15.5. OAuth 2.0 토큰 기반 권한 부여 사용

프로세스

1. Red Hat Single Sign-On 설명서의 서버 설치 및 구성에 설명된 대로 Red Hat Single Sign-On Operator를 사용하여 Red Hat Single Sign-On 서버 를 설치합니다.
2. Red Hat Single Sign-On 인스턴스가 실행될 때까지 기다립니다.

3. 관리 콘솔에 액세스할 수 있도록 외부 호스트 이름을 가져옵니다.

   NS=sso
   oc get ingress keycloak -n $NS

   Copy to Clipboard Toggle word wrap

   이 예에서는 Red Hat Single Sign-On 서버가 sso 네임스페이스에서 실행되고 있다고 가정합니다.

4. admin 사용자의 암호를 가져옵니다.

   oc get -n $NS pod keycloak-0 -o yaml | less

   Copy to Clipboard Toggle word wrap

   암호는 시크릿으로 저장되므로 Red Hat Single Sign-On 인스턴스에 대한 구성 YAML 파일을 가져와 시크릿 이름을 확인합니다(secretKeyRef.name).

5. 시크릿 이름을 사용하여 일반 텍스트 암호를 가져옵니다.

   SECRET_NAME=credential-keycloak
   oc get -n $NS secret $SECRET_NAME -o yaml | grep PASSWORD | awk '{print $2}' | base64 -D

   Copy to Clipboard Toggle word wrap

   이 예에서는 시크릿 이름이 credential-keycloak 이라고 가정합니다.

6. 사용자 이름 admin 및 가져온 암호를 사용하여 관리 콘솔에 로그인합니다.

   https://HOSTNAME 을 사용하여 Kubernetes Ingress 에 액세스합니다.

   이제 관리 콘솔을 사용하여 Red Hat Single Sign-On에 예제 영역을 업로드할 수 있습니다.

7. Add Cryostat 를 클릭하여 예제 영역을 가져옵니다.

8. examples/security/keycloak-authorization/kafka-authz-realm.json 파일을 추가한 다음 만들기 를 클릭합니다.

   이제 관리 콘솔에서 현재 영역으로 kafka-authz 가 있습니다.

   기본 보기에 마스터 영역이 표시됩니다.

9. Red Hat Single Sign-On 관리 콘솔에서 클라이언트 > kafka > 인증 > 설정으로 이동하여 의사 결정 전략이 유효한 것으로 설정되어 있는지 확인합니다.

   확인 정책은 클라이언트가 Kafka 클러스터에 액세스하려면 하나 이상의 정책을 충족해야 함을 의미합니다.

10. Red Hat Single Sign-On 관리 콘솔에서 그룹,사용자,역할 및 클라이언트로 이동하여 영역 구성을 확인합니다.

    그룹

    그룹은 사용자 그룹을 생성하고 사용자 권한을 설정하는 데 사용됩니다. 그룹은 이름이 할당된 사용자 집합입니다. 사용자를 지리적, 조직 또는 부서 단위로 구분하는 데 사용됩니다. 그룹을 LDAP ID 공급자에 연결할 수 있습니다. 예를 들어 Kafka 리소스에 대한 권한을 부여하기 위해 사용자 지정 LDAP 서버 admin 사용자 인터페이스를 통해 사용자에게 그룹의 멤버를 만들 수 있습니다.

    사용자

    사용자는 사용자를 생성하는 데 사용됩니다. 이 예제에서는 alice 및 bob 이 정의됩니다. Alice 는 ClusterManager 그룹의 멤버이며 bob 은 ClusterManager-my-cluster 그룹의 멤버입니다. 사용자는 LDAP ID 공급자에 저장할 수 있습니다.

