红帽全球峰会2.4. OAuth 2.0 身份验证和授权
此发行版本包括对基于 OAuth 2.0 令牌的身份验证和授权的以下增强。
会话重新身份验证
AMQ Streams 中的 OAuth 2.0 身份验证现在支持 Kafka 代理的 会话重新身份验证。这定义了 Kafka 客户端和 Kafka 代理之间经过身份验证的 OAuth 2.0 会话的最长持续时间。会话重新身份验证支持两种类型的令牌验证：快速本地 JWT 和内省端点。
您可以在 server.properties 文件中为 Kafka 代理的 OAuth 2.0 配置中配置会话重新身份验证。
-
要应用到所有监听器，请以毫秒为单位设置
connection.max.reauth.ms属性。 -
要应用到特定的监听程序，请设置 listen
.name.LISTENER-NAME. oauthbearer.connections.max.reauth.ms属性（毫秒）。LISTENER-NAME 是监听器不区分大小写的名称。
如果经过身份验证的会话超过配置的最大会话重新身份验证时间，或者达到访问令牌到期时间，则会关闭该会话。然后，客户端必须再次登录到授权服务器，获取新的访问令牌，然后重新身份验证到 Kafka 代理。这将在现有连接上创建一个新的经过身份验证的会话。
当下次需要重新身份验证时，客户端尝试的任何操作（不包括重新身份验证）将导致代理终止连接。
会话重新验证的监听程序在 6 分钟后配置示例
sasl.enabled.mechanisms=OAUTHBEARER listeners=CLIENT://0.0.0.0:9092 # ... listener.name.client.oauthbearer.sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \ oauth.valid.issuer.uri="https://AUTH-SERVER-ADDRESS" \ oauth.jwks.endpoint.uri="https://AUTH-SERVER-ADDRESS/jwks" \ oauth.username.claim="preferred_username" \ oauth.client.id="kafka-broker" \ oauth.client.secret="kafka-secret" \ oauth.token.endpoint.uri="https://AUTH-SERVER-ADDRESS/token" ; listener.name.client.oauthbearer.sasl.login.callback.handler.class=io.strimzi.kafka.oauth.client.JaasClientOauthLoginCallbackHandler listener.name.client.oauthbearer.connections.max.reauth.ms=3600000
sasl.enabled.mechanisms=OAUTHBEARER
listeners=CLIENT://0.0.0.0:9092
# ...
listener.name.client.oauthbearer.sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
oauth.valid.issuer.uri="https://AUTH-SERVER-ADDRESS" \
oauth.jwks.endpoint.uri="https://AUTH-SERVER-ADDRESS/jwks" \
oauth.username.claim="preferred_username" \
oauth.client.id="kafka-broker" \
oauth.client.secret="kafka-secret" \
oauth.token.endpoint.uri="https://AUTH-SERVER-ADDRESS/token" ;
listener.name.client.oauthbearer.sasl.login.callback.handler.class=io.strimzi.kafka.oauth.client.JaasClientOauthLoginCallbackHandler
listener.name.client.oauthbearer.connections.max.reauth.ms=3600000请参阅：Kafka 代理的 会话重新身份验证以及 配置 Kafka 代理的 OAuth 2.0 支持。
JWKS 密钥刷新间隔
将 Kafka 代理配置为使用快速本地 JWT 令牌验证时，您现在可以在监听器配置中设置 oauth.jwks.refresh.min.pause.seconds 选项（在 server.properties 文件中）。这会定义代理尝试刷新授权服务器发布的 JSON Web 密钥集(JWKS)公钥尝试之间的最小间隔。
在这个版本中，如果 Kafka 代理检测到未知签名密钥，它会尝试立即刷新 JWKS 密钥并忽略常规刷新计划。
尝试刷新 JWKS 密钥之间暂停 2 分钟的示例
listener.name.client.oauthbearer.sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \ oauth.valid.issuer.uri="https://AUTH-SERVER-ADDRESS" \ oauth.jwks.endpoint.uri="https://AUTH-SERVER-ADDRESS/jwks" \ oauth.jwks.refresh.seconds="300" \ oauth.jwks.refresh.min.pause.seconds="120" \ # ... oauth.ssl.truststore.type="PKCS12" ;
listener.name.client.oauthbearer.sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
oauth.valid.issuer.uri="https://AUTH-SERVER-ADDRESS" \
oauth.jwks.endpoint.uri="https://AUTH-SERVER-ADDRESS/jwks" \
oauth.jwks.refresh.seconds="300" \
oauth.jwks.refresh.min.pause.seconds="120" \
# ...
oauth.ssl.truststore.type="PKCS12" ;
JWKS 密钥刷新调度在 oauth.jwks.refresh.seconds 选项中设置。当遇到未知的签名密钥时，会在刷新计划外调度 JWKS 密钥刷新。刷新将等到上次刷新达到 oauth.jwks.refresh.min.pause.seconds 中指定的间隔后才会开始。默认值为：1。
请参阅 为 Kafka 代理配置 OAuth 2.0 支持。
从 Red Hat Single Sign-On 刷新授权
通过红帽单点登录，为基于 OAuth 2.0 令牌的授权添加了新的配置选项。在配置 Kafka 代理时，现在可以定义以下与从 Red Hat SSO 授权服务刷新授权相关的选项：
-
strimzi.authorization.grants.refresh.period.seconds:连续两次的时间允许刷新运行。默认值为60。如果设置为0或以下，则禁用刷新授权。 -
strimzi.authorization.grants.refresh.pool.size:可以获取的线程数并行为活动会话授予。默认值为5。
请参阅 使用基于 OAuth 2.0 令牌的授权和 配置 OAuth 2.0 授权支持
在 Red Hat Single Sign-On 中检测权限更改
在这个版本中，KeycloakRBACAuthorizer （红帽 SSO）授权会定期检查活动会话的权限更改。现在，可以实时检测中央用户和权限管理更改。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}