4.12.3. OPA 承認サポートの設定

手順

1. Kafka ブローカーで操作を実行するため、クライアントリクエストの承認に必要な OPA ポリシーを記述します。

   「OPA ポリシーの定義」 を参照してください。

   これで、Kafka ブローカーが OPA を使用するように設定します。

2. Kafka の OPA オーソライザープラグイン をインストールします。

   「OPA への接続」 を参照してください。

   プラグインファイルが Kafka クラスパスに含まれていることを確認してください。

3. 以下を Kafka server.properties 設定ファイルに追加し、OPA プラグインを有効にします。

   authorizer.class.name: com.bisnode.kafka.authorization.OpaAuthorizer

4. Kafka ブローカーの server.properties にさらに設定を追加して、OPA ポリシーエンジンおよびポリシーにアクセスします。

   以下に例を示します。

   opa.authorizer.url=https://OPA-ADDRESS/allow 1
   opa.authorizer.allow.on.error=false 2
   opa.authorizer.cache.initial.capacity=50000 3
   opa.authorizer.cache.maximum.size=50000 4
   opa.authorizer.cache.expire.after.seconds=600000 5
   super.users=User:alice;User:bob 6

   1

   (必須) オーソライザープラグインがクエリーするポリシーの OAuth 2.0 トークンエンドポイント URL。この例では、ポリシーは allow という名前です。

   2

   オーソライザープラグインが OPA ポリシーエンジンとの接続に失敗した場合に、クライアントがデフォルトで許可または拒否されるかどうかを指定するフラグ。

   3

   ローカルキャッシュの初期容量 (バイト単位)。すべてのリクエストについてプラグインに OPA ポリシーエンジンをクエリーする必要がないように、キャッシュが使用されます。

   4

   ローカルキャッシュの最大容量 (バイト単位)。

   5

   OPA ポリシーエンジンからのリロードによってローカルキャッシュが更新される時間 (ミリ秒単位)。

   6

   スーパーユーザーとして扱われるユーザープリンシパルのリスト。これにより、Open Policy Agent ポリシーをクエリーしなくても常に許可されます。

   認証および承認オプションの詳細は、Open Policy Agent の Web サイト を参照してください。

5. 正しい承認を持つクライアントと持たないクライアントを使用して、Kafka ブローカーにアクセスして、設定したパーミッションを検証します。