在 OpenShift 上安装和部署 Apicurio Registry

流程

1. 浏览 Red Hat Software Downloads，选择产品版本，并在 Apicurio Registry CRD .zip 文件中下载示例。
2. 提取下载的 CRD .zip 文件并更改到 apicurio-registry-install-examples 目录。

3. 为 Apicurio Registry Operator 安装创建一个 OpenShift 项目，例如：

   export NAMESPACE="apicurio-registry"
   oc new-project "$NAMESPACE"

   Copy to Clipboard Toggle word wrap

4. 输入以下命令在 install/install.yaml 文件中应用示例 CRD：

   cat install/install.yaml | sed "s/apicurio-registry-operator-namespace/$NAMESPACE/g" | oc apply -f -

   Copy to Clipboard Toggle word wrap

5. 输入 oc get deployment 以检查 Apicurio Registry Operator 的就绪情况。例如，输出应如下：

   NAME                     	READY   UP-TO-DATE  AVAILABLE   AGE
   apicurio-registry-operator  1/1 	1        	1       	XmYs

   Copy to Clipboard Toggle word wrap

流程

1. 在编辑器中打开 examples/apicurioregistry_sql_cr.yaml 文件，并查看 ApicurioRegistry 自定义资源(CR)：

   SQL 存储的 CR 示例

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-sql
   spec:
     configuration:
       persistence: "sql"
       sql:
         dataSource:
           url: "jdbc:postgresql://<service name>.<namespace>.svc:5432/<database name>"
           userName: "postgres"
           password: "<password>" # Optional

   Copy to Clipboard Toggle word wrap

2. 在 dataSource 部分中，将示例设置替换为您的数据库连接详情。例如：

   dataSource:
       url: "jdbc:postgresql://postgresql.apicurio-registry.svc:5432/registry"
       userName: "pgadmin"
       password: "pgpass"

   Copy to Clipboard Toggle word wrap

3. 输入以下命令使用 Apicurio Registry Operator 在命名空间中应用更新的 ApicurioRegistry CR，并等待 Apicurio Registry 实例部署：

   oc project "$NAMESPACE"
   oc apply -f ./examples/apicurioregistry_sql_cr.yaml

   Copy to Clipboard Toggle word wrap

4. 输入 oc get deployment 以检查 Apicurio Registry 实例的就绪情况。例如，输出应如下：

   NAME                     	        READY UP-TO-DATE AVAILABLE AGE
   example-apicurioregistry-sql-deployment 1/1   1          1         XmYs

   Copy to Clipboard Toggle word wrap

5. 输入 oc get routes 以获取 HOST/PORT URL，以在浏览器中打开 Apicurio Registry Web 控制台。例如：

   example-apicurioregistry-sql.apicurio-registry.router-default.apps.mycluster.myorg.mycompany.com

   Copy to Clipboard Toggle word wrap

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。

2. 创建新的 OpenShift 项目：

   1. 在左侧导航菜单中，单击 Home,Project，然后单击 Create Project。
   2. 输入项目名称，如 my-project，然后单击 Create。
3. 在左侧导航菜单中，点 Operators，然后点 OperatorHub。
4. 在 Filter by keyword 文本框中，输入 registry 以查找 Red Hat Integration - Service Registry Operator。
5. 阅读 Operator 信息，然后点 Install 显示 Operator 订阅页面。

6. 选择您的订阅设置，例如：

   • 更新频道 ：选择以下之一：

     • 2.x ：包括所有次版本和补丁更新，如 2.3.0 和 2.0.3。例如，2.0.x 上的安装将升级到 2.3.x。
     • 2.0.x ：仅包括补丁更新，如 2.0.1 和 2.0.2。例如，在 2.0.x 上安装将忽略 2.3.x。

   • Installation Mode: 选择以下之一：

     • All namespaces on the cluster (default)
     • 集群中的特定命名空间， 然后是 my-project
   • 批准策略 ：选择 Automatic 或 Manual
7. 点 Install，然后等待 Operator 准备就绪。

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 切换到您要在其中安装 AMQ Streams 的 OpenShift 项目。例如，从 Project 下拉菜单中选择 my-project。
3. 在左侧导航菜单中，点 Operators，然后点 OperatorHub。
4. 在 Filter by keyword 文本框中，输入 AMQ Streams 来查找 Red Hat Integration - AMQ Streams Operator。
5. 阅读 Operator 信息，然后点 Install 显示 Operator 订阅页面。

6. 选择您的订阅设置，例如：

   • 更新频道，然后 amq-streams-2.6.x

   • Installation Mode: 选择以下之一：

     • All namespaces on the cluster (default)
     • A specific namespace on the cluster > my-project
   • 批准策略 ：选择 Automatic 或 Manual
7. 点 Install，然后等待 Operator 准备就绪。

