第3章 Apicurio Registry のセキュリティーオプションの設定

手順

1. Red Hat build of Keycloak 管理コンソールで、Apicurio Registry 用の Red Hat build of Keycloak レルムを作成します。デフォルトでは、Apicurio Registry は registry のレルム名を想定しています。レルムの作成に関する詳細は、Red Hat build of Keycloak のユーザードキュメント を参照してください。

2. Apicurio Registry API 用の Red Hat build of Keycloak クライアントを作成します。デフォルトでは、Apicurio Registry は次の設定を想定しています。

   • Client ID: registry-api
   • Client Protocol: openid-connect

   • Access Type: bearer-only

     他のクライアント設定にはデフォルト値を使用できます。

     注記

     Red Hat build of Keycloak サービスアカウントを使用している場合、クライアントの アクセスタイプ は bearer-only ではなく、confidential にする必要があります。

3. Apicurio Registry Web コンソール用の Red Hat build of Keycloak クライアントを作成します。デフォルトでは、Apicurio Registry は次の設定を想定しています。

   • Client ID: apicurio-registry
   • Client Protocol: openid-connect
   • Access Type: public
   • Valid Redirect URLs: http://my-registry-url:8080/*

   • Web Origins: +

     他のクライアント設定にはデフォルト値を使用できます。

4. OpenShift 上の Apicurio Registry デプロイメントで、次の Apicurio Registry 環境変数を指定し、Red Hat build of Keycloak を使用して認証を設定します。

   Expand

   表3.1 Red Hat build of Keycloak を使用した Apicurio レジストリー認証の設定

   環境変数	説明	型	デフォルト
   QUARKUS_OIDC_TENANT_ENABLED	Apicurio Registry の認証を有効にします。true に設定すると、Red Hat build of Keycloak を使用した認証に次の環境変数が必要になります。	String	false
   QUARKUS_OIDC_AUTH_SERVER_URL	Red Hat build of Keycloak 認証サーバーの URL。たとえば、http://localhost:8080 です。	String	-
   QUARKUS_OIDC_CLIENT_ID	Apicurio Registry REST API のクライアント ID。	String	registry-api
   APICURIO_UI_AUTH_OIDC_CLIENT-ID	Apicurio Registry Web コンソールのクライアント ID。	String	apicurio-registry

   Show more
   ヒント

   OpenShift に環境変数を設定する例は、「OpenShift での Apicurio Registry ヘルスチェックの設定」 を参照してください。

5. 以下のオプションを true に設定して、Red Hat build of Keycloak で Apicurio Registry ユーザーロールを有効にします。

   Expand

   表3.2 Apicurio Registry ロールベース認証の設定

   環境変数	Java システムプロパティー	型	デフォルト値
   APICURIO_AUTH_ROLE-BASED-AUTHORIZATION	apicurio.auth.role-based-authorization	Boolean	false

   Show more

6. Apicurio Registry ユーザーロールが有効になっている場合、Apicurio Registry ユーザーを、Red Hat build of Keycloak レルム内の以下のデフォルトユーザーロールの少なくとも 1 つに割り当てる必要があります。

   Expand

   表3.3 レジストリーの認証および認可のデフォルトユーザーロール

   ロール	アーティファクトの読み取り	アーティファクトの書き込み	グローバルルール	概要
   sr-admin	はい	はい	はい	すべての作成、読み取り、更新、および削除操作へのフルアクセス。
   sr-developer	はい	はい	いいえ	グローバルルールの設定を除く、作成、読み取り、更新、および削除操作へのアクセス。このロールは、アーティファクト固有のルールを設定できます。
   sr-readonly	はい	いいえ	いいえ	読み取りおよび検索操作のみへのアクセス。このロールはルールを設定できません。

   Show more

7. 以下を true に設定して、Apicurio Registry のスキーマおよび API アーティファクトの更新に対して所有者のみの認可を有効にします。

   Expand

   表3.4 所有者のみの認可の設定

   環境変数	Java システムプロパティー	型	デフォルト値
   APICURIO_AUTH_OWNER-ONLY-AUTHORIZATION_LIMIT-GROUP-ACCESS	apicurio.auth.owner-only-authorization.limit-group-access	Boolean	false

   Show more