5.2. 使用 Red Hat Single Sign-On 配置 Apicurio Registry 身份验证和授权

流程

1. 在 Red Hat Single Sign-On Admin 控制台中，为 Apicurio Registry 创建 Red Hat Single Sign-On 域。默认情况下，Apicurio Registry 需要一个 registry 的域名称。有关创建域的详情，请查看 Red Hat Single Sign-On 用户文档。

2. 为 Apicurio Registry API 创建 Red Hat Single Sign-On 客户端。默认情况下，Apicurio Registry 需要以下设置：

   • 客户端 ID:registry-api
   • 客户端协议 ：openid-connect

   • 访问类型 ：bearer-only

     您可以将默认值用于其他客户端设置。

     注意

     如果您使用 Red Hat Single Sign-On 服务帐户，客户端的 Access Type 必须是 confidential 而不是 bearer-only。

3. 为 Apicurio Registry web 控制台创建一个 Red Hat Single Sign-On 客户端。默认情况下，Apicurio Registry 需要以下设置：

   • 客户端 ID:apicurio-registry
   • 客户端协议 ：openid-connect
   • 访问类型 ：public
   • 有效的重定向 URL:http://my-registry-url:8080/*

   • Web Origins:+

     您可以将默认值用于其他客户端设置。

4. 在 OpenShift 上的 Apicurio Registry 部署中，设置以下 Apicurio Registry 环境变量来使用 Red Hat Single Sign-On 配置身份验证：

   Expand

   表 5.2. 使用红帽单点登录配置 Apicurio Registry 身份验证

   环境变量	描述	类型	默认
   AUTH_ENABLED	为 Apicurio Registry 启用身份验证。当设置为 true 时，使用 Red Hat Single Sign-On 进行身份验证需要遵循的环境变量。	字符串	false
   KEYCLOAK_URL	Red Hat Single Sign-On 身份验证服务器的 URL。例如： http://localhost:8080。	字符串	-
   KEYCLOAK_REALM	Red Hat Single Sign-On 域用于身份验证。例如，registry。	字符串	-
   KEYCLOAK_API_CLIENT_ID	Apicurio Registry REST API 的客户端 ID。	字符串	registry-api
   KEYCLOAK_UI_CLIENT_ID	Apicurio Registry web 控制台的客户端 ID。	字符串	apicurio-registry

   Show more
   提示

   有关在 OpenShift 中设置环境变量的示例，请参阅 第 6.1 节 “在 OpenShift 上配置 Apicurio Registry 健康检查”。

5. 将以下选项设置为 true，以在 Red Hat Single Sign-On 中启用 Apicurio Registry 用户角色：

   Expand

   表 5.3. 配置 Apicurio Registry 基于角色的授权

   环境变量	Java 系统属性	类型	默认值
   ROLE_BASED_AUTHZ_ENABLED	registry.auth.role-based-authorization	布尔值	false

   Show more

6. 启用 Apicurio Registry 用户角色时，您必须将 Apicurio Registry 用户分配给 Red Hat Single Sign-On 域中至少以下默认用户角色之一：

   Expand

   表 5.4. 用于 registry 身份验证和授权的默认用户角色

   角色	读取工件	编写工件	全局规则	概述
   sr-admin	是	是	是	完全访问所有创建、读取、更新和删除操作。
   sr-developer	是	是	否	除了配置全局规则外，访问创建、读取、更新和删除操作。此角色可以配置特定于工件的规则。
   sr-readonly	是	否	否	只能访问读取和搜索操作。此角色无法配置任何规则。

   Show more

7. 将以下内容设置为 true，以启用仅限所有者的授权，以更新到 Apicurio Registry 中的 schema 和 API 工件：

   Expand

   表 5.5. 配置仅所有者授权

   环境变量	Java 系统属性	类型	默认值
   REGISTRY_AUTH_OBAC_ENABLED	registry.auth.owner-only-authorization	布尔值	false

   Show more