    역할

    역할은 사용자 또는 클라이언트가 특정 권한이 있는 것으로 표시합니다. 역할은 그룹과 유사한 개념입니다. 일반적으로 사용자를 조직 역할로 태그 하고 필수 권한이 있는 데 사용됩니다. 역할은 LDAP ID 공급자에 저장할 수 없습니다. LDAP가 요구 사항인 경우 대신 그룹을 사용하고 Red Hat Single Sign-On 역할을 그룹에 추가하여 사용자가 그룹에 할당되면 해당 역할도 가져올 수 있습니다.

    클라이언트

    클라이언트에 는 특정 구성이 있을 수 있습니다. 이 예제에서는 kafka , kafka -cli,team-a-client, team-b-client 클라이언트가 구성됩니다.

    • kafka 클라이언트는 Kafka 브로커가 액세스 토큰 검증에 필요한 OAuth 2.0 통신을 수행하는 데 사용됩니다. 이 클라이언트에는 Kafka 브로커에서 권한 부여를 수행하는 데 사용되는 권한 부여 서비스 리소스 정의, 정책 및 권한 부여 범위도 포함되어 있습니다. 권한 부여 구성은 권한 부여 탭의 kafka 클라이언트에 정의되어 있으며, 설정 탭에서 인증 활성화 가 켜지면 표시됩니다.
    • kafka-cli 클라이언트는 액세스 토큰 또는 새로 고침 토큰을 가져오기 위해 사용자 이름 및 암호로 인증할 때 Kafka 명령줄 툴에서 사용하는 공용 클라이언트입니다.
    • team-a-client 및 team-b-client 클라이언트는 특정 Kafka 주제에 대한 부분적인 액세스 권한이 있는 서비스를 나타내는 기밀 클라이언트입니다.

11. Red Hat Single Sign-On 관리 콘솔에서 Authorization > Permissions 로 이동하여 영역에 정의된 리소스 및 정책을 사용하는 권한이 부여된 권한을 확인합니다.

    예를 들어 kafka 클라이언트에는 다음과 같은 권한이 있습니다.

    Dev Team A can write to topics that start with x_ on any cluster
    Dev Team B can read from topics that start with x_ on any cluster
    Dev Team B can update consumer group offsets that start with x_ on any cluster
    ClusterManager of my-cluster Group has full access to cluster config on my-cluster
    ClusterManager of my-cluster Group has full access to consumer groups on my-cluster
    ClusterManager of my-cluster Group has full access to topics on my-cluster

    Copy to Clipboard Toggle word wrap

    Dev 팀 A

    Dev 팀 A 영역 역할은 모든 클러스터에서 x_ 로 시작하는 항목에 쓸 수 있습니다. 그러면 Topic:x_*, 범위 설명 및 쓰기 및 Dev 팀 A 정책이라는 리소스가 결합됩니다. Dev 팀 A 정책은 Dev 팀 A 라는 realm 역할이 있는 모든 사용자와 일치합니다.

    Dev 팀 B

    Dev 팀 B 영역 역할은 모든 클러스터에서 x_ 로 시작하는 주제에서 읽을 수 있습니다. 주제:x_*, Group:x_* 리소스, 설명 및 읽기 범위, Dev 팀 B 정책이 결합됩니다. Dev 팀 B 정책은 Dev 팀 B 라는 realm 역할이 있는 모든 사용자와 일치합니다. 일치 사용자 및 클라이언트는 주제에서 읽고 x_ 로 시작하는 이름이 있는 주제 및 소비자 그룹에 대해 소비된 오프셋을 업데이트할 수 있습니다.

프로세스

1. 배포한 Red Hat Single Sign-On 인스턴스의 호스트 이름을 사용하여 Kafka 브로커의 신뢰 저장소 인증서가 Red Hat Single Sign-On 서버와 통신할 수 있도록 준비합니다.

   SSO_HOST=SSO-HOSTNAME
   SSO_HOST_PORT=$SSO_HOST:443
   STOREPASS=storepass
   
   echo "Q" | openssl s_client -showcerts -connect $SSO_HOST_PORT 2>/dev/null | awk ' /BEGIN CERTIFICATE/,/END CERTIFICATE/ { print $0 } ' > /tmp/sso.pem

   Copy to Clipboard Toggle word wrap

   보안(HTTPS) 연결을 위해 Kubernetes Ingress 를 사용하므로 인증서가 필요합니다.

