7.6. 部署 3scale API Management OpenAPI 自定义资源

• OAS 文档可以从以下项读取：

  • Kubernetes secret。
  • http 和 https 格式的 URL。
• 在 OAS 文档中，info.title 设置不能超过 215 个字符。Operator 使用此设置来创建 OpenShift 对象名称，其长度限制。
• 只有服务器列表中的第一个 server[0].url 元素将解析为私有 URL。OpenAPI 规格(OAS)使用其 server[0].url 元素的 basePath 组件。
• OpenAPI CRD 支持单个顶层安全要求，但它不支持操作级别的安全性。
• OpenAPI CRD 支持 apiKey 和 openIdConnect/oauth2 安全方案。

其他资源

• 与功能相关的产品自定义资源
• OpenAPI CRD 参考
• OpenID Connect 和 OAuth2 示例
• 对象名称和 ID

• 凭证位置 将从安全方案对象的 in 字段中的 OpenAPI 文档读取。
• Auth user 键将从安全方案对象的 OpenAPI 文档的 name 字段中读取。

• 产品身份验证将为 apiKey 配置。
• 凭证位置 将默认为 3scale 值 As query parameters (GET) or body parameters (POST/PUT/DELETE)。
• Auth user 密钥默认为 3scale 值 user_key。

• OpenID Connect Issuer Type

  默认为 rest，但可以从 OpenAPI CR 覆盖。

• OpenID Connect Issuer Endpoint Reference (Secret)

  3scale 要求签发者 URL 包含客户端 secret。

• 流对象

  当安全方案是 OAuth2 时，流由 OpenAPI 文档提供。但是，对于 OpenID Connect (OIDC)安全方案，OpenAPI 文档不提供流。

  OIDC 有 4 个流参数：

  • standardFlowEnabled
  • implicitFlowEnabled
  • serviceAccountsEnabled
  • directAccessGrantsEnabled.

OIDC 签发者 secret

• 您之前已设置 Issuer Client。RHSSO/keycloak 域和客户端在 secret 示例中使用它。
• issuerEndpoint 格式为 https://<client-id>:<client-secret>@<host>:<port>/auth/realms/<realm-name>。格式在 3scale 门户/产品页面中描述 - AUTHENTICATION SETTINGS - OpenID Connect Issuer。
• <client-secret> 值从 Realm/Clients/ClientID/Credentials/Secret 中的 Issuer Client 获取。

• 在 OIDC 规格中定义 issuerEndpointRef 或 issuerEndpoint，但您可以定义这两个字段。
• 如果在 CR 中定义 issuerEndpoint 普通值，它将优先于 issuerEndpointRef secret。

• issuerEndpoint 的格式在 OpenID 提供程序设置上决定：

  • 在 3scale 管理门户中，导航到 [Your_product_name] > Integration > Settings。在 Authentication 下，单击 OpenID Connect Issuer 选项。检查 OpenID Connect Issuer 类型。

    • 以下是一个 OpenAPI CR 示例，其中 issuerEndpoint 定义为 plain value 和 secret。使用 plain 值：

      apiVersion: capabilities.3scale.net/v1beta1
      kind: OpenAPI
      metadata:
        generation: 1
        name: openapi-example
      spec:
        openapiRef:
          url: "https://example.com/petstore.yaml"
        oidc:
          issuerType: keycloak
          issuerEndpoint: https://3scale-zync:some-secret@keycloak-rhsso-test.example.com/auth/realms/petstore
          issuerEndpointRef:
            name: my-secret
          jwtClaimWithClientID: azp
          jwtClaimWithClientIDType: plain
          authenticationFlow:
            standardFlowEnabled: true
            implicitFlowEnabled: true
            serviceAccountsEnabled: true
            directAccessGrantsEnabled: true

      Copy to Clipboard Toggle word wrap

• 如果 OpenAPI CR 规格是 OIDC，但 OAS 中的 securitySchemes 类型是 oauth2，则 CR OIDC Authentication Flows 参数将被忽略，产品 OIDC Authentication Flows 将被设置为与 OAS 中定义的 oauth2 流匹配：

  • standardFlowEnabled is true if OAuth2 authorizationCode is defined
  • 如果定义了 OAuth2 隐式，则 implicit FlowEnabled 为 true
  • 如果定义了 OAuth2 客户端Credentials，则 serviceAccountsEnabled 为 true

  • 如果定义了 OAuth2 密码，则 directAccessGrantsEnabled 为 true

    OAS securitySchemes 定义示例，允许选择所有产品 OIDC 身份验证流。注： 在 OpenAPI CR 中定义 OIDC ：

    securitySchemes:
      myOauth:
        description: This API uses OAuth 2 with the implicit grant flow.
          link:https://api.example.com/docs/auth:[More information]
        flows:
          password:
            scopes:
              read_pets: read your pets
              write_pets: modify pets in your account
            tokenUrl: https://api.example.com/oauth2/token
          implicit:
            authorizationUrl: https://example.com/api/oauth/dialog
            scopes:
              write_pets: modify pets in your account
              read_pets: read your pets
          authorizationCode:
            authorizationUrl: https://example.com/api/oauth/dialog
            tokenUrl: https://example.com/api/oauth/token
            scopes:
              write_pets: modify pets in your account
              read_pets: read your pets
          clientCredentials:
            tokenUrl: https://example.com/api/oauth/token
            scopes:
              write_pets: modify pets in your account
              read_pets: read your pets
        type: oauth2

    Copy to Clipboard Toggle word wrap

其他资源

• 3scale 产品参考

先决条件

• 如果您要创建一个 OpenAPI 自定义资源，它没有链接到同一命名空间中的 3scale 实例中默认租户，则该命名空间将包含 OpenAPI CR 的 secret 包含一个用于标识 OpenAPI CR 链接的租户。secret 的名称是以下之一：

  • threescale-provider-account
  • 用户定义

  此机密包含 3scale 实例的 URL 和令牌，其中包含用于访问 3scale 实例中某一租户的凭据。

• OpenAPI 规格
• OpenAPI CRD 参考
• 部署可选租户自定义资源
• OpenID Connect 和 OAuth2 示例

• 提升产品的 APIcast 配置