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。

2. 如果您还没有配置 Kafka 集群，请使用 AMQ Streams 创建新的 Kafka 集群。例如，在 OpenShift OperatorHub 中：

   1. 点 Installed Operators，然后点 Red Hat Integration - AMQ Streams。
   2. 在 Provided APIs 下，然后点 Kafka，点 Create Instance 创建新的 Kafka 集群。

   3. 根据需要编辑自定义资源定义，然后点 Create。

      警告

      默认示例创建了一个集群，这个集群带有 3 个 Zookeeper 节点，以及 3 个带有 临时存储的 Kafka 节点。此临时存储仅适用于开发和测试，不适用于生产环境。如需了解更多详细信息，请参阅在 OpenShift 中部署和管理 AMQ Streams。

3. 集群就绪后，点 Provided APIs > Kafka > my-cluster > YAML。

4. 在 status 块中，复制 bootstrapServers 值，稍后您要使用它来部署 Apicurio Registry。例如：

   status:
     ...
     conditions:
     ...
     listeners:
       - addresses:
           - host: my-cluster-kafka-bootstrap.my-project.svc
             port: 9092
         bootstrapServers: 'my-cluster-kafka-bootstrap.my-project.svc:9092'
         type: plain
     ...

   Copy to Clipboard Toggle word wrap
5. 点 Installed Operators > Red Hat Integration - Service Registry > ApicurioRegistry > Create ApicurioRegistry。

6. 粘贴到以下自定义资源定义中，但使用您之前复制的 bootstrapServers 值：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql
   spec:
     configuration:
       persistence: 'kafkasql'
       kafkasql:
         bootstrapServers: 'my-cluster-kafka-bootstrap.my-project.svc:9092'

   Copy to Clipboard Toggle word wrap
7. 点 Create 并等待在 OpenShift 上创建 Apicurio Registry 路由。

8. 点 Networking > Route 访问 Apicurio Registry web 控制台的新路由。例如：

   http://example-apicurioregistry-kafkasql.my-project.my-domain-name.com/

   Copy to Clipboard Toggle word wrap

9. 要配置 Apicurio Registry 用来存储数据的 Kafka 主题，点 Installed Operators > Red Hat Integration - AMQ Streams > Provided APIs > Kafka Topic > kafkasql-journal > YAML。例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: KafkaTopic
   metadata:
     name: kafkasql-journal
     labels:
       strimzi.io/cluster: my-cluster
     namespace: ...
   spec:
     partitions: 3
     replicas: 3
     config:
       cleanup.policy: compact

   Copy to Clipboard Toggle word wrap
   警告

   您必须使用压缩清理策略配置 Apicurio Registry 使用的 Kafka 主题（名为 kafkasql-journal ），否则可能会出现数据丢失。

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators，选择 AMQ Streams Operator 详情，然后选择 Kafka 选项卡。
2. 点 Create Kafka 为 Apicurio Registry 存储置备一个新的 Kafka 集群。

3. 将 authorization 和 tls 字段配置为为 Kafka 集群使用 TLS 身份验证，例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
     namespace: registry-example-kafkasql-tls
     # Change or remove the explicit namespace
   spec:
     kafka:
       config:
         offsets.topic.replication.factor: 3
         transaction.state.log.replication.factor: 3
         transaction.state.log.min.isr: 2
         log.message.format.version: '2.7'
         inter.broker.protocol.version: '2.7'
       version: 2.7.0
       storage:
         type: ephemeral
       replicas: 3
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
       authorization:
         type: simple
     entityOperator:
       topicOperator: {}
       userOperator: {}
     zookeeper:
       storage:
         type: ephemeral
       replicas: 3

   Copy to Clipboard Toggle word wrap

   Apicurio Registry 自动创建的默认 Kafka 主题名称为 kafkasql-journal。您可以通过设置环境变量来覆盖此行为或默认主题名称。默认值如下：

   • REGISTRY_KAFKASQL_TOPIC_AUTO_CREATE=true
   • REGISTRY_KAFKASQL_TOPIC=kafkasql-journal

   如果您决定不手动创建 Kafka 主题，请跳过下一步。

4. 点 Kafka Topic 选项卡，然后点 Create Kafka Topic 创建 kafkasql-journal 主题：

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaTopic
   metadata:
     name: kafkasql-journal
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-tls
   spec:
     partitions: 2
     replicas: 1
     config:
       cleanup.policy: compact