   일반적으로 하나의 인증서가 없지만 인증서 체인이 있습니다. /tmp/sso.pem 파일에 마지막으로 나열된 최상위 발행자 CA만 제공해야 합니다. 수동으로 추출하거나 다음 명령을 사용하여 추출할 수 있습니다.

   인증서 체인에서 최상위 CA 인증서를 추출하는 명령의 예

   split -p "-----BEGIN CERTIFICATE-----" sso.pem sso-
   for f in $(ls sso-*); do mv $f $f.pem; done
   cp $(ls sso-* | sort -r | head -n 1) sso-ca.crt

   Copy to Clipboard Toggle word wrap

   참고

   신뢰할 수 있는 CA 인증서는 일반적으로 openssl 명령을 사용하지 않고 신뢰할 수 있는 소스에서 가져옵니다.

2. OpenShift에 인증서를 시크릿으로 배포합니다.

   oc create secret generic oauth-server-cert --from-file=/tmp/sso-ca.crt -n $NS

   Copy to Clipboard Toggle word wrap

3. 호스트 이름을 환경 변수로 설정

   SSO_HOST=SSO-HOSTNAME

   Copy to Clipboard Toggle word wrap

4. 예제 Kafka 클러스터를 생성하고 배포합니다.

   cat examples/security/keycloak-authorization/kafka-ephemeral-oauth-single-keycloak-authz.yaml | sed -E 's#\${SSO_HOST}'"#$SSO_HOST#" | oc create -n $NS -f -

   Copy to Clipboard Toggle word wrap

프로세스

1. AMQ Streams Kafka 이미지를 사용하여 실행 중인 Kafka 브로커에 연결합니다.

   NS=sso
   oc run -ti --restart=Never --image=registry.redhat.io/amq-streams/kafka-37-rhel8:2.7.0 kafka-cli -n $NS -- /bin/sh

   Copy to Clipboard Toggle word wrap
   참고

   이미지 다운로드에서 oc 시간이 초과되면 후속 시도로 인해 AlreadyExists 오류가 발생할 수 있습니다.

2. Pod 컨테이너에 연결합니다.

   oc attach -ti kafka-cli -n $NS

   Copy to Clipboard Toggle word wrap

3. Red Hat Single Sign-On 인스턴스의 호스트 이름을 사용하여 TLS를 사용하여 클라이언트 연결에 대한 인증서를 준비합니다.

   SSO_HOST=SSO-HOSTNAME
   SSO_HOST_PORT=$SSO_HOST:443
   STOREPASS=storepass
   
   echo "Q" | openssl s_client -showcerts -connect $SSO_HOST_PORT 2>/dev/null | awk ' /BEGIN CERTIFICATE/,/END CERTIFICATE/ { print $0 } ' > /tmp/sso.pem

   Copy to Clipboard Toggle word wrap

   일반적으로 하나의 인증서가 없지만 인증서 체인이 있습니다. /tmp/sso.pem 파일에 마지막으로 나열된 최상위 발행자 CA만 제공해야 합니다. 수동으로 추출하거나 다음 명령을 사용하여 추출할 수 있습니다.

   인증서 체인에서 최상위 CA 인증서를 추출하는 명령의 예

   split -p "-----BEGIN CERTIFICATE-----" sso.pem sso-
   for f in $(ls sso-*); do mv $f $f.pem; done
   cp $(ls sso-* | sort -r | head -n 1) sso-ca.crt

   Copy to Clipboard Toggle word wrap

   참고

   신뢰할 수 있는 CA 인증서는 일반적으로 openssl 명령을 사용하지 않고 신뢰할 수 있는 소스에서 가져옵니다.

