4.5.2. 配置 OAuth 2.0 授权支持

步骤

1. 访问 Red Hat Single Sign-On Admin 控制台，或使用 Red Hat Single Sign-On Admin CLI 为您在设置 OAuth 2.0 身份验证时创建的 Kafka 代理客户端启用授权服务。
2. 使用授权服务为客户端定义资源、授权范围、策略和权限。
3. 通过为用户和组分配角色和组，将权限绑定至用户和组。

4. 通过在 编辑器 中更新 Kafka 代理配置(Kafka.spec.kafka)，将 Kafka代理配置为使用 Red Hat Single Sign-On 授权。

   oc edit kafka my-cluster

5. 将 Kafka 代理 kafka 配置配置为使用 keycloak 授权，并可以访问授权服务器和授权服务。

   例如：

   apiVersion: kafka.strimzi.io/v1beta1
   kind: Kafka
   metadata:
     name: my-cluster
   spec:
     kafka
     # ...
     authorization:
       type: keycloak 1
       tokenEndpointUri: <https://<auth-server-address>/auth/realms/external/protocol/openid-connect/token> 2
       clientId: kafka 3
       delegateToKafkaAcls: false 4
       disableTlsHostnameVerification: false 5
       superUsers: 6
         - CN=fred
         - sam
         - CN=edward
       tlsTrustedCertificates: 7
       - secretName: oauth-server-cert
         certificate: ca.crt
       grantsRefreshPeriodSeconds: 60 8
       grantsRefreshPoolSize: 5 9
     #...

   1

   类型 keycloak 启用红帽单点登录授权。

   2

   红帽单点登录令牌端点的 URI。对于生产环境，始终使用 HTTPs。

   3

   启用了授权服务的 Red Hat Single Sign-On 中的 OAuth 2.0 客户端定义的客户端 ID。通常, kafka 用作 ID。

   4

   （可选）如果 Red Hat Single Sign-On Authorization Services 策略拒绝访问，则会向 Kafka AclAuthorizer 委派授权。默认为 false。

   5

   （可选）禁用 TLS 主机名验证。默认为 false。

   6

   （可选）指定的 超级用户.

   7

   （可选）用于 TLS 连接到授权服务器的受信任证书。

   8

   （可选）两个连续的时间允许刷新运行。这是活跃会话的最大时间，用于检测 Red Hat Single Sign-On 上用户的任何权限更改。默认值为 60。

   9

   （可选）用于（并行）活动会话授权的线程数量。默认值为 5。

6. 保存并退出编辑器，然后等待滚动更新完成。

7. 检查日志中的更新，或者查看 pod 状态转换：

   oc logs -f ${POD_NAME} -c kafka
   oc get po -w

   滚动更新将代理配置为使用 OAuth 2.0 授权。

8. 以具有特定角色的客户端或用户访问 Kafka 代理，确保他们具有必要的访问权限，或者没有他们应该拥有的访问权限，来验证配置的权限。