8.3. OPA 認可サポートの設定

手順

1. Kafka ブローカーで操作を実行するためのクライアントリクエストを承認するのに必要な OPA ポリシーを記述します。

   OPA ポリシーの定義 を参照してください。

   これで、Kafka ブローカーが OPA を使用するように設定します。

2. Kafka の OPA authorizer プラグイン をインストールします。

   OPA への接続 を参照してください。

   プラグインファイルが Kafka クラスパスに含まれていることを確認してください。

3. 以下を Kafka server.properties 設定ファイルに追加し、OPA プラグインを有効にします。

   authorizer.class.name: com.bisnode.kafka.authorization.OpaAuthorizer

4. Kafka ブローカーの server.properties に設定をさらに追加して、OPA ポリシーエンジンおよびポリシーにアクセスします。

   以下に例を示します。

   opa.authorizer.url=https://OPA-ADDRESS/allow 

   1

   
   opa.authorizer.allow.on.error=false 

   2

   
   opa.authorizer.cache.initial.capacity=50000 

   3

   
   opa.authorizer.cache.maximum.size=50000 

   4

   
   opa.authorizer.cache.expire.after.seconds=600000 

   5

   
   super.users=User:alice;User:bob 

   6

   1

   (必須) authorizer プラグインがクエリーするポリシーの OAuth 2.0 トークンエンドポイント URL。この例では、ポリシーは allow という名前です。

   2

   authorizer プラグインが OPA ポリシーエンジンとの接続に失敗した場合に、クライアントがデフォルトで許可または拒否されるかどうかを指定するフラグ。

   3

   ローカルキャッシュの初期容量 (バイト単位)。すべてのリクエストについてプラグインに OPA ポリシーエンジンをクエリーする必要がないように、キャッシュが使用されます。

   4

   ローカルキャッシュの最大容量 (バイト単位)。

   5

   OPA ポリシーエンジンからのリロードによってローカルキャッシュが更新される時間 (ミリ秒単位)。

   6

   スーパーユーザーとして扱われるユーザープリンシパルのリスト。これにより、Open Policy Agent ポリシーをクエリーしなくても常に許可されます。

   認証および認可オプションの詳細は、Open Policy Agent の Web サイト を参照してください。

5. 適切な認可を持つクライアントと持たないクライアントを使用して Kafka ブローカーにアクセスし、設定した権限を確認します。