4. Kafka 브로커에 대한 TLS 연결에 대한 신뢰 저장소를 생성합니다.

   keytool -keystore /tmp/truststore.p12 -storetype pkcs12 -alias sso -storepass $STOREPASS -import -file /tmp/sso-ca.crt -noprompt

   Copy to Clipboard Toggle word wrap

5. Kafka 부트스트랩 주소를 Kafka 브로커의 호스트 이름으로 사용하고 tls 리스너 포트(9093)를 사용하여 Kafka 브로커의 인증서를 준비합니다.

   KAFKA_HOST_PORT=my-cluster-kafka-bootstrap:9093
   STOREPASS=storepass
   
   echo "Q" | openssl s_client -showcerts -connect $KAFKA_HOST_PORT 2>/dev/null | awk ' /BEGIN CERTIFICATE/,/END CERTIFICATE/ { print $0 } ' > /tmp/my-cluster-kafka.pem

   Copy to Clipboard Toggle word wrap

   가져온 .pem 파일은 일반적으로 하나의 인증서가 아니라 인증서 체인입니다. /tmp/my-cluster-kafka.pem 파일에 마지막으로 나열된 최상위 발행자 CA만 제공해야 합니다. 수동으로 추출하거나 다음 명령을 사용하여 추출할 수 있습니다.

   인증서 체인에서 최상위 CA 인증서를 추출하는 명령의 예

   split -p "-----BEGIN CERTIFICATE-----" /tmp/my-cluster-kafka.pem kafka-
   for f in $(ls kafka-*); do mv $f $f.pem; done
   cp $(ls kafka-* | sort -r | head -n 1) my-cluster-kafka-ca.crt

   Copy to Clipboard Toggle word wrap

   참고

   신뢰할 수 있는 CA 인증서는 일반적으로 openssl 명령을 사용하지 않고 신뢰할 수 있는 소스에서 가져옵니다. 이 예에서는 클라이언트가 Kafka 클러스터가 배포된 동일한 네임스페이스의 Pod에서 실행되고 있다고 가정합니다. 클라이언트가 OpenShift 클러스터 외부에서 Kafka 클러스터에 액세스하는 경우 먼저 부트스트랩 주소를 확인해야 합니다. 이 경우 OpenShift 시크릿에서 직접 클러스터 인증서를 가져올 수 있으며 openssl 이 필요하지 않습니다. 자세한 내용은 14장. Kafka 클러스터에 대한 클라이언트 액세스 설정의 내용을 참조하십시오.

6. Kafka 브로커의 인증서를 신뢰 저장소에 추가합니다.

   keytool -keystore /tmp/truststore.p12 -storetype pkcs12 -alias my-cluster-kafka -storepass $STOREPASS -import -file /tmp/my-cluster-kafka-ca.crt -noprompt

   Copy to Clipboard Toggle word wrap

   세션을 열린 상태로 유지하여 권한 있는 액세스 권한을 확인합니다.

클라이언트 및 관리자 구성 설정

1. team-a-client 클라이언트에 대한 인증 속성을 사용하여 Kafka 구성 파일을 준비합니다.

   SSO_HOST=SSO-HOSTNAME
   
   cat > /tmp/team-a-client.properties << EOF
   security.protocol=SASL_SSL
   ssl.truststore.location=/tmp/truststore.p12
   ssl.truststore.password=$STOREPASS
   ssl.truststore.type=PKCS12
   sasl.mechanism=OAUTHBEARER
   sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
     oauth.client.id="team-a-client" \
     oauth.client.secret="team-a-client-secret" \
     oauth.ssl.truststore.location="/tmp/truststore.p12" \
     oauth.ssl.truststore.password="$STOREPASS" \
     oauth.ssl.truststore.type="PKCS12" \
     oauth.token.endpoint.uri="https://$SSO_HOST/auth/realms/kafka-authz/protocol/openid-connect/token" ;
   sasl.login.callback.handler.class=io.strimzi.kafka.oauth.client.JaasClientOauthLoginCallbackHandler
   EOF

   Copy to Clipboard Toggle word wrap

   SASL OAUTHBEARER 메커니즘이 사용됩니다. 이 메커니즘에는 클라이언트 ID와 클라이언트 시크릿이 필요합니다. 즉, 클라이언트가 먼저 Red Hat Single Sign-On 서버에 연결하여 액세스 토큰을 가져옵니다. 그러면 클라이언트는 Kafka 브로커에 연결하고 액세스 토큰을 사용하여 인증합니다.