   Copy to Clipboard Toggle word wrap

5. 创建一个 Kafka 用户 资源来为 Apicurio Registry 用户配置身份验证和授权。您可以在 metadata 部分中指定用户名，或使用默认的 my-user。

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-tls
   spec:
     authentication:
       type: tls
     authorization:
       acls:
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: topic
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: cluster
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: transactionalId
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: group
       type: simple

   Copy to Clipboard Toggle word wrap
   注意

   这个简单示例假定 admin 权限并自动创建 Kafka 主题。您必须为 Apicurio Registry 所需的主题和资源配置 授权 部分。

   以下示例显示了手动创建 Kafka 主题时所需的最小配置：

    ...
     authorization:
       acls:
       - operations:
           - Read
           - Write
         resource:
           name: kafkasql-journal
           patternType: literal
           type: topic
       - operations:
           - Read
           - Write
         resource:
           name: apicurio-registry-
           patternType: prefix
           type: group
       type: simple

   Copy to Clipboard Toggle word wrap

6. 点 Workloads，然后点 Secrets 来查找 AMQ Streams 为 Apicurio Registry 创建的两个 secret 以连接到 Kafka 集群：

   • my-cluster-cluster-ca-cert - 包含 Kafka 集群的 PKCS12 信任存储

   • my-user - 包含用户的密钥存储

     注意

     secret 的名称可能会因集群或用户名而异。

7. 如果手动创建 secret，则必须包含以下键值对：

   • my-cluster-ca-cert

     • ca.p12- truststore in PKCS12 格式
     • ca.password - truststore password

   • my-user

     • PKCS 12 格式的 user.p 12- keystore
     • user.password - keystore password

8. 配置以下示例配置，以部署 Apicurio Registry。

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-tls
   spec:
     configuration:
       persistence: "kafkasql"
       kafkasql:
         bootstrapServers: "my-cluster-kafka-bootstrap.registry-example-kafkasql-tls.svc:9093"
         security:
           tls:
             keystoreSecretName: my-user
             truststoreSecretName: my-cluster-cluster-ca-cert

   Copy to Clipboard Toggle word wrap

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators，选择 AMQ Streams Operator 详情，然后选择 Kafka 选项卡。
2. 点 Create Kafka 为 Apicurio Registry 存储置备一个新的 Kafka 集群。

3. 将 authorization 和 tls 字段配置为为 Kafka 集群使用 SCRAM-SHA-512 身份验证，例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
     namespace: registry-example-kafkasql-scram
     # Change or remove the explicit namespace
   spec:
     kafka:
       config:
         offsets.topic.replication.factor: 3
         transaction.state.log.replication.factor: 3
         transaction.state.log.min.isr: 2
         log.message.format.version: '2.7'
         inter.broker.protocol.version: '2.7'
       version: 2.7.0
       storage:
         type: ephemeral
       replicas: 3
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: scram-sha-512
       authorization:
         type: simple
     entityOperator:
       topicOperator: {}
       userOperator: {}
     zookeeper:
       storage:
         type: ephemeral
       replicas: 3

   Copy to Clipboard Toggle word wrap

   Apicurio Registry 自动创建的默认 Kafka 主题名称为 kafkasql-journal。您可以通过设置环境变量来覆盖此行为或默认主题名称。默认值如下：

   • REGISTRY_KAFKASQL_TOPIC_AUTO_CREATE=true
   • REGISTRY_KAFKASQL_TOPIC=kafkasql-journal

   如果您决定不手动创建 Kafka 主题，请跳过下一步。

4. 点 Kafka Topic 选项卡，然后点 Create Kafka Topic 创建 kafkasql-journal 主题：

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaTopic
   metadata:
     name: kafkasql-journal
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-scram
   spec:
     partitions: 2
     replicas: 1
     config:
       cleanup.policy: compact

   Copy to Clipboard Toggle word wrap

5. 创建一个 Kafka 用户 资源，为 Apicurio Registry 用户配置 SCRAM 身份验证和授权。您可以在 metadata 部分中指定用户名，或使用默认的 my-user。

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-scram
   spec:
     authentication:
       type: scram-sha-512
     authorization:
       acls:
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: topic
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: cluster
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: transactionalId
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: group
       type: simple

   Copy to Clipboard Toggle word wrap
   注意

   这个简单示例假定 admin 权限并自动创建 Kafka 主题。您必须为 Apicurio Registry 所需的主题和资源配置 授权 部分。

   以下示例显示了手动创建 Kafka 主题时所需的最小配置：

    ...
     authorization:
       acls:
       - operations:
           - Read
           - Write
         resource:
           name: kafkasql-journal
           patternType: literal
           type: topic
       - operations:
           - Read
           - Write
         resource:
           name: apicurio-registry-
           patternType: prefix
           type: group
       type: simple

