticationPlugin>

</securityContext>然后在conf目录下创建perties文件，内容如下：activemq.users=alice,bob

activemq.passwords=alice=secret,bob=pass1.1.2授权ActiveMQ的授权机制允许管理员精细控制用户对不同资源的访问权限。这通常通过ACL（AccessControlList）来实现。示例：设置ACL在activemq.xml中，可以配置ACL如下：<securityContext>

<jaasAuthenticationPlugin>

<!--认证配置-->

</jaasAuthenticationPlugin>

<simpleAuthorizationPlugin>

<map>

<entrykey="admin"value="admin,admin"/>

<entrykey="alice"value="read,write"/>

<entrykey="bob"value="read"/>

</map>

</simpleAuthorizationPlugin>

</securityContext>这里，admin用户拥有所有权限，alice可以读写，而bob只能读取。1.1.3加密ActiveMQ支持通过SSL/TLS协议来加密消息的传输，确保数据在传输过程中的安全。示例：启用SSL在activemq.xml中，可以配置SSL如下：<transportConnectors>

<transportConnectorname="ssl"uri="ssl://localhost:61617?needClientAuth=false&keyStore=conf/keystore.jks&keyStorePassword=storepass"/>

</transportConnectors>1.1.4审计ActiveMQ提供了审计功能，可以记录所有与消息相关的操作，这对于安全审计和合规性检查非常重要。示例：配置审计在activemq.xml中，可以配置审计如下：<audit>

<logger>

<appenderRefref="FILE"/>

</logger>

</audit>这里，FILE是一个日志Appender的引用，用于将审计信息写入文件。1.2安全配置的重要性正确配置ActiveMQ的安全性对于保护敏感数据、防止未授权访问和确保系统的整体安全至关重要。以下几点强调了安全配置的重要性：数据保护:加密和身份验证确保数据在传输和存储过程中的安全，防止数据泄露。访问控制:授权机制可以防止未授权用户访问或操作消息队列，保护系统资源。合规性:审计功能有助于满足行业标准和法规要求，如HIPAA、PCIDSS等。性能与可用性:虽然安全配置可能会影响性能，但通过合理设计和配置，可以平衡安全与性能，确保系统的高可用性。总之，ActiveMQ的安全配置是其部署和运行中不可或缺的一部分，需要根据具体的应用场景和安全需求进行细致的规划和实施。2配置ActiveMQ安全性2.1设置用户和密码在ActiveMQ中，设置用户和密码是实现基本安全性的重要步骤。ActiveMQ使用perties和perties文件来管理用户和角色。这些文件通常位于conf目录下。2.1.1步骤1：编辑perties#conf/perties

#用户名:密码,角色

admin:password,admin

user:password,user在这个文件中，你可以定义多个用户，每个用户后面跟着一个密码和一个或多个角色。角色用于权限管理，例如admin角色可以拥有更多的权限。2.1.2步骤2：编辑perties#conf/perties

#角色:用户列表

admin:admin

user:user这个文件用于定义角色包含哪些用户。2.1.3步骤3：启用安全配置在conf/activemq.xml中，找到<broker>标签，添加plugins属性，启用org.apache.activemq.security.SimpleAuthenticationPlugin。<!--conf/activemq.xml-->

<brokerplugins="org.apache.activemq.security.SimpleAuthenticationPlugin">

<!--其他配置-->

</broker>在<broker>标签内，添加<authenticationPlugin>标签，指定perties和perties的路径。<!--conf/activemq.xml-->

<brokerplugins="org.apache.activemq.security.SimpleAuthenticationPlugin">

<authenticationPluginclassName="org.apache.activemq.security.SimpleAuthenticationPlugin">