2. team-b-client 클라이언트에 대한 인증 속성을 사용하여 Kafka 구성 파일을 준비합니다.

   cat > /tmp/team-b-client.properties << EOF
   security.protocol=SASL_SSL
   ssl.truststore.location=/tmp/truststore.p12
   ssl.truststore.password=$STOREPASS
   ssl.truststore.type=PKCS12
   sasl.mechanism=OAUTHBEARER
   sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
     oauth.client.id="team-b-client" \
     oauth.client.secret="team-b-client-secret" \
     oauth.ssl.truststore.location="/tmp/truststore.p12" \
     oauth.ssl.truststore.password="$STOREPASS" \
     oauth.ssl.truststore.type="PKCS12" \
     oauth.token.endpoint.uri="https://$SSO_HOST/auth/realms/kafka-authz/protocol/openid-connect/token" ;
   sasl.login.callback.handler.class=io.strimzi.kafka.oauth.client.JaasClientOauthLoginCallbackHandler
   EOF

   Copy to Clipboard Toggle word wrap

3. curl 을 사용하고 새로 고침 토큰을 가져오기 위해 암호를 부여하여 admin 사용자 alice 를 인증합니다.

   USERNAME=alice
   PASSWORD=alice-password
   
   GRANT_RESPONSE=$(curl -X POST "https://$SSO_HOST/auth/realms/kafka-authz/protocol/openid-connect/token" -H 'Content-Type: application/x-www-form-urlencoded' -d "grant_type=password&username=$USERNAME&password=$PASSWORD&client_id=kafka-cli&scope=offline_access" -s -k)
   
   REFRESH_TOKEN=$(echo $GRANT_RESPONSE | awk -F "refresh_token\":\"" '{printf $2}' | awk -F "\"" '{printf $1}')

   Copy to Clipboard Toggle word wrap

   새로 고침 토큰은 수명이 긴 오프라인 토큰이며 만료되지 않습니다.

4. admin 사용자 alice 에 대한 인증 속성을 사용하여 Kafka 구성 파일을 준비합니다.

   cat > /tmp/alice.properties << EOF
   security.protocol=SASL_SSL
   ssl.truststore.location=/tmp/truststore.p12
   ssl.truststore.password=$STOREPASS
   ssl.truststore.type=PKCS12
   sasl.mechanism=OAUTHBEARER
   sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
     oauth.refresh.token="$REFRESH_TOKEN" \
     oauth.client.id="kafka-cli" \
     oauth.ssl.truststore.location="/tmp/truststore.p12" \
     oauth.ssl.truststore.password="$STOREPASS" \
     oauth.ssl.truststore.type="PKCS12" \
     oauth.token.endpoint.uri="https://$SSO_HOST/auth/realms/kafka-authz/protocol/openid-connect/token" ;
   sasl.login.callback.handler.class=io.strimzi.kafka.oauth.client.JaasClientOauthLoginCallbackHandler
   EOF

   Copy to Clipboard Toggle word wrap

   kafka-cli 공용 클라이언트는 sasl.jaas.config 의 oauth.client.id 에 사용됩니다. 공개 클라이언트이므로 시크릿이 필요하지 않습니다. 클라이언트는 이전 단계에서 인증된 새로 고침 토큰을 사용하여 인증합니다. 새로 고침 토큰은 백그라운드에서 액세스 토큰을 요청하고, 그런 다음 인증을 위해 Kafka 브로커로 전송됩니다.