   Copy to Clipboard Toggle word wrap

6. 点 Workloads，然后点 Secrets 来查找 AMQ Streams 为 Apicurio Registry 创建的两个 secret 以连接到 Kafka 集群：

   • my-cluster-cluster-ca-cert - 包含 Kafka 集群的 PKCS12 信任存储

   • my-user - 包含用户的密钥存储

     注意

     secret 的名称可能会因集群或用户名而异。

7. 如果手动创建 secret，则必须包含以下键值对：

   • my-cluster-ca-cert

     • ca.p 12- PKCS12 格式的信任存储
     • ca.password - truststore password

   • my-user

     • password - 用户密码

8. 配置以下示例设置来部署 Apicurio Registry：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-scram
   spec:
     configuration:
       persistence: "kafkasql"
       kafkasql:
         bootstrapServers: "my-cluster-kafka-bootstrap.registry-example-kafkasql-scram.svc:9093"
         security:
           scram:
             truststoreSecretName: my-cluster-cluster-ca-cert
             user: my-user
             passwordSecretName: my-user

   Copy to Clipboard Toggle word wrap

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 切换到您要在其中安装 PostgreSQL Operator 的 OpenShift 项目。例如，从 Project 下拉菜单中选择 my-project。
3. 在左侧导航菜单中，点 Operators，然后点 OperatorHub。
4. 在 Filter by keyword 文本框中，输入 PostgreSQL 来查找适合环境的 Operator，如 OpenShift 的 Crunchy PostgreSQL。
5. 阅读 Operator 信息，然后点 Install 显示 Operator 订阅页面。

6. 选择您的订阅设置，例如：

   • 更新频道 ：stable
   • Installation Mode:A specific namespace on the cluster, then my-project
   • 批准策略 ：选择 Automatic 或 Manual

7. 点 Install，然后等待 Operator 准备就绪。

   重要

   您必须从所选 PostgreSQL Operator 中读取文档，以了解如何创建和管理数据库。

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 切换到安装 Apicurio Registry 和 PostgreSQL Operator 的 OpenShift 项目。例如，从 Project 下拉菜单中选择 my-project。
3. 为您的 Apicurio Registry 存储创建一个 PostgreSQL 数据库。例如，单击 Installed Operators、PostgreSQL Operator by Dev4Ddevs.com，然后单击 Create database。

4. 点 YAML 并编辑数据库设置，如下所示：

   • Name ：将值改为 registry
   • Image ：将值更改为 centos/postgresql-12-centos7

5. 根据您的环境，根据需要编辑任何其他数据库设置，例如：

   apiVersion: postgresql.dev4devs.com/v1alpha1
   kind: Database
   metadata:
     name: registry
     namespace: my-project
   spec:
     databaseCpu: 30m
     databaseCpuLimit: 60m
     databaseMemoryLimit: 512Mi
     databaseMemoryRequest: 128Mi
     databaseName: example
     databaseNameKeyEnvVar: POSTGRESQL_DATABASE
     databasePassword: postgres
     databasePasswordKeyEnvVar: POSTGRESQL_PASSWORD
     databaseStorageRequest: 1Gi
     databaseUser: postgres
     databaseUserKeyEnvVar: POSTGRESQL_USER
     image: centos/postgresql-12-centos7
     size: 1

   Copy to Clipboard Toggle word wrap
6. 点 Create，然后等待数据库创建完毕。
7. 点 Installed Operators > Red Hat Integration - Service Registry > ApicurioRegistry > Create ApicurioRegistry。

8. 粘贴到以下自定义资源定义中，并编辑数据库 url 和凭证的值以匹配您的环境：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-sql
   spec:
     configuration:
       persistence: 'sql'
       sql:
         dataSource:
           url: 'jdbc:postgresql://<service name>.<namespace>.svc:5432/<database name>'
           # e.g. url: 'jdbc:postgresql://acid-minimal-cluster.my-project.svc:5432/registry'
           userName: 'postgres'
           password: '<password>' # Optional

   Copy to Clipboard Toggle word wrap
9. 点 Create 并等待在 OpenShift 上创建 Apicurio Registry 路由。

10. 点 Networking > Route 访问 Apicurio Registry web 控制台的新路由。例如：

    http://example-apicurioregistry-sql.my-project.my-domain-name.com/

    Copy to Clipboard Toggle word wrap

流程

1. 输入以下命令来创建数据库：

    $ createdb -T template0 dbname

   Copy to Clipboard Toggle word wrap

2. 输入以下命令恢复 SQL 转储

    $ psql dbname < dumpfile

   Copy to Clipboard Toggle word wrap
3. 在每个数据库上运行 ANALYZE，以便查询优化器具有有用的统计数据。

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators 和 Red Hat Single Sign-On Operator，然后点 Keycloak 选项卡。

