4.11.2. OAuth 2.0 承認サポートの設定

手順

1. Red Hat Single Sign-On の Admin Console にアクセスするか、Red Hat Single Sign-On の Admin CLI を使用して、OAuth 2.0 認証の設定時に作成した Kafka ブローカークライアントの Authorization Services を有効にします。
2. 承認サービスを使用して、クライアントのリソース、承認スコープ、ポリシー、およびパーミッションを定義します。
3. ロールとグループをユーザーとクライアントに割り当てて、パーミッションをユーザーとクライアントにバインドします。

4. Red Hat Single Sign-On 承認を使用するように Kafka ブローカーを設定します。

   以下を Kafka server.properties 設定ファイルに追加し、Kafka のオーソライザーをインストールします。

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakRBACAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.authorizer.JwtKafkaPrincipalBuilder

5. Kafka ブローカーの設定を追加して、承認サーバーと Authorization Services にアクセスします。

   ここでは、追加のプロパティーとして server.properties に追加された設定の例を紹介しますが、大文字または大文字の命名規則を使用して環境変数として定義することもできます。

   strimzi.authorization.token.endpoint.uri="https://AUTH-SERVER-ADDRESS/auth/realms/REALM-NAME/protocol/openid-connect/token" 1
   strimzi.authorization.client.id="kafka" 2

   1

   Red Hat Single Sign-On への OAuth 2.0 トークンエンドポイント URL。本番環境では常に HTTP を使用してください。

   2

   承認サービスが有効になっている Red Hat Single Sign-On の OAuth 2.0 クライアント定義のクライアント ID。通常、kafka が ID として使用されます。

6. （任意）特定の Kafka クラスターの設定を追加します。

   以下に例を示します。

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 1

   1

   特定の Kafka クラスターの名前。名前はターゲットパーミッションに使用され、同じ Red Hat Single Sign-On レルム内で複数のクラスターを管理できます。デフォルト値は kafka-cluster です。

7. （任意設定）: 簡易承認に委譲します。

   以下に例を示します。

   strimzi.authorization.delegate.to.kafka.acl="false" 1

   1

   Red Hat Single Sign-On の Authorization Services のポリシーによってアクセスが拒否されている場合は、Kafka AclAuthorizer に承認を委譲します。デフォルトは false です。

8. （任意設定）: 承認サーバーへの TLS 接続の設定を追加します。

   以下に例を示します。

   strimzi.authorization.ssl.truststore.location=<path-to-truststore> 1
   strimzi.authorization.ssl.truststore.password=<my-truststore-password> 2
   strimzi.authorization.ssl.truststore.type=JKS 3
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 4
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 5

   1

   証明書が含まれるトラストストアへのパス。

   2

   トラストストアのパスワード。

   3

   トラストストアタイプ。設定されていない場合は、デフォルトの Java キーストアタイプが使用されます。

   4

   乱数ジェネレーターの実装。設定されていない場合は、Java プラットフォーム SDK のデフォルトが使用されます。

   5

   ホスト名の検証。空の文字列に設定すると、ホスト名の検証はオフになります。設定されていない場合、デフォルト値は HTTPS で、サーバー証明書のホスト名の検証を強制します。

9. （任意設定）: 承認サーバーから付与の更新を設定します。付与(Grants)更新ジョブは、アクティブなトークンを列挙し、それぞれの最新の付与を要求することで機能します。

   以下に例を示します。

   strimzi.authorization.grants.refresh.period.seconds="120" 1
   strimzi.authorization.grants.refresh.pool.size="10" 2

   1

   承認サーバーからの付与リストを更新する頻度を指定します（デフォルトでは 1 分ごと）。デバッグの目的で更新をオフにするには、"0" に設定します。

   2

   付与更新ジョブによって使用されるスレッドプールのサイズ（並列処理レベル）を指定します。デフォルト値は "5" です。

10. クライアントまたは特定のロールを持つユーザーとして Kafka ブローカーにアクセスして、設定したパーミッションを検証し、必要なアクセス権限があり、付与されるべきでないアクセス権限がないことを確認します。