1. my-topic 주제를 작성합니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic my-topic \
     --producer.config=/tmp/team-a-client.properties
   First message

   Copy to Clipboard Toggle word wrap

   이 요청은 [my-topic] 오류에 액세스할 수 있는 Not authorized 을 반환합니다.

   team-a-client 에는 a_ 로 시작하는 주제에 대해 지원되는 작업을 수행할 수 있는 권한을 부여하는 Dev 팀 A 역할이 있지만 x_ 로 시작하는 항목에만 쓸 수 있습니다. my-topic 이라는 주제는 해당 규칙 중 어느 것과도 일치하지 않습니다.

2. a_messages 항목에 씁니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic a_messages \
     --producer.config /tmp/team-a-client.properties
   First message
   Second message

   Copy to Clipboard Toggle word wrap

   Kafka에 성공적으로 메시지가 생성됩니다.

3. CTRL+C를 눌러 CLI 애플리케이션을 종료합니다.

4. 요청에 대해 Authorization GRANTED 의 디버그 로그에 대한 Kafka 컨테이너 로그를 확인합니다.

   oc logs my-cluster-kafka-0 -f -n $NS

   Copy to Clipboard Toggle word wrap

1. 주제 a_messages 에서 메시지를 가져옵니다.

   bin/kafka-console-consumer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic a_messages \
     --from-beginning --consumer.config /tmp/team-a-client.properties

   Copy to Clipboard Toggle word wrap

   team-a-client 의 Dev Team A 역할은 a_ 로 시작하는 이름이 있는 소비자 그룹에만 액세스할 수 있기 때문에 요청이 오류를 반환합니다.

2. team-a-client 속성을 업데이트하여 사용할 수 있는 사용자 지정 소비자 그룹을 지정합니다.

   bin/kafka-console-consumer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic a_messages \
     --from-beginning --consumer.config /tmp/team-a-client.properties --group a_consumer_group_1

   Copy to Clipboard Toggle word wrap

   소비자는 a_messages 주제에서 모든 메시지를 받습니다.

1. 주제 나열.

   bin/kafka-topics.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/team-a-client.properties --list

   Copy to Clipboard Toggle word wrap

   a_messages 항목이 반환됩니다.

2. 소비자 그룹을 나열합니다.

   bin/kafka-consumer-groups.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/team-a-client.properties --list

   Copy to Clipboard Toggle word wrap

   a_consumer_group_1 소비자 그룹이 반환됩니다.

   클러스터 구성에 대한 세부 정보를 가져옵니다.

   bin/kafka-configs.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/team-a-client.properties \
     --entity-type brokers --describe --entity-default

   Copy to Clipboard Toggle word wrap

   작업에 team-a-client 가 없는 클러스터 수준 권한이 필요하므로 요청이 오류를 반환합니다.

1. a_messages 항목에 씁니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic a_messages \
     --producer.config /tmp/team-b-client.properties
   Message 1

   Copy to Clipboard Toggle word wrap

   이 요청은 [a_messages] 오류에 액세스할 수 있는 Not authorized 을 반환합니다.

2. b_messages 항목에 씁니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic b_messages \
     --producer.config /tmp/team-b-client.properties
   Message 1
   Message 2
   Message 3

   Copy to Clipboard Toggle word wrap

   Kafka에 성공적으로 메시지가 생성됩니다.

3. X _messages 항목에 씁니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --producer.config /tmp/team-b-client.properties
   Message 1

   Copy to Clipboard Toggle word wrap

   Not authorized to access topics: [x_messages] 오류가 반환됩니다. team-b-client 는 x_messages 에서만 읽을 수 있습니다.

4. team-a-client 를 사용하여 x_messages 주제를 작성합니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --producer.config /tmp/team-a-client.properties
   Message 1

   Copy to Clipboard Toggle word wrap

   이 요청은 [x_messages] 오류에 액세스할 수 있는 Not authorized 을 반환합니다. team-a-client 는 x_messages 항목에 쓸 수 있지만 아직 존재하지 않는 경우 주제를 생성할 수 있는 권한이 없습니다. team-a-client 가 x_messages 항목에 작성하려면 관리자 전원 사용자가 파티션 및 복제본 수와 같은 올바른 구성으로 생성해야 합니다.

