6.9. OPA 정책 기반 권한 부여 사용

프로세스

1. Kafka 브로커에서 작업을 수행하기 위해 클라이언트 요청을 승인하는 데 필요한 OPA 정책을 작성합니다.

   OPA 정책 정의를 참조하십시오.

   이제 OPA를 사용하도록 Kafka 브로커를 구성합니다.

2. Kafka에 대한 OPA 승인자 플러그인을 설치합니다.

   OPA에 연결을 참조하십시오.

   플러그인 파일이 Kafka 클래스 경로에 포함되어 있는지 확인합니다.

3. Kafka server.properties 구성 파일에 다음을 추가하여 OPA 플러그인을 활성화합니다.

   authorizer.class.name: com.bisnode.kafka.authorization.OpaAuthorizer

4. Kafka 브로커의 server.properties 에 구성을 추가하여 OPA 정책 엔진 및 정책에 액세스합니다.

   예를 들면 다음과 같습니다.

   opa.authorizer.url=https://OPA-ADDRESS/allow 1
   opa.authorizer.allow.on.error=false 2
   opa.authorizer.cache.initial.capacity=50000 3
   opa.authorizer.cache.maximum.size=50000 4
   opa.authorizer.cache.expire.after.seconds=600000 5
   super.users=User:alice;User:bob 6

   1

   (필수) 승인자 플러그인이 쿼리할 정책의 OAuth 2.0 토큰 끝점 URL입니다. 이 예에서는 정책을 allow 이라고 합니다.

   2

   승인자 플러그인이 OPA 정책 엔진과 연결하지 못하는 경우 클라이언트가 기본적으로 액세스가 허용되거나 거부되는지 여부를 지정하는 플래그입니다.

   3

   로컬 캐시의 초기 용량(바이트)입니다. 플러그인이 모든 요청에 대해 OPA 정책 엔진을 쿼리할 필요가 없도록 캐시가 사용됩니다.

   4

   로컬 캐시의 최대 용량(바이트)입니다.

   5

   OPA 정책 엔진에서 다시 로드하여 로컬 캐시를 새로 고치는 시간(밀리초)입니다.

   6

   Open Policy Agent 정책을 쿼리하지 않고 항상 허용되도록 슈퍼 사용자로 취급되는 사용자 주체 목록입니다.

   인증 및 권한 부여 옵션에 대한 정보는 Open Policy Agent 웹 사이트를 참조하십시오.

5. 및 올바른 권한이 없는 클라이언트를 사용하여 Kafka 브로커에 액세스하여 구성된 권한을 확인합니다.