<usersPropertiesPath>conf/perties</usersPropertiesPath>

<groupsPropertiesPath>conf/perties</groupsPropertiesPath>

</authenticationPlugin>

<!--其他配置-->

</broker>2.2配置SSL/TLS加密SSL/TLS加密可以保护ActiveMQ的通信不被窃听。配置SSL/TLS需要生成证书和密钥，然后在ActiveMQ的配置文件中启用SSL。2.2.1步骤1：生成证书和密钥使用keytool命令生成证书和密钥。keytool-genkey-keyalgRSA-aliasactivemq-keystoreactivemq.jks这将生成一个名为activemq.jks的密钥库文件，你需要输入一个密钥库密码和证书密码。2.2.2步骤2：配置SSL在conf/activemq.xml中，找到<transportConnectors>标签，添加<sslConnector>标签。<!--conf/activemq.xml-->

<transportConnectors>

<sslConnectorname="ssl"uri="ssl://localhost:61617">

<sslContext>

<keyStore>

<paramname="path">activemq.jks</param>

<paramname="password">你的密钥库密码</param>

</keyStore>

<trustStore>

<paramname="path">activemq.jks</param>

<paramname="password">你的密钥库密码</param>

</trustStore>

</sslContext>

</sslConnector>

<!--其他连接器配置-->

</transportConnectors>这里，ssl://localhost:61617定义了SSL连接的URI，activemq.jks是密钥库文件的路径，你的密钥库密码是生成证书时设置的密码。2.2.3步骤3：客户端连接配置客户端连接ActiveMQ时，也需要配置SSL。以下是一个使用Java的示例。importorg.apache.activemq.ActiveMQConnectionFactory;

publicclassSSLClient{

publicstaticvoidmain(String[]args){

Stringurl="ssl://localhost:61617";

ActiveMQConnectionFactoryconnectionFactory=newActiveMQConnectionFactory(url);

//连接工厂的其他配置

}

}在这个示例中，ssl://localhost:61617是客户端连接ActiveMQ的URI，它指定了使用SSL连接。通过以上步骤，你可以有效地配置ActiveMQ的安全性和权限管理，确保消息队列的通信安全和访问控制。3权限管理基础3.1理解权限模型在ActiveMQ中，权限管理是通过定义一系列的权限规则来实现的。ActiveMQ的权限模型主要基于两个核心概念：身份验证和授权。身份验证：确保连接到ActiveMQ的每个用户都是已知的，并且具有有效的身份。这通常通过用户名和密码来完成。授权：定义了用户可以执行的操作。例如，一个用户可能被允许发送消息到特定的队列，但不允许接收消息。ActiveMQ的权限模型支持细粒度的控制，可以针对不同的资源（如队列、主题、Broker等）设置不同的权限。权限包括但不限于：admin：管理权限，允许用户管理Broker的配置。send：发送权限，允许用户向特定的队列或主题发送消息。consume：消费权限，允许用户从特定的队列或主题接收消息。browse：浏览权限，允许用户查看队列中的消息，但不包括消费或删除。3.1.1配置访问控制ActiveMQ的访问控制是通过配置文件来实现的，最常见的是在conf/activemq.xml中进行配置。下面是一个示例，展示了如何在ActiveMQ中配置访问控制：<!--activemq.xml配置文件示例-->

<brokerxmlns="/schema/core"brokerName="localhost"dataDirectory="${activemq.data}">

<securityContext>

<jaasSecurityContext>

<loginContext>

<loginModuleName>org.apache.activemq.jaas.LoginModule</loginModuleName>

<loginModuleControlFlag>REQUIRED</loginModuleControlFlag>

<loginModuleOptions>

<entrykey="configuration"value="activemq-jaas.conf"/>

</loginModuleOptions>

</loginContext>

</jaasSecurityContext>

</securityContext>

<authorizationPlugin>

<map>

<!--定义用户权限-->

<entrykey="admin"value="admin"/>

<entrykey="user"value="send,consume"/>

</map>

</authorizationPlugin>

</broker>在这个示例中，我们定义了两个用户：admin和user。admin用户具有管理权限，而user用户则具有发送和消费消息的权限。这些权限是通过authorizationPlugin元素下的map来定义的。3.2配置文件详解3.2.1activemq.xmlactivemq.xml是ActiveMQ的主配置文件，其中的securityContext和authorizationPlugin元素用于定义安全性和权限管理。<securityContext>

