4.11.2. 配置 OAuth 2.0 授权支持

流程

1. 访问 Red Hat Single Sign-On Admin 控制台，或使用 Red Hat Single Sign-On Admin CLI 为您在设置 OAuth 2.0 身份验证时创建的 Kafka 代理客户端启用授权服务。
2. 使用授权服务为客户端定义资源、授权范围、策略和权限。
3. 通过为用户和组分配角色和组，将权限绑定至用户和组。

4. 将 Kafka 代理配置为使用 Red Hat Single Sign-On 授权。

   在 Kafka server.properties 配置文件中添加以下内容以在 Kafka 中安装授权器：

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakRBACAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.authorizer.JwtKafkaPrincipalBuilder

5. 添加 Kafka 代理的配置，以访问授权服务器和授权服务。

   在此，我们演示了添加为 server.properties 附加属性的示例配置，但也可以使用大写或大写命名惯例将其定义为环境变量。

   strimzi.authorization.token.endpoint.uri="https://AUTH-SERVER-ADDRESS/auth/realms/REALM-NAME/protocol/openid-connect/token" 1
   strimzi.authorization.client.id="kafka" 2

   1

   红帽单点登录的 OAuth 2.0 令牌端点 URL。对于生产环境，始终使用 HTTPs。

   2

   启用了授权服务的 Red Hat Single Sign-On 中的 OAuth 2.0 客户端定义的客户端 ID。通常，kafka 用作 ID。

6. （可选）添加特定 Kafka 集群的配置。

   例如：

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 1

   1

   特定 Kafka 集群的名称。名称用于目标权限，从而能够管理同一红帽单点登录域中的多个集群。默认值为 kafka-cluster。

7. （可选）提交到简单授权。

   例如：

   strimzi.authorization.delegate.to.kafka.acl="false" 1

   1

   如果 Red Hat Single Sign-On Authorization Services 策略拒绝访问，请将访问权限委派给 Kafka AclAuthorizer。默认值为 false。

8. （可选）添加 TLS 连接到授权服务器的配置。

   例如：

   strimzi.authorization.ssl.truststore.location=<path-to-truststore> 1
   strimzi.authorization.ssl.truststore.password=<my-truststore-password> 2
   strimzi.authorization.ssl.truststore.type=JKS 3
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 4
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 5

   1

   包含证书的信任存储的路径。

   2

   信任存储的密码。

   3

   truststore 类型。如果没有设置，则使用默认的 Java 密钥存储类型。

   4

   随机数字生成器实施.如果没有设置，则使用 Java 平台 SDK 默认。

   5

   主机名验证.如果设置为空字符串，则主机名验证将关闭。如果没有设置，则默认值为 HTTPS，它会强制对服务器证书进行主机名验证。

9. （可选）从授权服务器配置 授权刷新。通过枚举活动令牌并请求每个帐户的最新授权来授予刷新作业。

   例如：

   strimzi.authorization.grants.refresh.period.seconds="120" 1
   strimzi.authorization.grants.refresh.pool.size="10" 2

   1

   指定授权服务器授权列表刷新的频率（默认为每分钟刷新一次）。要为调试目的关闭刷新，请将 设为 "0"。

   2

   指定授权刷新作业使用的线程池的大小（并行程度）。默认值为 "5"。

10. 以具有特定角色的客户端或用户访问 Kafka 代理，确保他们具有必要的访问权限，或者没有他们应该拥有的访问权限，来验证配置的权限。