4.5.2. 配置 OAuth 2.0 授权支持

流程

1. 访问 Red Hat Single Sign-On Admin 控制台，或使用 Red Hat Single Sign-On Admin CLI 为您在设置 OAuth 2.0 身份验证时创建的 Kafka 代理客户端启用授权服务。
2. 使用授权服务为客户端定义资源、授权范围、策略和权限。
3. 通过为用户和组分配角色和组，将权限绑定至用户和组。

4. 通过在 编辑器 中更新 Kafka 代理配置(Kafka.spec.kafka)，将 Kafka代理配置为使用 Red Hat Single Sign-On 授权。

   oc edit kafka my-cluster

   Copy to Clipboard Toggle word wrap

5. 将 Kafka 代理 kafka 配置配置为使用 keycloak 授权，并可以访问授权服务器和授权服务。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
   spec:
     kafka:
       # ...
       authorization:
         type: keycloak 

   1

   
         tokenEndpointUri: <https://<auth-server-address>/auth/realms/external/protocol/openid-connect/token> 

   2

   
         clientId: kafka 

   3

   
         delegateToKafkaAcls: false 

   4

   
         disableTlsHostnameVerification: false 

   5

   
         superUsers: 

   6

   
         - CN=fred
         - sam
         - CN=edward
         tlsTrustedCertificates: 

   7

   
         - secretName: oauth-server-cert
           certificate: ca.crt
         grantsRefreshPeriodSeconds: 60 

   8

   
         grantsRefreshPoolSize: 5 

   9

   
       #...

   Copy to Clipboard Toggle word wrap

   1

   类型 keycloak 启用红帽单点登录授权。

   2

   红帽单点登录令牌端点的 URI。对于生产环境，始终使用 HTTPs。当您配置基于令牌的 oauth 身份验证时，您可以将 jwksEndpointUri 指定为本地 JWT 验证的 URI。tokenEndpointUri URI 的主机名必须相同。

   3

   启用了授权服务的 Red Hat Single Sign-On 中的 OAuth 2.0 客户端定义的客户端 ID。通常, kafka 用作 ID。

   4

   （可选）如果 Red Hat Single Sign-On Authorization Services 策略拒绝访问，则会向 Kafka AclAuthorizer 委派授权。默认为 false。

   5

   （可选）禁用 TLS 主机名验证。默认为 false。

   6

   （可选）指定的 超级用户.

   7

   （可选）用于 TLS 连接到授权服务器的受信任证书。

   8

   （可选）两个连续的时间允许刷新运行。这是活跃会话的最大时间，用于检测 Red Hat Single Sign-On 上用户的任何权限更改。默认值为 60。

   9

   （可选）用于（并行）活动会话授权的线程数量。默认值为 5。

6. 保存并退出编辑器，然后等待滚动更新完成。

7. 检查日志中的更新，或者查看 pod 状态转换：

   oc logs -f ${POD_NAME} -c kafka
   oc get pod -w

   Copy to Clipboard Toggle word wrap

   滚动更新将代理配置为使用 OAuth 2.0 授权。

8. 以具有特定角色的客户端或用户访问 Kafka 代理，确保他们具有必要的访问权限，或者没有他们应该拥有的访问权限，来验证配置的权限。