<!--使用JAAS进行安全上下文的配置-->

<jaasSecurityContext>

<!--定义JAAS的登录模块-->

<loginContext>

<!--指定登录模块的名称-->

<loginModuleName>org.apache.activemq.jaas.LoginModule</loginModuleName>

<!--控制标志，表示该登录模块是必需的-->

<loginModuleControlFlag>REQUIRED</loginModuleControlFlag>

<!--登录模块的选项-->

<loginModuleOptions>

<!--指定JAAS配置文件的路径-->

<entrykey="configuration"value="activemq-jaas.conf"/>

</loginModuleOptions>

</loginContext>

</jaasSecurityContext>

</securityContext>3.2.2activemq-jaas.confactivemq-jaas.conf是JAAS（JavaAuthenticationandAuthorizationService）的配置文件，用于定义用户和他们的凭据。#activemq-jaas.conf配置文件示例

activemq-jaas{

org.apache.activemq.jaas.LoginModulerequired

configuration="activemq-jaas.conf";

};

#用户定义

admin{

org.apache.activemq.jaas.Useruser1

password="password1";

};在这个示例中，我们定义了一个admin用户，用户名为user1，密码为password1。3.3实践示例假设我们有以下的ActiveMQ配置：<broker>

<securityContext>

<jaasSecurityContext>

<loginContext>

<loginModuleName>org.apache.activemq.jaas.LoginModule</loginModuleName>

<loginModuleControlFlag>REQUIRED</loginModuleControlFlag>

<loginModuleOptions>

<entrykey="configuration"value="activemq-jaas.conf"/>

</loginModuleOptions>

</loginContext>

</jaasSecurityContext>

</securityContext>

<authorizationPlugin>

<map>

<entrykey="admin"value="admin"/>

<entrykey="user"value="send,consume"/>

</map>

</authorizationPlugin>

</broker>以及activemq-jaas.conf文件：activemq-jaas{

org.apache.activemq.jaas.LoginModulerequired

configuration="activemq-jaas.conf";

};

admin{

org.apache.activemq.jaas.Useradmin

password="adminpass";

};

user{

org.apache.activemq.jaas.Useruser

password="userpass";

};3.3.1用户admin操作admin用户可以执行管理操作，例如查看Broker的状态：#使用admin用户连接并查看Broker状态

activemq-admin--urltcp://localhost:61616--useradmin--passwordadminpassstatus3.3.2用户user操作user用户可以发送和接收消息，但不能执行管理操作：importorg.apache.activemq.ActiveMQConnectionFactory;

publicclassSimpleProducer{

publicstaticvoidmain(String[]args)throwsException{

//创建连接工厂

ActiveMQConnectionFactoryconnectionFactory=newActiveMQConnectionFactory("admin","adminpass","tcp://localhost:61616");

//创建连接

Connectionconnection=connectionFactory.createConnection();

//启动连接

connection.start();

//创建会话

Sessionsession=connection.createSession(false,Session.AUTO_ACKNOWLEDGE);

//创建目的地（队列）

Destinationdestination=session.createQueue("testQueue");

//创建消息生产者

MessageProducerproducer=session.createProducer(destination);

//创建文本消息

TextMessagemessage=session.createTextMessage("Hello,ActiveMQ!");

//发送消息

producer.send(message);

//关闭资源

producer.close();

session.close();

connection.close();