1. x_messages 주제를 alice 로 만듭니다.

   bin/kafka-topics.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/alice.properties \
     --topic x_messages --create --replication-factor 1 --partitions 1

   Copy to Clipboard Toggle word wrap

   주제가 성공적으로 생성되었습니다.

2. 모든 주제를 alice 로 나열합니다.

   bin/kafka-topics.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/alice.properties --list
   bin/kafka-topics.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/team-a-client.properties --list
   bin/kafka-topics.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/team-b-client.properties --list

   Copy to Clipboard Toggle word wrap

   admin 사용자 alice 는 모든 주제를 나열할 수 있지만 team-a-client 및 team-b-client 는 액세스할 수 있는 항목만 나열할 수 있습니다.

   Dev 팀 A 및 Dev 팀 B 역할에는 x_ 로 시작하는 주제에 대한 설명 권한이 있지만 해당 역할에 대한 Describe 권한이 없으므로 다른 팀의 주제를 볼 수 없습니다.

3. team-a-client 를 사용하여 x_messages 항목에 메시지를 생성합니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --producer.config /tmp/team-a-client.properties
   Message 1
   Message 2
   Message 3

   Copy to Clipboard Toggle word wrap

   alice 가 x_messages 주제를 생성했으므로 Kafka에 메시지가 성공적으로 생성됩니다.

4. team-b-client 를 사용하여 x_messages 항목에 대한 메시지를 생성합니다.

   bin/kafka-console-producer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --producer.config /tmp/team-b-client.properties
   Message 4
   Message 5

   Copy to Clipboard Toggle word wrap

   이 요청은 [x_messages] 오류에 액세스할 수 있는 Not authorized 을 반환합니다.

5. team-b-client 를 사용하여 x_messages 주제의 메시지를 사용합니다.

   bin/kafka-console-consumer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --from-beginning --consumer.config /tmp/team-b-client.properties --group x_consumer_group_b

   Copy to Clipboard Toggle word wrap

   소비자는 x_messages 주제에서 모든 메시지를 받습니다.

6. team-a-client 를 사용하여 x_messages 주제의 메시지를 사용합니다.

   bin/kafka-console-consumer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --from-beginning --consumer.config /tmp/team-a-client.properties --group x_consumer_group_a

   Copy to Clipboard Toggle word wrap

   이 요청은 [x_messages] 오류에 액세스할 수 있는 Not authorized 을 반환합니다.

7. team-a-client 를 사용하여 a_ 로 시작하는 소비자 그룹의 메시지를 사용합니다.

   bin/kafka-console-consumer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --from-beginning --consumer.config /tmp/team-a-client.properties --group a_consumer_group_a

   Copy to Clipboard Toggle word wrap

   이 요청은 [x_messages] 오류에 액세스할 수 있는 Not authorized 을 반환합니다.

   dev 팀 A 에는 x_ 로 시작하는 주제에 대한 읽기 권한이 없습니다.

8. alice 를 사용하여 x_messages 항목에 대한 메시지를 생성합니다.

   bin/kafka-console-consumer.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --topic x_messages \
     --from-beginning --consumer.config /tmp/alice.properties

   Copy to Clipboard Toggle word wrap

   Kafka에 성공적으로 메시지가 생성됩니다.

   Alice 는 모든 항목에서 읽거나 쓸 수 있습니다.Alice can read from or write to any topic.

9. alice 를 사용하여 클러스터 구성을 읽습니다.

   bin/kafka-configs.sh --bootstrap-server my-cluster-kafka-bootstrap:9093 --command-config /tmp/alice.properties \
     --entity-type brokers --describe --entity-default

   Copy to Clipboard Toggle word wrap

   이 예제의 클러스터 구성은 비어 있습니다.