7.3. OAuth 2.0 トークンベース認可の使用

手順

1. Red Hat build of Keycloak 管理コンソールにアクセスするか、Red Hat build of Keycloak 管理 CLI を使用して、OAuth 2.0 認証の設定時に作成した Kafka 用の OAuth 2.0 クライアントの Authorization Services を有効にします。
2. 認可サービスを使用して、クライアントのリソース、認可スコープ、ポリシー、およびパーミッションを定義します。
3. ロールとグループをユーザーとクライアントに割り当てて、パーミッションをユーザーとクライアントにバインドします。

4. Red Hat build of Keycloak 認可を使用するように Kafka ブローカーを設定します。

   以下を Kafka server.properties 設定ファイルに追加し、Kafka に authorizer をインストールします。

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.OAuthKafkaPrincipalBuilder

5. Kafka ブローカーの設定を追加して、認可サーバーおよび Authorization Services にアクセスします。

   ここでは、server.properties への追加プロパティーとして追加される設定例を示しますが、大文字で始める、または大文字の命名規則を使用して、環境変数として定義することもできます。

   strimzi.authorization.token.endpoint.uri="https://<auth_server_address>/auth/realms/REALM-NAME/protocol/openid-connect/token" 

   1

   
   strimzi.authorization.client.id="kafka" 

   2

   1

   Red Hat build of Keycloak への OAuth 2.0 トークンエンドポイント URL。実稼働環境の場合は、常に https:// urls を使用してください。

   2

   Authorization Services が有効な Red Hat build of Keycloak の OAuth 2.0 クライアント定義のクライアント ID。通常、kafka が ID として使用されます。

6. (オプション) 特定の Kafka クラスターの設定を追加します。

   以下に例を示します。

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 

   1

   1

   特定の Kafka クラスターの名前。名前は権限をターゲットにするために使用されます。これにより、同じ Red Hat build of Keycloak レルム内で複数のクラスターを管理できるようになります。デフォルト値は kafka-cluster です。

7. (オプション) シンプルな認可に委譲します。

   strimzi.authorization.delegate.to.kafka.acl="true" 

   1

   1

   ed Hat build of Keycloak の Authorization Services ポリシーによってアクセスが拒否された場合に、Kafka AclAuthorizer に認可を委譲します。デフォルトは false です。

8. (オプション) TLS 接続の設定を認可サーバーに追加します。

   以下に例を示します。

   strimzi.authorization.ssl.truststore.location=<path_to_truststore> 

   1

   
   strimzi.authorization.ssl.truststore.password=<my_truststore_password> 

   2

   
   strimzi.authorization.ssl.truststore.type=JKS 

   3

   
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 

   4

   
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 

   5

   1

   証明書が含まれるトラストストアへのパス。

   2

   トラストストアのパスワード。

   3

   トラストストアのタイプ。設定されていない場合は、デフォルトの Java キーストアタイプが使用されます。

   4

   乱数ジェネレーターの実装。設定されていない場合は、Java プラットフォーム SDK デフォルトが使用されます。

   5

   ホスト名の検証。空の文字列に設定すると、ホスト名の検証はオフになります。設定されていない場合、デフォルト値は HTTPS で、サーバー証明書のホスト名の検証を強制します。

9. (オプション) 認可サーバーからの付与の更新を設定します。付与更新ジョブは、アクティブなトークンを列挙し、それぞれに最新の付与を要求することで機能します。

   以下に例を示します。

   strimzi.authorization.grants.refresh.period.seconds="120" 

   1

   
   strimzi.authorization.grants.refresh.pool.size="10" 

   2

   
   strimzi.authorization.grants.max.idle.time.seconds="300" 

   3

   
   strimzi.authorization.grants.gc.period.seconds="300" 

   4

   
   strimzi.authorization.reuse.grants="false" 

   5

   1

   認可サーバーからの付与のリストが更新される頻度を指定します (デフォルトでは 1 分に 1 回)。デバッグの目的で付与の更新をオフにするには、"0" に設定します。

   2

   付与更新ジョブで使用されるスレッドプールのサイズ (並列度) を指定します。デフォルト値は "5" です。

   3

   キャッシュ内のアイドル許可を削除できるようになるまでの時間 (秒単位)。デフォルト値は 300 です。

   4

   キャッシュから古い許可を削除するジョブの連続実行間の時間 (秒単位)。デフォルト値は 300 です。

   5

   新しいセッションに対して最新の許可を取得するかどうかを制御します。無効にすると、Red Hat build of Keycloak から許可が取得され、ユーザー用にキャッシュされます。デフォルト値は true です。

10. (オプション) 認可サーバーとの通信時のネットワークタイムアウトを設定します。

    以下に例を示します。

    strimzi.authorization.connect.timeout.seconds="60" 

    1

    
    strimzi.authorization.read.timeout.seconds="60" 

    2

    
    strimzi.authorization.http.retries="2" 

    3

    1

    Red Hat build of Keycloak トークンエンドポイントに接続するときの接続タイムアウト (秒単位)。デフォルト値は 60 です。

    2

    Red Hat build of Keycloak トークンエンドポイントに接続するときの読み取りタイムアウト (秒単位)。デフォルト値は 60 です。

    3

    認可サーバーへの失敗した HTTP リクエストを (一時停止せずに) 再試行する最大回数。デフォルト値は 0 で、再試行は実行されないことを意味します。このオプションを効果的に使用するには、strimzi.authorization.connect.timeout.seconds オプションと strimzi.authorization.read.timeout.seconds オプションのタイムアウト時間を短縮することを検討してください。ただし、再試行により現在のワーカースレッドが他のリクエストで利用できなくなる可能性があり、停止中のリクエストが多すぎると Kafka が応答しなくなる可能性があることに注意してください。

11. (オプション) トークンの検証と認可のために OAuth 2.0 メトリクスを有効にします。

    oauth.enable.metrics="true" 

    1

    1

    OAuth メトリクスを有効にするか無効にするかを制御します。デフォルト値は false です。

12. (オプション) リクエストから Accept ヘッダーを削除します。

    oauth.include.accept.header="false" 

    1

    1

    ヘッダーを含めることで認可サーバーとの通信時に問題が発生する場合は、false に設定します。デフォルト値は true です。

13. クライアントまたは特定のロールを持つユーザーとして Kafka ブローカーにアクセスして、設定された権限を確認し、必要なアクセス権があり、許可されていないアクセス権がないことを確認します。