4.5.3. 在 Red Hat Single Sign-On Authorization Services 中管理策略和权限
本节论述了 Red Hat Single Sign-On Authorization Services 和 Kafka 使用的授权模型，并定义了每个模型中的重要概念。
要授予访问 Kafka 的权限，您可以通过在 Red Hat Single Sign-On Sign-On 登陆到 Red Hat Single Sign-On 中创建 OAuth 客户端规格 将 Red Hat Single Sign-On Authorization Services 对象映射到 Kafka 资源。使用 Red Hat Single Sign-On Authorization Services 规则为用户帐户或服务帐户授予 Kafka 权限。
显示了 常见 Kafka 操作所需的不同用户权限，如创建和列出主题。
4.5.3.1. Kafka 和红帽单点登录授权模型概述
Kafka 和红帽单点登录授权服务使用不同的授权模型。
Kafka 授权模型
Kafka 的授权模型使用 资源类型。当 Kafka 客户端对代理执行操作时，代理使用配置的 KeycloakRBACAuthorizer 检查客户端的权限，具体取决于操作和资源类型。
Kafka 使用五个资源类型来控制访问： Topic、group、 Cluster、transactionalId 和 DelegationToken。每一资源类型具有一组可用权限。
主题
-
create -
写 -
读 -
删除 -
describe -
DescribeConfigs -
更改 -
AlterConfigs
组
-
读 -
describe -
删除
Cluster
-
create -
describe -
更改 -
DescribeConfigs -
AlterConfigs -
IdempotentWrite -
ClusterAction
TransactionalId
-
describe -
写
DelegationToken
-
describe
Red Hat Single Sign-On Authorization Services 模型
红帽单点登录授权服务模型具有四个概念，用于定义和授予权限： 资源、授权范围、 策略 和权限。
- 资源
- 资源是一组资源定义，用于将资源与允许的操作匹配。例如，资源可以是单独的主题，或者名称以同一前缀开头的所有主题。资源定义与一组可用的授权范围相关联，后者代表一组资源上可用的所有操作。通常，只有一部分操作实际被允许。
- 授权范围
- 授权范围是针对特定资源定义的一组所有可用操作。当您定义新资源时，您可以添加所有范围集中的范围。
- 策略（policy）
策略是使用条件与帐户列表匹配的授权规则。策略可以匹配：
- 基于 客户端 ID 或角色的服务帐户
- 基于用户名、组或角色的用户帐户。
- 权限
- 权限将特定资源定义的一组授权范围授予一组用户。
其它资源
