第9章 KafkaListenerAuthenticationOAuth スキーマリファレンス

type

string

oauth でなければなりません。

clientId

string

Kafka ブローカーは、OAuth クライアント ID を使用して認可サーバーに対して認証し、イントロスペクションエンドポイント URI を使用することができます。

clientSecret

GenericSecretSource

OAuth クライアントシークレットが含まれる OpenShift シークレットへのリンク。Kafka ブローカーは、OAuth クライアントシークレットを使用して認可サーバーに対して認証し、イントロスペクションエンドポイント URI を使用することができます。

validIssuerUri

string

認証に使用されるトークン発行者の URI。

checkIssuer

boolean

発行元のチェックを有効または無効にします。デフォルトでは、validIssuerUri によって設定された値を使用して発行元がチェックされます。デフォルト値は true です。

checkAudience

boolean

オーディエンスのチェックを有効または無効にします。オーディエンスのチェックによって、トークンの受信者が特定されます。オーディエンスチェックが有効な場合、OAuth クライアント ID も clientId プロパティーで設定する必要があります。Kafka ブローカは、aud(オーディエンス) クレームに clientId がないトークンを拒否します。デフォルト値は false です。

jwksEndpointUri

string

ローカルの JWT 検証に使用できる JWKS 証明書エンドポイントの URI。

jwksRefreshSeconds

integer

JWKS 証明書が更新される頻度を設定します。更新間隔は、jwksExpirySeconds で指定される期限切れの間隔よりも 60 秒以上短くする必要があります。デフォルトは 300 秒です。

jwksMinRefreshPauseSeconds

integer

連続する 2 回の更新の間に適用される最小の一時停止期間。不明な署名鍵が検出されると、更新は即座にスケジュールされますが、この最小一時停止の期間は待機します。デフォルトは 1 秒です。

jwksExpirySeconds

integer

JWKS 証明書が有効とみなされる頻度を設定します。期限切れの間隔は、jwksRefreshSeconds で指定される更新間隔よりも 60 秒以上長くする必要があります。デフォルトは 360 秒です。

jwksIgnoreKeyUse

boolean

JWKS エンドポイント応答の key 宣言の 'use' 属性を無視するフラグ。デフォルト値は false です。

introspectionEndpointUri

string

不透明な JWT 以外のトークンの検証に使用できるトークンイントロスペクションエンドポイントの URI。

userNameClaim

string

ユーザー ID の取得に使用される JWT 認証トークン、Introspection Endpoint の応答、または User Info Endpoint の応答からの要求の名前。デフォルトは sub です。

fallbackUserNameClaim

string

userNameClaim によって指定されたクレームが存在しない場合に、ユーザー ID に使用するフォールバックユーザー名クレーム。これは、client_credentials 認証の結果、クライアント ID が別のクレームで提供されるだけの場合に便利です。userNameClaim が設定されている場合のみ有効です。

fallbackUserNamePrefix

string

ユーザー ID を設定するために fallbackUserNameClaim の値と使用される接頭辞。fallbackUserNameClaim が true で、要求の値が存在する場合のみ有効です。ユーザー名とクライアント ID を同じユーザー ID 領域にマッピングすると、名前の競合を防ぐことができ便利です。

groupsClaim

string

認証中にユーザーのグループ抽出に使用される JsonPath クエリー。抽出したグループは、カスタムオーソライザーで使用できます。デフォルトでは、グループは抽出されません。

groupsClaimDelimiter

string

グループの解析時に JSON 配列ではなく単一の文字列の値として抽出された場合に使用される区切り文字。デフォルト値は ',' (コンマ) です。

userInfoEndpointUri

string

Introspection Endpoint がユーザー ID に使用できる情報を返さない場合に、ユーザー ID 取得のフォールバックとして使用する User Info Endpoint の URL。

checkAccessTokenType

boolean

アクセストークンタイプのチェックを行うかどうかを設定します。認可サーバーの JWT トークンに 'typ' 要求が含まれない場合は、false に設定する必要があります。デフォルトは true です。

validTokenType

string

Introspection Endpoint によって返される token_type 属性の有効な値。デフォルト値はなく、デフォルトではチェックされません。

accessTokenIsJwt

boolean

アクセストークンを JWT として処理するかどうかを設定します。認可サーバーが不透明なトークンを返す場合は、false に設定する必要があります。デフォルトは true です。