2. 点 Create Keycloak 置备新的 Red Hat Single Sign-On 实例来保护 Apicurio Registry 部署。您可以使用默认值，例如：

   apiVersion: keycloak.org/v1alpha1
   kind: Keycloak
   metadata:
     name: example-keycloak
     labels:
       app: sso
   spec:
     instances: 1
     externalAccess:
       enabled: True
     podDisruptionBudget:
       enabled: True

   Copy to Clipboard Toggle word wrap
3. 等待实例创建，然后单击 Networking，再单击 Routes 以访问 keycloak 实例的新路由。
4. 点 Location URL，并复制以后在部署 Apicurio Registry 时使用的 URL 值。

5. 点 Installed Operators 和 Red Hat Single Sign-On Operator，然后点 Keycloak Realm 选项卡，然后点 Create Keycloak Realm 来创建 registry 示例域：

   apiVersion: keycloak.org/v1alpha1
   kind: KeycloakRealm
   metadata:
     name: registry-keycloakrealm
     labels:
       app: sso
   spec:
     instanceSelector:
       matchLabels:
         app: sso
     realm:
       displayName: Registry
       enabled: true
       id: registry
       realm: registry
       sslRequired: none
       roles:
         realm:
           - name: sr-admin
           - name: sr-developer
           - name: sr-readonly
       clients:
         - clientId: registry-client-ui
           implicitFlowEnabled: true
           redirectUris:
             - '*'
           standardFlowEnabled: true
           webOrigins:
             - '*'
           publicClient: true
         - clientId: registry-client-api
           implicitFlowEnabled: true
           redirectUris:
             - '*'
           standardFlowEnabled: true
           webOrigins:
             - '*'
           publicClient: true
       users:
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-admin
           username: registry-admin
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-developer
           username: registry-developer
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-readonly
           username: registry-user

   Copy to Clipboard Toggle word wrap
   重要

   如果您要部署到生产环境，则必须使用适合环境的值自定义此 KeycloakRealm 资源。您还可以使用 Red Hat Single Sign-On Web 控制台创建和管理域。

6. 如果您的集群没有配置有效的 HTTPS 证书，您可以创建以下 HTTP Service 和 Ingress 资源作为临时临时解决方案：

   1. 点 Networking，然后点 Services，点 Create Service，使用以下示例：

      apiVersion: v1
      kind: Service
      metadata:
        name: keycloak-http
        labels:
          app: keycloak
      spec:
        ports:
          - name: keycloak-http
            protocol: TCP
            port: 8080
            targetPort: 8080
        selector:
          app: keycloak
          component: keycloak
        type: ClusterIP
        sessionAffinity: None
      status:
        loadBalancer: {}

      Copy to Clipboard Toggle word wrap

   2. 点 Networking，然后点 Ingresses，使用以下示例点击 Create Ingress ：

      apiVersion: networking.k8s.io/v1
      kind: Ingress
      metadata:
        name: keycloak-http
        labels:
          app: keycloak
      spec:
        rules:
          - host: KEYCLOAK_HTTP_HOST
            http:
              paths:
                - path: /
                  pathType: ImplementationSpecific
                  backend:
                    service:
                      name: keycloak-http
                      port:
                        number: 8080

      Copy to Clipboard Toggle word wrap

      修改 host 值，以创建 Apicurio Registry 用户可访问的路由，并使用它而不是 Red Hat Single Sign-On Operator 创建的 HTTPS 路由。

7. 点 Apicurio Registry Operator，在 ApicurioRegistry 选项卡中，点 Create ApicurioRegistry，使用以下示例替换您的值。

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-keycloak
   spec:
     configuration:
       security:
         keycloak:
           url: "http://keycloak-http-<namespace>.apps.<cluster host>"
           # ^ Required
           # Use an HTTP URL in development.
           realm: "registry"
           # apiClientId: "registry-client-api"
           # ^ Optional (default value)
           # uiClientId: "registry-client-ui"
           # ^ Optional (default value)
       persistence: 'kafkasql'
       kafkasql:
         bootstrapServers: '<my-cluster>-kafka-bootstrap.<my-namespace>.svc:9092'

   Copy to Clipboard Toggle word wrap

流程

1. 在 Red Hat Single Sign-On Admin 控制台中，为 Apicurio Registry 创建 Red Hat Single Sign-On 域。默认情况下，Apicurio Registry 需要一个 registry 的域名称。有关创建域的详情，请查看 Red Hat Single Sign-On 用户文档。