}

}在这个Java示例中，我们创建了一个消息生产者，使用admin用户的身份验证信息连接到ActiveMQBroker，并向testQueue队列发送了一条消息。通过以上配置和示例，我们可以看到ActiveMQ如何通过权限模型和配置文件来实现安全性与权限管理。这为ActiveMQ的使用提供了强大的安全框架，确保只有授权的用户才能访问和操作特定的资源。4实现细粒度权限控制4.1基于角色的访问控制在ActiveMQ中，实现细粒度的权限控制主要依赖于基于角色的访问控制（Role-BasedAccessControl,RBAC）。RBAC是一种常见的权限管理模型，它将权限与角色相关联，用户通过拥有不同的角色来获得相应的权限。这种模型简化了权限管理，使得权限的分配和管理更加灵活和高效。4.1.1策略配置示例在ActiveMQ的配置文件activemq.xml中，可以通过添加<securityContext>和<securityPlugin>元素来实现基于角色的访问控制。下面是一个具体的配置示例：<!--activemq.xml配置文件示例-->

<beansxmlns="/schema/beans"

xmlns:xsi="/2001/XMLSchema-instance"

xmlns:amq="/schema/core"

xsi:schemaLocation="/schema/beans

/schema/beans/spring-beans-3.0.xsd

/schema/core

/schema/core/activemq-core.xsd">

<!--定义安全上下文-->

<securityContext>

<securityPlugin>

<!--使用JAAS进行身份验证-->

<jaasAuthenticationPlugin>

<jaasLoginModuleControlFlag>Required</jaasLoginModuleControlFlag>

<jaasLoginModuleName>org.apache.activemq.jaas.FileLoginModule</jaasLoginModuleName>

<jaasConfiguration>

<!--指定JAAS配置文件路径-->

<jaasConfigLocation>conf/jaas.conf</jaasConfigLocation>

</jaasConfiguration>

</jaasAuthenticationPlugin>

<!--定义权限策略-->

<authorizationPlugin>

<map>

<!--定义角色和权限-->

<entrykey="admin">

<amq:authorizationMap>

<amq:authorizationEntries>

<!--admin角色拥有所有权限-->

<amq:authorizationEntryqueue=">"read="true"write="true"admin="true"/>

<amq:authorizationEntrytopic=">"read="true"write="true"admin="true"/>

<amq:authorizationEntrytemp-destination=">"read="true"write="true"admin="true"/>

</amq:authorizationEntries>

</amq:authorizationMap>

</entry>

<entrykey="user">

<amq:authorizationMap>

<amq:authorizationEntries>

<!--user角色只能读取和写入特定队列-->

<amq:authorizationEntryqueue="queue1"read="true"write="true"admin="false"/>

<amq:authorizationEntrytopic="topic1"read="true"write="true"admin="false"/>

</amq:authorizationEntries>

</amq:authorizationMap>

</entry>

</map>

</authorizationPlugin>

</securityPlugin>

</securityContext>

</beans>4.1.2解释JAAS身份验证：使用jaasAuthenticationPlugin元素来配置身份验证。这里使用的是FileLoginModule，它从一个配置文件中读取用户和密码信息。权限策略：通过authorizationPlugin元素定义权限策略。<map>元素用于存储角色和对应的权限。角色与权限：每个<entry>元素定义一个角色，如admin和user。<amq:authorizationMap>元素内的<amq:authorizationEntries>用于指定该角色对特定队列或主题的读、写和管理权限。例如，admin角色被赋予了对所有队列和主题的完全控制权限，而user角色仅能对queue1和topic1进行读写操作，但没有管理权限。通过这种方式，ActiveMQ能够实现对不同用户和角色的细粒度权限控制，确保消息队列的安全性和数据的完整性。5高级安全主题5.1集群安全在ActiveMQ集群环境中，确保消息队列的安全性至关重要。集群安全不仅涉及单个Broker的保护，还涵盖了整个集群的访问控制、数据加密和身份验证机制。以下是一些关键的安全措施：5.1.1访问控制ActiveMQ允许管理员设置细粒度的访问控制，确保只有授权的用户和应用程序能够访问特定的队列或主题。这通常通过配置users和groups在activemq.xml文件中实现。示例配置<securityContext>

