第9章 KafkaListenerAuthenticationOAuth スキーマリファレンス

accessTokenIsJwt

boolean

アクセストークンを JWT として処理するかどうかを設定します。認可サーバーが不透明なトークンを返す場合は、false に設定する必要があります。デフォルトは true です。

checkAccessTokenType

boolean

アクセストークンタイプのチェックを行うかどうかを設定します。認可サーバーの JWT トークンに 'typ' 要求が含まれない場合は、false に設定する必要があります。デフォルトは true です。

checkAudience

boolean

オーディエンスのチェックを有効または無効にします。オーディエンスのチェックによって、トークンの受信者が特定されます。オーディエンスチェックが有効な場合、OAuth クライアント ID も clientId プロパティーで設定する必要があります。Kafka ブローカは、aud(オーディエンス) クレームに clientId がないトークンを拒否します。デフォルト値は false です。

checkIssuer

boolean

発行元のチェックを有効または無効にします。デフォルトでは、validIssuerUri によって設定された値を使用して発行元がチェックされます。デフォルト値は true です。

clientAudience

string

認可サーバーのトークンエンドポイントにリクエストを送信するときに使用するオーディエンス。ブローカー間の認証や、clientId と secret メソッドを用いた PLAIN 上の OAuth 2.0 の設定に使用されます。

clientId

string

Kafka ブローカーは、OAuth クライアント ID を使用して認可サーバーに対して認証し、イントロスペクションエンドポイント URI を使用することができます。

clientScope

string

認可サーバーのトークンエンドポイントにリクエストを送信するときに使用するスコープ。ブローカー間の認証や、clientId と secret メソッドを用いた PLAIN 上の OAuth 2.0 の設定に使用されます。

clientSecret

GenericSecretSource

OAuth クライアントシークレットが含まれる OpenShift シークレットへのリンク。Kafka ブローカーは、OAuth クライアントシークレットを使用して認可サーバーに対して認証し、イントロスペクションエンドポイント URI を使用することができます。

connectTimeoutSeconds

integer

認可サーバーへの接続時のタイムアウト (秒単位)。設定しない場合は、実際の接続タイムアウトは 60 秒になります。

customClaimCheck

string

JWT トークンに適用される JsonPath フィルタークエリー、または追加のトークン検証のイントロスペクションエンドポイントの応答に適用される JsonPath フィルタークエリー。デフォルトでは設定されません。

disableTlsHostnameVerification

boolean

TLS ホスト名の検証を有効または無効にします。デフォルト値は false です。

enableECDSA

boolean

enableECDSA プロパティーは非推奨となりました。BouncyCastle 暗号プロバイダーをインストールして、ECDSA サポートを有効または無効にします。ECDSA サポートが常に有効になります。BouncyCastle ライブラリーは、Streams for Apache Kafka にパッケージ化されなくなりました。値は無視されます。

enableMetrics

boolean

OAuth メトリックを有効または無効にします。デフォルト値は false です。

enableOauthBearer

boolean

SASL_OAUTHBEARER での OAuth 認証を有効または無効にします。デフォルト値は true です。

enablePlain

boolean

SASL_PLAIN で OAuth 認証を有効または無効にします。このメカニズムが使用される場合、再認証はサポートされません。デフォルト値は false です。

failFast

boolean

起動時に回復可能な実行時エラーが発生する可能性があるため、Kafka ブローカープロセスの終了を有効または無効にします。デフォルト値は true です。

fallbackUserNameClaim

string

userNameClaim によって指定された要求が存在しない場合に、ユーザー ID に使用するフォールバックユーザー名要求。これは、client_credentials 認証によってクライアント ID が別の要求のみに提供される場合に便利です。userNameClaim が設定されている場合のみ有効です。

fallbackUserNamePrefix

string

ユーザー ID を設定するために fallbackUserNameClaim の値と使用される接頭辞。fallbackUserNameClaim が true で、要求の値が存在する場合のみ有効です。ユーザー名とクライアント ID を同じユーザー ID 領域にマッピングすると、名前の競合を防ぐことができ便利です。