2. 为 Apicurio Registry API 创建 Red Hat Single Sign-On 客户端。默认情况下，Apicurio Registry 需要以下设置：

   • 客户端 ID:registry-api
   • 客户端协议 ：openid-connect

   • 访问类型 ：bearer-only

     您可以将默认值用于其他客户端设置。

     注意

     如果您使用 Red Hat Single Sign-On 服务帐户，客户端的 Access Type 必须是 confidential 而不是 bearer-only。

3. 为 Apicurio Registry web 控制台创建一个 Red Hat Single Sign-On 客户端。默认情况下，Apicurio Registry 需要以下设置：

   • 客户端 ID:apicurio-registry
   • 客户端协议 ：openid-connect
   • 访问类型 ：public
   • 有效的重定向 URL:http://my-registry-url:8080/*

   • Web Origins:+

     您可以将默认值用于其他客户端设置。

4. 在 OpenShift 上的 Apicurio Registry 部署中，设置以下 Apicurio Registry 环境变量来使用 Red Hat Single Sign-On 配置身份验证：

   Expand

   表 5.2. 使用红帽单点登录配置 Apicurio Registry 身份验证

   环境变量	描述	类型	默认
   AUTH_ENABLED	为 Apicurio Registry 启用身份验证。当设置为 true 时，使用 Red Hat Single Sign-On 进行身份验证需要遵循的环境变量。	字符串	false
   KEYCLOAK_URL	Red Hat Single Sign-On 身份验证服务器的 URL。例如： http://localhost:8080。	字符串	-
   KEYCLOAK_REALM	Red Hat Single Sign-On 域用于身份验证。例如，registry。	字符串	-
   KEYCLOAK_API_CLIENT_ID	Apicurio Registry REST API 的客户端 ID。	字符串	registry-api
   KEYCLOAK_UI_CLIENT_ID	Apicurio Registry web 控制台的客户端 ID。	字符串	apicurio-registry

   Show more
   提示

   有关在 OpenShift 中设置环境变量的示例，请参阅 第 6.1 节 “在 OpenShift 上配置 Apicurio Registry 健康检查”。

5. 将以下选项设置为 true，以在 Red Hat Single Sign-On 中启用 Apicurio Registry 用户角色：

   Expand

   表 5.3. 配置 Apicurio Registry 基于角色的授权

   环境变量	Java 系统属性	类型	默认值
   ROLE_BASED_AUTHZ_ENABLED	registry.auth.role-based-authorization	布尔值	false

   Show more

6. 启用 Apicurio Registry 用户角色时，您必须将 Apicurio Registry 用户分配给 Red Hat Single Sign-On 域中至少以下默认用户角色之一：

   Expand

   表 5.4. 用于 registry 身份验证和授权的默认用户角色

   角色	读取工件	编写工件	全局规则	概述
   sr-admin	是	是	是	完全访问所有创建、读取、更新和删除操作。
   sr-developer	是	是	否	除了配置全局规则外，访问创建、读取、更新和删除操作。此角色可以配置特定于工件的规则。
   sr-readonly	是	否	否	只能访问读取和搜索操作。此角色无法配置任何规则。

   Show more

7. 将以下内容设置为 true，以启用仅限所有者的授权，以更新到 Apicurio Registry 中的 schema 和 API 工件：

   Expand

   表 5.5. 配置仅所有者授权

   环境变量	Java 系统属性	类型	默认值
   REGISTRY_AUTH_OBAC_ENABLED	registry.auth.owner-only-authorization	布尔值	false

   Show more

流程

1. 使用您的电子邮件地址或 GitHub 帐户登录到 Azure AD 门户。

2. 在导航菜单中，选择 Manage > App registrations > New registration，并完成以下设置：

   • 名称 ：输入应用程序名称。例如： apicurio-registry-example
   • 支持的帐户类型 ：单击 任何组织目录中的 Accounts。

   • 重定向 URI ：从列表中选择 Single-page 应用程序，并输入 Apicurio Registry web 控制台应用程序主机。例如： https://test-registry.com/ui/

     重要

     您必须将 Apicurio Registry 应用程序主机注册为 Redirect URI。登录时，用户会从 Apicurio Registry 重定向到 Azure AD 以进行身份验证，并且您想要稍后将其发送回您的应用程序。Azure AD 不允许任何未注册的重定向 URL。

3. 点 Register。您可以通过选择 Manage > App registrations > apicurio-registry-example 来查看应用程序注册详情。

