6.6. OAuth 2.0 토큰 기반 권한 부여 사용

프로세스

1. Red Hat Single Sign-On 관리 콘솔에 액세스하거나 Red Hat Single Sign-On 관리 CLI를 사용하여 OAuth 2.0 인증을 설정할 때 생성한 Kafka 브로커 클라이언트에 대한 인증 서비스를 활성화합니다.
2. 인증 서비스를 사용하여 클라이언트에 대한 리소스, 권한 부여 범위, 정책 및 권한을 정의합니다.
3. 역할 및 그룹을 할당하여 사용자 및 클라이언트에 권한을 바인딩합니다.

4. Red Hat Single Sign-On 권한을 사용하도록 Kafka 브로커를 구성합니다.

   Kafka server.properties 구성 파일에 다음을 추가하여 Kafka에 인증자를 설치합니다.

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.OAuthKafkaPrincipalBuilder

   Copy to Clipboard

5. Kafka 브로커에 대한 구성을 추가하여 권한 부여 서버 및 권한 부여 서비스에 액세스합니다.

   여기서는 server.properties 에 추가 속성을 추가하지만 대문자 또는 대문자 이름 지정 규칙을 사용하여 환경 변수로 정의할 수도 있습니다.

   strimzi.authorization.token.endpoint.uri="https://<auth_server_address>/auth/realms/REALM-NAME/protocol/openid-connect/token" 

   1

   
   strimzi.authorization.client.id="kafka" 

   2

   Copy to Clipboard

   1

   Red Hat Single Sign-On의 OAuth 2.0 토큰 끝점 URL입니다. 프로덕션의 경우 항상 https:// urls를 사용합니다.

   2

   권한 부여 서비스가 활성화된 Red Hat Single Sign-On의 OAuth 2.0 클라이언트 정의의 클라이언트 ID입니다. 일반적으로 kafka 는 ID로 사용됩니다.

6. (선택 사항) 특정 Kafka 클러스터에 대한 구성을 추가합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 

   1

   Copy to Clipboard

   1

   특정 Kafka 클러스터의 이름입니다. 이름은 권한을 대상으로 지정하는 데 사용되며 동일한 Red Hat Single Sign-On 영역에서 여러 클러스터를 관리할 수 있습니다. 기본값은 kafka-cluster 입니다.

7. (선택 사항) 간단한 인증으로 위임합니다.

   strimzi.authorization.delegate.to.kafka.acl="true" 

   1

   Copy to Clipboard

   1

   Red Hat Single Sign-On 인증 서비스 정책에서 액세스가 거부되는 경우 Kafka AclAuthorizer 에 권한을 위임합니다. 기본값은 false입니다.

8. (선택 사항) 권한 부여 서버에 TLS 연결에 대한 구성을 추가합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.ssl.truststore.location=<path_to_truststore> 

   1

   
   strimzi.authorization.ssl.truststore.password=<my_truststore_password> 

   2

   
   strimzi.authorization.ssl.truststore.type=JKS 

   3

   
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 

   4

   
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 

   5

   Copy to Clipboard

   1

   인증서가 포함된 신뢰 저장소의 경로입니다.

   2

   truststore의 암호입니다.

   3

   truststore 유형입니다. 설정되지 않은 경우 기본 Java 키 저장소 유형이 사용됩니다.

   4

   임의 번호 생성기 구현. 설정하지 않으면 Java 플랫폼 SDK 기본값이 사용됩니다.

   5

   호스트 이름 확인 빈 문자열로 설정하면 호스트 이름 확인이 해제됩니다. 설정되지 않은 경우 기본값은 HTTPS 로, 서버 인증서에 대한 호스트 이름 확인을 적용합니다.

9. (선택 사항) 권한 부여 서버에서 권한 부여 새로 고침을 구성합니다. 부여 새로 고침 작업은 활성 토큰을 열거하고 각각에 대한 최신 권한을 요청하여 작동합니다.

   예를 들면 다음과 같습니다.

   strimzi.authorization.grants.refresh.period.seconds="120" 

   1

   
   strimzi.authorization.grants.refresh.pool.size="10" 

   2

   
   strimzi.authorization.grants.max.idle.time.seconds="300" 

   3

   
   strimzi.authorization.grants.gc.period.seconds="300" 

   4

   
   strimzi.authorization.reuse.grants="false" 

   5

   Copy to Clipboard

   1

   권한 부여 서버의 권한 부여 목록이 새로 고침되는 빈도(기본적으로 분당 시간)를 지정합니다. 디버깅 목적으로 새로 고침을 비활성화하려면 "0" 으로 설정합니다.

   2

   grants 새로 고침 작업에 사용되는 스레드 풀의 크기(병합 정도)를 지정합니다. 기본값은 "5" 입니다.

   3

   캐시의 유휴 부여를 제거할 수 있는 시간(초)입니다. 기본값은 300입니다.

   4

   캐시에서 오래된 권한을 정리하는 작업의 연속 실행 사이의 시간(초)입니다. 기본값은 300입니다.

   5

   최신 부여를 새 세션에 대해 가져올지 여부를 제어합니다. 비활성화되면 Red Hat Single Sign-On에서 부여가 검색되고 사용자에게 캐시됩니다. 기본값은 true입니다.

10. (선택 사항) 권한 부여 서버와 통신할 때 네트워크 시간 초과를 구성합니다.

    예를 들면 다음과 같습니다.

    strimzi.authorization.connect.timeout.seconds="60" 

    1

    
    strimzi.authorization.read.timeout.seconds="60" 

    2

    
    strimzi.authorization.http.retries="2" 

    3

    Copy to Clipboard

    1

    Red Hat Single Sign-On 토큰 끝점에 연결할 때 연결 시간(초)입니다. 기본값은 60 입니다.

    2

    Red Hat Single Sign-On 토큰 끝점에 연결할 때 읽기 제한 시간(초)입니다. 기본값은 60 입니다.

    3

    권한 부여 서버에 대한 실패한 HTTP 요청을 재시도하지 않고 재시도할 최대 횟수입니다. 기본값은 0 입니다. 즉, 재시도가 수행되지 않습니다. 이 옵션을 효과적으로 사용하려면 strimzi.authorization.connect.timeout.seconds 및 strimzi.authorization.read.timeout.seconds 옵션의 시간 초과 시간을 줄이는 것이 좋습니다. 그러나 재시도하면 현재 작업자 스레드를 다른 요청에 사용할 수 없게 될 수 있으며 요청이 너무 많으면 Kafka 브로커가 응답하지 않을 수 있습니다.

11. (선택 사항) 토큰 검증 및 권한 부여에 OAuth 2.0 메트릭을 활성화합니다.

    oauth.enable.metrics="true" 

    1

    Copy to Clipboard

    1

    OAuth 메트릭을 활성화하거나 비활성화할지 여부를 제어합니다. 기본값은 false입니다.

12. (선택 사항) 요청에서 Accept 헤더를 제거합니다.

    oauth.include.accept.header="false" 

    1

    Copy to Clipboard

    1

    헤더를 포함하는 경우 false 로 설정하면 권한 부여 서버와 통신할 때 문제가 발생합니다. 기본값은 true입니다.

13. Kafka 브로커에 특정 역할이 있는 클라이언트 또는 사용자로 액세스하여 구성된 권한에 액세스하고 필요한 액세스 권한이 있는지 또는 권한이 없는지 확인합니다.