<jaas>

<loginModulecode="org.apache.activemq.jaas.LoginModule"controlFlag="required">

<parametername="principalClass">org.apache.activemq.jaas.ActiveMQPrincipal</parameter>

<parametername="loginContextName">Broker</parameter>

</loginModule>

</jaas>

<authorizationPlugin>

<map>

<authorizationMap>

<authorizationEntries>

<authorizationEntryqueue=">"read="admins"write="admins"admin="admins"/>

<authorizationEntrytopic=">"read="admins"write="admins"admin="admins"/>

<authorizationEntryqueue="TestQueue"read="users"write="users"admin="admins"/>

<authorizationEntrytopic="TestTopic"read="users"write="users"admin="admins"/>

</authorizationEntries>

</authorizationMap>

</map>

</authorizationPlugin>

</securityContext>在上述配置中，admins和users是定义的用户组，TestQueue和TestTopic是特定的队列和主题，分别设置了读、写和管理权限。5.1.2数据加密为了保护在集群中传输的消息，ActiveMQ支持使用SSL/TLS对网络通信进行加密。这可以通过在networkConnectors和transportConnectors中配置SSL参数来实现。示例配置<networkConnectoruri="ssl://localhost:61617?needClientAuth=true&keyStore=conf/keystore.jks&keyStorePassword=storepass&trustStore=conf/truststore.jks&trustStorePassword=storepass"/>在该配置中，ssl://localhost:61617指定了使用SSL的网络连接，needClientAuth=true要求客户端进行身份验证，keyStore和trustStore分别指定了密钥库和信任库的路径和密码。5.1.3身份验证ActiveMQ支持多种身份验证机制，包括内置的用户数据库、LDAP、JAAS等。通过这些机制，可以确保只有经过验证的用户才能访问集群资源。示例配置<securityContext>

<jaas>

<loginModulecode="org.apache.activemq.jaas.LdapLoginModule"controlFlag="required">

<parametername="contextFactory.url">ldap://:389</parameter>

<parametername="contextFactory.baseEnvironment">ou=people,dc=example,dc=com</parameter>

<parametername="contextFactory.authenticationMechanism">simple</parameter>

<parametername="contextFactory.securityPrincipal">cn=admin,ou=system</parameter>

<parametername="contextFactory.securityCredentials">secret</parameter>

</loginModule>

</jaas>

</securityContext>在上述配置中，使用了LDAP进行身份验证，指定了LDAP服务器的URL、基础环境、认证机制以及管理员的用户名和密码。5.2外部认证集成ActiveMQ可以与外部认证服务集成，如LDAP、Kerberos等，以利用现有的企业级安全基础设施。这种集成可以简化用户管理，同时增强安全性。5.2.1LDAP集成通过配置ActiveMQ的JAAS模块，可以实现与LDAP服务器的集成，用于用户身份验证。示例配置<securityContext>

<jaas>

<loginModulecode="org.apache.activemq.jaas.LdapLoginModule"controlFlag="required">

<!--LDAP服务器的URL-->

<parametername="contextFactory.url">ldap://:389</parameter>

<!--LDAP搜索的基础DN-->

<parametername="contextFactory.baseEnvironment">ou=people,dc=example,dc=com</parameter>

<!--LDAP认证机制-->

<parametername="contextFactory.authenticationMechanism">simple</parameter>

<!--LDAP管理员的DN-->

<parametername="contextFactory.securityPrincipal">cn=admin,ou=system</parameter>

<!--LDAP管理员的密码-->

<parametername="contextFactory.securityCredentials">secret</parameter>

</loginModule>

</jaas>

</securityContext>5.2.2Kerberos集成Kerberos是一种网络认证协议，ActiveMQ可以通过配置支持Kerberos认证，确保消息队列的安全访问。示例配置<securityContext>