4. 选择 Manage > Authentication，并确保应用程序配置了重定向 URL 和令牌，如下所示：

   • 重定向 URI ：例如： https://test-registry.com/ui/
   • 隐式授权和混合流程 ：单击 ID 令牌（用于隐式和混合流）
5. 选择 Azure AD > Admin > App registrations > your app > Application (client) ID。例如： 123456a7-b8c9-012d-e3f4-5fg67h8i901
6. 选择 Azure AD > Admin > App registrations > your app > Directory (tenant) ID。例如： https://login.microsoftonline.com/1a2bc34d-567e-89f1-g0hi-1j2kl3m4no56/v2.0

7. 在 Apicurio Registry 中，使用 Azure AD 设置配置以下环境变量：

   Expand

   表 5.6. 在 Apicurio Registry 中为 Azure AD 设置配置

   环境变量	描述	设置
   KEYCLOAK_API_CLIENT_ID	Apicurio Registry REST API 的客户端应用程序 ID	在第 5 步中获取的 Azure AD 应用程序（客户端）ID。例如： 123456a7-b8c9-012d-e3f4-5fg67h8i901
   REGISTRY_OIDC_UI_CLIENT_ID	Apicurio Registry web 控制台的客户端应用程序 ID。	在第 5 步中获取的 Azure AD 应用程序（客户端）ID。例如： 123456a7-b8c9-012d-e3f4-5fg67h8i901
   REGISTRY_AUTH_URL_CONFIGURED	Azure AD 中用于身份验证的 URL。	在第 6 步中获取的 Azure AD 应用程序（租户）ID。例如： https://login.microsoftonline.com/1a2bc34d-567e-89f1-g0hi-1j2kl3m4no56/v2.0。

   Show more

8. 在 Apicurio Registry 中，为特定于 Apicurio Registry 的设置配置以下环境变量：

   Expand

   表 5.7. 特定于 Apicurio Registry 的设置配置

   环境变量	描述	设置
   REGISTRY_AUTH_ENABLED	为 Apicurio Registry 启用身份验证。	true
   REGISTRY_UI_AUTH_TYPE	Apicurio Registry 身份验证类型。	oidc
   CORS_ALLOWED_ORIGINS	Apicurio Registry 部署的主机，用于跨原始资源共享(CORS)。	例如： https://test-registry.com
   REGISTRY_OIDC_UI_REDIRECT_URL	Apicurio Registry web 控制台的主机。	例如： https://test-registry.com/ui
   ROLE_BASED_AUTHZ_ENABLED	在 Apicurio Registry 中启用基于角色的授权。	true
   QUARKUS_OIDC_ROLES_ROLE_CLAIM_PATH	Azure AD 存储角色的声明的名称。	roles

   Show more
   注意

   当您在 Apicurio Registry 中启用角色时，还必须在 Azure AD 中创建与应用程序角色相同的角色。Apicurio Registry 期望的默认角色为 sr-admin、sr-developer 和 sr-readonly。

流程

1. 使用自签名证书生成 密钥存储。如果您使用自己的证书，可以跳过这一步。

   openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout tls.key -out tls.crt

   Copy to Clipboard Toggle word wrap

2. 创建一个新 secret 来保存证书和私钥。

   1. 在 OpenShift web 控制台的左侧导航菜单中，点 Workloads > Secrets > Create Key/Value Secret。
   2. 使用以下值：
      Name: https-cert-secret
      Key 1: tls.key
      Value 1: tls.key (uploaded file)
      Key 2: tls.crt
      Value 2: tls.crt (uploaded file)

   或者使用以下命令创建 secret：

   oc create secret generic https-cert-secret --from-file=tls.key --from-file=tls.crt

   Copy to Clipboard Toggle word wrap

3. 编辑 Apicurio Registry 部署的 ApicurioRegistry CR 的 spec.configuration.security.https 部分，例如：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry
   spec:
     configuration:
       # ...
       security:
         https:
           secretName: https-cert-secret

   Copy to Clipboard Toggle word wrap

4. 验证连接是否正常工作：

   1. 使用 SSH 连接到集群中的 pod （您可以使用 Apicurio Registry pod）：

      oc rsh example-apicurioregistry-deployment-6f788db977-2wzpw

      Copy to Clipboard Toggle word wrap

   2. 从 Service 资源查找 Apicurio Registry pod 的集群 IP （请参阅 web 控制台中的 Location 列）。之后，执行测试请求（我们使用自签名证书，因此需要一个不安全的标记）：

      curl -k https://172.30.230.78:8443/health

      Copy to Clipboard Toggle word wrap

流程

1. 除了 Apicurio Registry Operator 创建的 HTTP 路由外，添加第二个路由。例如：

   kind: Route
   apiVersion: route.openshift.io/v1
   metadata:
     [...]
     labels:
       app: example-apicurioregistry
       [...]
   spec:
     host: example-apicurioregistry-default.apps.example.com
     to:
       kind: Service
       name: example-apicurioregistry-service-9whd7
       weight: 100
     port:
       targetPort: 8080
     tls:
       termination: edge
       insecureEdgeTerminationPolicy: Redirect
     wildcardPolicy: None