tlsTrustedCertificates

CertSecretSource 配列

OAuth サーバーへの TLS 接続の信頼済み証明書。

disableTlsHostnameVerification

boolean

TLS ホスト名の検証を有効または無効にします。デフォルト値は false です。

enableECDSA

boolean

enableECDSA プロパティーは非推奨となりました。BouncyCastle 暗号プロバイダーをインストールして、ECDSA サポートを有効または無効にします。ECDSA サポートが常に有効になります。BouncyCastle ライブラリーは、Streams for Apache Kafka にパッケージ化されなくなりました。値は無視されます。

maxSecondsWithoutReauthentication

integer

再認証せずに認証されたセッションが有効な状態でいられる最大期間 (秒単位)。これにより、Apache Kafka の再認証機能が有効になり、アクセストークンの有効期限が切れるとセッションが期限切れになります。最大期間の前または最大期間の到達時にアクセストークンが期限切れになると、クライアントは再認証する必要があります。そうでないと、サーバーは接続を切断します。デフォルトでは設定されません。アクセストークンが期限切れになっても認証されたセッションは期限切れになりません。このオプションは、SASL_OAUTHBEARER 認証メカニズムにのみ適用されます (enableOauthBearer が true の場合)。

enablePlain

boolean

SASL_PLAIN で OAuth 認証を有効または無効にします。このメカニズムが使用される場合、再認証はサポートされません。デフォルト値は false です。

tokenEndpointUri

string

クライアントが clientId と secret で認証する際に、SASL_PLAIN メカニズムで使用する Token Endpoint の URI です。設定されている場合、クライアントは SASL_PLAIN で認証を行うことができます。username を clientId に、password をクライアントの secret に設定するか、username をアカウントのユーザー名に、password を $accessToken: の接頭辞が付いたアクセストークンに設定します。このオプションが設定されていない場合、password は常にアクセストークンとして (接頭辞なしで) 解釈され、username はアカウントのユーザー名として解釈されます (いわゆる 'no-client-credentials' モードです)。

enableOauthBearer

boolean

SASL_OAUTHBEARER での OAuth 認証を有効または無効にします。デフォルト値は true です。

customClaimCheck

string

JWT トークンに適用、または追加のトークン検証のイントロスペクションエンドポイントの応答に適用される JsonPath フィルタークエリー。デフォルトでは設定されません。

connectTimeoutSeconds

integer

認可サーバーへの接続時のタイムアウト (秒単位)。設定しない場合は、実際の接続タイムアウトは 60 秒になります。

readTimeoutSeconds

integer

認可サーバーへの接続時の読み取りタイムアウト (秒単位)。設定しない場合は、実際の読み取りタイムアウトは 60 秒になります。

httpRetries

integer

最初の HTTP リクエストが失敗した場合に試行する最大再試行回数。設定されていない場合、デフォルトでは再試行は行われません。

httpRetryPauseMs

integer

失敗した HTTP リクエストを再試行するまでの一時停止。設定されていない場合、デフォルトでは一時停止せず、ただちにリクエストを繰り返します。

clientScope

string

認可サーバーのトークンエンドポイントにリクエストを送信するときに使用するスコープ。ブローカー間の認証や、clientId と secret メソッドを用いた PLAIN 上の OAuth 2.0 の設定に使用されます。

clientAudience

string

認可サーバーのトークンエンドポイントにリクエストを送信するときに使用するオーディエンス。ブローカー間の認証や、clientId と secret メソッドを用いた PLAIN 上の OAuth 2.0 の設定に使用されます。

enableMetrics

boolean

OAuth メトリックを有効または無効にします。デフォルト値は false です。

failFast

boolean

起動時に回復可能な実行時エラーが発生する可能性があるため、Kafka ブローカープロセスの終了を有効または無効にします。デフォルト値は true です。

includeAcceptHeader

boolean

認可サーバーへのリクエストに Accept ヘッダーを設定するかどうか。デフォルト値は true です。

serverBearerTokenLocation

string

認可サーバーへの認証時にクライアント ID とシークレットの代わりに使用されるベアラートークンを含むローカルファイルシステム上のファイルへのパス。

userNamePrefix

string

ユーザー ID を構成するために userNameClaim の値で使用する接頭辞。これは、userNameClaim が指定され、クレームに値が存在する場合にのみ有効です。fallbackUserNameClaims と組み合わせて使用すると、ユーザー名とクライアント ID が同じユーザー ID 空間に一貫してマッピングされ、名前の競合を防ぐことができます。