<jaas>

<loginModulecode="com.sun.security.auth.module.Krb5LoginModule"controlFlag="required">

<parametername="debug">true</parameter>

<parametername="useTicketCache">true</parameter>

<parametername="storeKey">true</parameter>

<parametername="isInitiator">true</parameter>

<parametername="principal">activemq/localhost@EXAMPLE.COM</parameter>

<parametername="keyTab">conf/activemq.keytab</parameter>

</loginModule>

</jaas>

</securityContext>在该配置中，Krb5LoginModule用于Kerberos认证，principal指定了服务主体，keyTab指定了密钥表文件的路径。5.2.3集成外部认证服务的步骤配置JAAS模块：在activemq.xml中添加相应的JAAS模块配置。设置权限：在authorizationPlugin中定义访问控制规则。测试连接：确保ActiveMQ能够成功连接到外部认证服务。用户管理：在外部认证服务中管理用户和权限，ActiveMQ将使用这些信息进行认证。通过以上步骤，可以有效地将ActiveMQ与企业级的外部认证服务集成，提供更高级别的安全性。6消息队列：ActiveMQ：安全最佳实践6.1防火墙和网络隔离在部署ActiveMQ消息队列时，确保其安全性的一个关键步骤是使用防火墙和网络隔离。这涉及到限制对ActiveMQ服务器的网络访问，只允许特定的IP地址或网络段进行通信，从而减少潜在的攻击面。6.1.1防火墙规则示例在Linux系统中，可以使用iptables来设置防火墙规则。以下是一个示例，展示如何只允许特定IP（例如00）访问ActiveMQ的默认端口61616：#添加规则，允许特定IP访问ActiveMQ端口

sudoiptables-AINPUT-s00-ptcp--dport61616-jACCEPT

#添加规则，拒绝所有其他IP访问ActiveMQ端口

sudoiptables-AINPUT-ptcp--dport61616-jDROP6.1.2网络隔离网络隔离可以通过将ActiveMQ部署在专用的网络段中实现，例如使用VLAN或私有子网。这样，只有在同一网络段内的系统才能访问ActiveMQ，进一步增强了安全性。6.2日志和监控日志和监控是检测和响应安全事件的重要工具。通过配置ActiveMQ的日志记录和监控，可以及时发现异常行为，如未经授权的访问尝试或系统性能下降。6.2.1日志配置在ActiveMQ的配置文件activemq.xml中，可以设置日志级别和日志文件的位置。例如，将日志级别设置为DEBUG，并指定日志文件保存在/var/log/activemq目录下：<!--activemq.xml配置文件中的日志配置-->

<systemUsage>

<systemUsage>

<journalMaxFileLength>104857600</journalMaxFileLength>

<tempUsage>

<maximumSizeInMB>1024</maximumSizeInMB>

<usageThresholdPercentage>90</usageThresholdPercentage>

</tempUsage>

<storeUsage>

<maximumSizeInMB>10240</maximumSizeInMB>

<usageThresholdPercentage>90</usageThresholdPercentage>

</storeUsage>

<memoryUsage>

<maximumSizeInMB>1024</maximumSizeInMB>

<usageThresholdPercentage>90</usageThresholdPercentage>

</memoryUsage>

</systemUsage>

<loggers>

<loggername="org.apache.activemq"level="DEBUG"/>

</loggers>

</systemUsage>6.2.2监控配置ActiveMQ提供了JMX（JavaManagementExtensions）监控功能，可以监控队列、主题、连接等的性能和状态。为了安全地启用JMX监控，可以配置SSL连接。以下是在activemq.xml中配置JMX连接的示例：<!--activemq.xml配置文件中的JMX监控配置-->

<managementContext>

<managementContext>

<managementContextcreateMBeans="true"/>

<managementContextupdateMBeans="true"/>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>

<managementContext>