   Copy to Clipboard Toggle word wrap
   注意

   确保设置了 insecureEdgeTerminationPolicy: Redirect 配置属性。

   如果没有指定证书，OpenShift 将使用默认证书。另外，您可以使用以下命令生成自定义自签名证书：

   openssl genrsa 2048 > tls.key &&
   openssl req -new -x509 -nodes -sha256 -days 365 -key tls.key -out tls.crt

   Copy to Clipboard Toggle word wrap

   然后，使用 OpenShift CLI 创建路由：

   oc create route edge \
     --service=example-apicurioregistry-service-9whd7 \
     --cert=tls.crt --key=tls.key \
     --hostname=example-apicurioregistry-default.apps.example.com \
     --insecure-policy=Redirect \
     -n default

   Copy to Clipboard Toggle word wrap

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 点 Installed Operators > Red Hat Integration - Service Registry Operator。
3. 在 ApicurioRegistry 选项卡中，点部署的 Operator 自定义资源，如 example-apicurioregistry。
4. 在主概览页面中，找到 Deployment Name 部分以及 Apicurio Registry 部署的对应 DeploymentConfig 名称，如 example-apicurioregistry。
5. 在左侧导航菜单中，点 Workloads > Deployment Configs，然后选择您的 DeploymentConfig 名称。

6. 点 Environment 选项卡，然后在 Single values env 部分中输入您的环境变量，例如：

   • 名称:LIVENESS_STATUS_RESET
   • 价值:350

7. 点底部的 Save。

   或者，您可以使用 OpenShift oc 命令执行这些步骤。如需了解更多详细信息，请参阅 OpenShift CLI 文档。

流程

1. 使用此 curl 命令获取日志记录器 io.apicurio.registry.storage 的当前日志级别：

   $ curl -i localhost:8080/apis/registry/v2/admin/loggers/io.apicurio.registry.storage
   HTTP/1.1 200 OK
   [...]
   Content-Type: application/json
   {"name":"io.apicurio.registry.storage","level":"INFO"}

   Copy to Clipboard Toggle word wrap

2. 使用此 curl 命令将 logger io.apicurio.registry.storage 的日志级别更改为 DEBUG ：

   $ curl -X PUT -i -H "Content-Type: application/json" --data '{"level":"DEBUG"}' localhost:8080/apis/registry/v2/admin/loggers/io.apicurio.registry.storage
   HTTP/1.1 200 OK
   [...]
   Content-Type: application/json
   {"name":"io.apicurio.registry.storage","level":"DEBUG"}

   Copy to Clipboard Toggle word wrap

3. 使用此 curl 命令将 logger io.apicurio.registry.storage 的日志级别恢复到其默认值：

   $ curl -X DELETE -i localhost:8080/apis/registry/v2/admin/loggers/io.apicurio.registry.storage
   HTTP/1.1 200 OK
   [...]
   Content-Type: application/json
   {"name":"io.apicurio.registry.storage","level":"INFO"}

   Copy to Clipboard Toggle word wrap

流程

1. 使用 HTTP 协议时，将 Apicurio Registry 配置设置为将事件发送到应用程序，如下所示：

   • registry.events.sink.my-custom-consumer=http://my-app-host:8888/events

2. 如果需要，您可以按照以下方法配置多个事件消费者：

   • registry.events.sink.my-custom-consumer=http://my-app-host:8888/events
   • registry.events.sink.other-consumer=http://my-consumer.com/events

流程

1. 使用 Kafka 协议时，设置 Kafka 主题，如下所示：

   • registry.events.kafka.topic=my-registry-events

2. 您可以使用 KAFKA_BOOTSTRAP_SERVERS 环境变量设置 Kafka producer 的配置：

   • KAFKA_BOOTSTRAP_SERVERS=my-kafka-host:9092

     另外，您可以使用 registry.events.kafka.config 前缀为 kafka producer 设置属性，例如： registry.events.kafka.config.bootstrap.servers=my-kafka-host:9092

3. 如果需要，您还可以将 Kafka 主题分区设置为用来生成事件：

   • registry.events.kafka.topic-partition=1