groupsClaim

string

認証中にユーザーのグループ抽出に使用される JsonPath クエリー。抽出したグループは、カスタムオーソライザーで使用できます。デフォルトでは、グループは抽出されません。

groupsClaimDelimiter

string

グループの解析時に JSON 配列ではなく単一の文字列の値として抽出された場合に使用される区切り文字。デフォルト値は ',' (コンマ) です。

httpRetries

integer

最初の HTTP リクエストが失敗した場合に試行する最大再試行回数。設定されていない場合、デフォルトでは再試行は行われません。

httpRetryPauseMs

integer

失敗した HTTP リクエストを再試行するまでの一時停止。設定されていない場合、デフォルトでは一時停止せず、ただちにリクエストを繰り返します。

includeAcceptHeader

boolean

認可サーバーへのリクエストに Accept ヘッダーを設定するかどうか。デフォルト値は true です。

introspectionEndpointUri

string

不透明な JWT 以外のトークンの検証に使用できるトークンイントロスペクションエンドポイントの URI。

jwksEndpointUri

string

ローカルの JWT 検証に使用できる JWKS 証明書エンドポイントの URI。

jwksExpirySeconds

integer

JWKS 証明書が有効とみなされる頻度を設定します。期限切れの間隔は、jwksRefreshSeconds で指定される更新間隔よりも 60 秒以上長くする必要があります。デフォルトは 360 秒です。

jwksIgnoreKeyUse

boolean

JWKS エンドポイント応答の key 宣言の 'use' 属性を無視するフラグ。デフォルト値は false です。

jwksMinRefreshPauseSeconds

integer

連続する 2 回の更新の間に適用される最小の一時停止期間。不明な署名鍵が検出されると、更新は即座にスケジュールされますが、この最小一時停止の期間は待機します。デフォルトは 1 秒です。

jwksRefreshSeconds

integer

JWKS 証明書が更新される頻度を設定します。更新間隔は、jwksExpirySeconds で指定される期限切れの間隔よりも 60 秒以上短くする必要があります。デフォルトは 300 秒です。

maxSecondsWithoutReauthentication

integer

再認証せずに認証されたセッションが有効な状態でいられる最大期間 (秒単位)。これにより、Apache Kafka の再認証機能が有効になり、アクセストークンの有効期限が切れるとセッションが期限切れになります。最大期間の前または最大期間の到達時にアクセストークンが期限切れになると、クライアントは再認証する必要があります。そうでないと、サーバーは接続を切断します。デフォルトでは設定されません。アクセストークンが期限切れになっても認証されたセッションは期限切れになりません。このオプションは、SASL_OAUTHBEARER 認証メカニズムにのみ適用されます (enableOauthBearer が true の場合)。

readTimeoutSeconds

integer

認可サーバーへの接続時の読み取りタイムアウト (秒単位)。設定しない場合は、実際の読み取りタイムアウトは 60 秒になります。

tlsTrustedCertificates

CertSecretSource array

OAuth サーバーへの TLS 接続の信頼済み証明書。

tokenEndpointUri

string

クライアントが clientId と secret で認証する際に、SASL_PLAIN メカニズムで使用する Token Endpoint の URI です。設定されている場合、クライアントは SASL_PLAIN で認証を行うことができます。username を clientId に、password をクライアントの secret に設定するか、username をアカウントのユーザー名に、password を $accessToken: の接頭辞が付いたアクセストークンに設定します。このオプションが設定されていない場合、password は常にアクセストークンとして (接頭辞なしで) 解釈され、username はアカウントのユーザー名として解釈されます (いわゆる 'no-client-credentials' モードです)。

type

string

oauth でなければなりません。

userInfoEndpointUri

string

Introspection Endpoint がユーザー ID に使用できる情報を返さない場合に、ユーザー ID 取得のフォールバックとして使用する User Info Endpoint の URL。

userNameClaim

string

ユーザー ID の取得に使用される JWT 認証トークン、Introspection Endpoint の応答、または User Info Endpoint の応答からの要求の名前。デフォルトは sub です。

validIssuerUri

string

認証に使用されるトークン発行者の URI。

validTokenType

string

Introspection Endpoint によって返される token_type 属性の有効な値。デフォルト値はなく、デフォルトではチェックされません。