第 5 章 保护 Apicurio Registry 部署

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators 和 Red Hat Single Sign-On Operator，然后选择 Keycloak 选项卡。

2. 点 Create Keycloak 置备一个新的 Red Hat Single Sign-On 实例来保护 Apicurio Registry 部署。您可以使用默认值，例如：

   apiVersion: keycloak.org/v1alpha1
   kind: Keycloak
   metadata:
     name: example-keycloak
     labels:
       app: sso
   spec:
     instances: 1
     externalAccess:
       enabled: True
     podDisruptionBudget:
       enabled: True

   Copy to Clipboard Toggle word wrap
3. 等待实例创建好，然后单击 Networking，然后单击 Routes 以访问 keycloak 实例的新路由。
4. 点 Location URL，复制显示的 ./auth URL 值，以便稍后在部署 Apicurio Registry 时使用。

5. 点 Installed Operators 和 Red Hat Single Sign-On Operator，然后点击 Keycloak Realm 选项卡，然后 Create Keycloak Realm 创建 registry 示例域：

   apiVersion: keycloak.org/v1alpha1
   kind: KeycloakRealm
   metadata:
     name: registry-keycloakrealm
     labels:
       app: registry
   spec:
     instanceSelector:
       matchLabels:
         app: sso
     realm:
       displayName: Registry
       enabled: true
       id: registry
       realm: registry
       sslRequired: none
       roles:
         realm:
           - name: sr-admin
           - name: sr-developer
           - name: sr-readonly
       clients:
         - clientId: registry-client-ui
           implicitFlowEnabled: true
           redirectUris:
             - '*'
           standardFlowEnabled: true
           webOrigins:
             - '*'
           publicClient: true
         - clientId: registry-client-api
           implicitFlowEnabled: true
           redirectUris:
             - '*'
           standardFlowEnabled: true
           webOrigins:
             - '*'
           publicClient: true
       users:
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-admin
           username: registry-admin
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-developer
           username: registry-developer
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-readonly
           username: registry-user

   Copy to Clipboard Toggle word wrap
   重要

   如果要部署到生产环境，则必须使用适合您的环境的值自定义此 KeycloakRealm 资源。您还可以使用 Red Hat Single Sign-On Web 控制台创建和管理域。

6. 如果您的集群没有配置有效的 HTTPS 证书，您可以创建以下 HTTP Service 和 Ingress 资源作为临时临时解决方案：

   1. 点击 Networking and then Services，然后使用以下示例点击 Create Service ：

      apiVersion: v1
      kind: Service
      metadata:
        name: keycloak-http
        labels:
          app: keycloak
      spec:
        ports:
          - name: keycloak-http
            protocol: TCP
            port: 8080
            targetPort: 8080
        selector:
          app: keycloak
          component: keycloak
        type: ClusterIP
        sessionAffinity: None
      status:
        loadBalancer: {}

      Copy to Clipboard Toggle word wrap

   2. 点 Networking，然后点 Ingresses，然后使用以下示例点击 Create Ingress ：

      apiVersion: networking.k8s.io/v1
      kind: Ingress
      metadata:
        name: keycloak-http
        labels:
          app: keycloak
      spec:
        rules:
          - host: KEYCLOAK_HTTP_HOST
            http:
              paths:
                - path: /
                  pathType: ImplementationSpecific
                  backend:
                    service:
                      name: keycloak-http
                      port:
                        number: 8080

      Copy to Clipboard Toggle word wrap

      修改 主机 值，以创建 Apicurio Registry 用户可访问的路由，并使用它而不是由 Red Hat Single Sign-On Operator 创建的 HTTPS 路由。

7. 点 Service Registry Operator，在 ApicurioRegistry 选项卡中，使用以下示例点 Create ApicurioRegistry，但替换 keycloak 部分中的值。

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-keycloak
   spec:
     configuration:
       security:
         keycloak:
           url: "http://keycloak-http-<namespace>.apps.<cluster host>/auth"
           # ^ Required
           # Keycloak server URL, must end with `/auth`.
           # Use an HTTP URL in development.
           realm: "registry"
           # apiClientId: "registry-client-api"
           # ^ Optional (default value)
           # uiClientId: "registry-client-ui"
           # ^ Optional (default value)
       persistence: 'kafkasql'
       kafkasql:
         bootstrapServers: '<my-cluster>-kafka-bootstrap.<my-namespace>.svc:9092'

   Copy to Clipboard Toggle word wrap