4.11. OAuth 2.0 토큰 기반 권한 부여 사용

프로세스

1. Red Hat Single Sign-On 관리 콘솔에 액세스하거나 Red Hat Single Sign-On 관리 CLI를 사용하여 OAuth 2.0 인증을 설정할 때 생성한 Kafka 브로커 클라이언트에 대한 인증 서비스를 활성화합니다.
2. 인증 서비스를 사용하여 클라이언트에 대한 리소스, 권한 부여 범위, 정책 및 권한을 정의합니다.
3. 역할 및 그룹을 할당하여 사용자 및 클라이언트에 권한을 바인딩합니다.

4. Red Hat Single Sign-On 권한을 사용하도록 Kafka 브로커를 구성합니다.

   Kafka server.properties 구성 파일에 다음을 추가하여 Kafka에 인증자를 설치합니다.

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakRBACAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.authorizer.JwtKafkaPrincipalBuilder

   Copy to Clipboard Toggle word wrap

5. Kafka 브로커에 대한 구성을 추가하여 권한 부여 서버 및 권한 부여 서비스에 액세스합니다.

   여기서는 server.properties 에 추가 속성을 추가하지만 대문자 또는 대문자 이름 지정 규칙을 사용하여 환경 변수로 정의할 수도 있습니다.

   strimzi.authorization.token.endpoint.uri="https://AUTH-SERVER-ADDRESS/auth/realms/REALM-NAME/protocol/openid-connect/token" 

   1

   
   strimzi.authorization.client.id="kafka" 

   2

   Copy to Clipboard Toggle word wrap

   1

   Red Hat Single Sign-On의 OAuth 2.0 토큰 끝점 URL입니다. 프로덕션의 경우 항상 HTTP를 사용합니다.

   2

   권한 부여 서비스가 활성화된 Red Hat Single Sign-On의 OAuth 2.0 클라이언트 정의의 클라이언트 ID입니다. 일반적으로 kafka 는 ID로 사용됩니다.

6. (선택 사항) 특정 Kafka 클러스터에 대한 구성을 추가합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 

   1

   Copy to Clipboard Toggle word wrap

   1

   특정 Kafka 클러스터의 이름입니다. 이름은 권한을 대상으로 지정하는 데 사용되며 동일한 Red Hat Single Sign-On 영역에서 여러 클러스터를 관리할 수 있습니다. 기본값은 kafka-cluster 입니다.

7. (선택 사항) 간단한 인증으로 위임합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.delegate.to.kafka.acl="false" 

   1

   Copy to Clipboard Toggle word wrap

   1

   Red Hat Single Sign-On 인증 서비스 정책에서 액세스가 거부되는 경우 Kafka AclAuthorizer 에 권한을 위임합니다. 기본값은 false입니다.

8. (선택 사항) 권한 부여 서버에 TLS 연결에 대한 구성을 추가합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.ssl.truststore.location=<path-to-truststore> 

   1

   
   strimzi.authorization.ssl.truststore.password=<my-truststore-password> 

   2

   
   strimzi.authorization.ssl.truststore.type=JKS 

   3

   
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 

   4

   
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 

   5

   Copy to Clipboard Toggle word wrap

   1

   인증서가 포함된 신뢰 저장소의 경로입니다.

   2

   truststore의 암호입니다.

   3

   truststore 유형입니다. 설정되지 않은 경우 기본 Java 키 저장소 유형이 사용됩니다.

   4

   임의 번호 생성기 구현. 설정하지 않으면 Java 플랫폼 SDK 기본값이 사용됩니다.

   5

   호스트 이름 확인 빈 문자열로 설정하면 호스트 이름 확인이 해제됩니다. 설정되지 않은 경우 기본값은 HTTPS 로, 서버 인증서에 대한 호스트 이름 확인을 적용합니다.

9. (선택 사항) 권한 부여 서버에서 권한 부여 새로 고침을 구성합니다. 부여 새로 고침 작업은 활성 토큰을 열거하고 각각에 대한 최신 권한을 요청하여 작동합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.grants.refresh.period.seconds="120" 

   1

   
   strimzi.authorization.grants.refresh.pool.size="10" 

   2

   Copy to Clipboard Toggle word wrap

   1

   권한 부여 서버의 권한 부여 목록이 새로 고침되는 빈도(기본적으로 분당 시간)를 지정합니다. 디버깅 목적으로 새로 고침을 비활성화하려면 "0" 으로 설정합니다.

   2

   grants 새로 고침 작업에 사용되는 스레드 풀의 크기(병합 정도)를 지정합니다. 기본값은 "5" 입니다.

10. Kafka 브로커에 특정 역할이 있는 클라이언트 또는 사용자로 액세스하여 구성된 권한에 액세스하고 필요한 액세스 권한이 있는지 또는 권한이 없는지 확인합니다.