在 OpenShift 上安装和部署 Service Registry

流程

1. 浏览 Red Hat Software Downloads，选择产品版本，并下载 Service Registry CRD .zip 文件中的示例。
2. 提取下载的 CRD .zip 文件并改为 apicurio-registry-install-examples 目录。

3. 为 Service Registry Operator 安装创建一个 OpenShift 项目，例如：

   export NAMESPACE="apicurio-registry"
   oc new-project "$NAMESPACE"

4. 输入以下命令在 install/install.yaml 文件中应用示例 CRD：

   cat install/install.yaml | sed "s/apicurio-registry-operator-namespace/$NAMESPACE/g" | oc apply -f -

5. 输入 oc get deployment 以检查 Service Registry Operator 的就绪情况。例如，输出应如下：

   NAME                     	READY   UP-TO-DATE  AVAILABLE   AGE
   apicurio-registry-operator  1/1 	1        	1       	XmYs

流程

1. 在编辑器中打开 examples/apicurioregistry_sql_cr.yaml 文件，并查看 ApicurioRegistry 自定义资源(CR)：

   SQL 存储的 CR 示例

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-sql
   spec:
     configuration:
       persistence: "sql"
       sql:
         dataSource:
           url: "jdbc:postgresql://<service name>.<namespace>.svc:5432/<database name>"
           userName: "postgres"
           password: "<password>" # Optional

2. 在 dataSource 部分中，将示例设置替换为您的数据库连接详情。例如：

   dataSource:
       url: "jdbc:postgresql://postgresql.apicurio-registry.svc:5432/registry"
       userName: "pgadmin"
       password: "pgpass"

3. 输入以下命令在带有 Service Registry Operator 的命名空间中应用更新的 ApicurioRegistry CR，并等待 Service Registry 实例部署：

   oc project "$NAMESPACE"
   oc apply -f ./examples/apicurioregistry_sql_cr.yaml

4. 输入 oc get deployment 来检查 Service Registry 实例的就绪情况。例如，输出应如下：

   NAME                     	        READY UP-TO-DATE AVAILABLE AGE
   example-apicurioregistry-sql-deployment 1/1   1          1         XmYs

5. 输入 oc get routes 来获取 HOST/PORT URL，以在浏览器中启动 Service Registry web 控制台。例如：

   example-apicurioregistry-sql.apicurio-registry.router-default.apps.mycluster.myorg.mycompany.com

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。

2. 创建新的 OpenShift 项目：

   1. 在左侧导航菜单中，单击 Home、Project，然后单击 Create Project。
   2. 输入项目名称，如 my-project，再单击 Create。
3. 在左侧导航菜单中，点 Operators，然后点 OperatorHub。
4. 在 Filter by keyword 文本框中，输入 registry 来查找 Red Hat Integration - Service Registry Operator。
5. 阅读有关 Operator 的信息，点 Install 显示 Operator 订阅页面。

6. 选择您的订阅设置，例如：

   • 更新频道 ：选择以下之一：

     • 2.x ：包括所有次要和补丁更新，如 2.3.0 和 2.0.3。例如，2.0.x 上的安装将升级到 2.3.x。
     • 2.0.x: 仅包含补丁更新，如 2.0.1 和 2.0.2。例如，2.0.x 上的安装将忽略 2.3.x。

   • 安装模式 ：选择以下之一：

     • 集群上的所有命名空间（默认）
     • 一个特定命名空间，然后是 my-project
   • 批准策略 ：选择 Automatic 或 Manual
7. 点 Install，等待片刻，直到 Operator 准备就绪为止。

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 切换到您要在其中安装 AMQ Streams 的 OpenShift 项目。例如，从 Project 下拉菜单中选择 my-project。
3. 在左侧导航菜单中，点 Operators，然后点 OperatorHub。
4. 在 Filter by keyword 文本框中，输入 AMQ Streams 来查找 Red Hat Integration - AMQ Streams Operator。
5. 阅读有关 Operator 的信息，点 Install 显示 Operator 订阅页面。

6. 选择您的订阅设置，例如：

   • 更新频道，然后 amq-streams-2.4.x

   • 安装模式 ：选择以下之一：

     • 集群上的所有命名空间（默认）
     • A specific namespace on the cluster > my-project
   • 批准策略 ：选择 Automatic 或 Manual
7. 点 Install，等待片刻，直到 Operator 准备就绪为止。

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。

2. 如果您还没有配置 Kafka 集群，请使用 AMQ Streams 创建新的 Kafka 集群。例如，在 OpenShift OperatorHub 中：

   1. 点 Installed Operators，然后点 Red Hat Integration - AMQ Streams。
   2. 在 Provided APIs 下，然后点 Kafka，点 Create Instance 创建新的 Kafka 集群。

   3. 根据需要编辑自定义资源定义，然后点 Create。

      警告

      默认示例创建了一个集群，这个集群带有 3 个 Zookeeper 节点，以及 3 个带有 临时存储的 Kafka 节点。此临时存储仅适用于开发和测试，不适用于生产环境。如需了解更多详细信息，请参阅在 OpenShift 中部署和管理 AMQ Streams。

3. 集群就绪后，点 Provided APIs > Kafka > my-cluster > YAML。

4. 在 status 块中，复制 bootstrapServers 值，稍后您将使用它来部署 Service Registry。例如：

   status:
     ...
     conditions:
     ...
     listeners:
       - addresses:
           - host: my-cluster-kafka-bootstrap.my-project.svc
             port: 9092
         bootstrapServers: 'my-cluster-kafka-bootstrap.my-project.svc:9092'
         type: plain
     ...

5. 点 Installed Operators > Red Hat Integration - Service Registry > ApicurioRegistry > Create ApicurioRegistry。

6. 粘贴以下自定义资源定义，但使用您之前复制的 bootstrapServers 值：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql
   spec:
     configuration:
       persistence: 'kafkasql'
       kafkasql:
         bootstrapServers: 'my-cluster-kafka-bootstrap.my-project.svc:9092'

7. 点 Create 并等待 OpenShift 上创建 Service Registry 路由。

8. 点 Networking > Route 访问 Service Registry web 控制台的新路由。例如：

   http://example-apicurioregistry-kafkasql.my-project.my-domain-name.com/

9. 要配置 Service Registry 用来存储数据的 Kafka 主题，请点 Installed Operators > Red Hat Integration - AMQ Streams > Provided APIs > Kafka Topic > kafkasql-journal > YAML。例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: KafkaTopic
   metadata:
     name: kafkasql-journal
     labels:
       strimzi.io/cluster: my-cluster
     namespace: ...
   spec:
     partitions: 3
     replicas: 3
     config:
       cleanup.policy: compact

   警告

   您必须使用压缩清理策略配置 Service Registry 使用的 Kafka 主题（默认为 kafkasql-journal ），否则可能会出现数据丢失。

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators，选择 AMQ Streams Operator 详情，然后选择 Kafka 选项卡。
2. 点 Create Kafka 为 Service Registry 存储置备新的 Kafka 集群。

3. 配置 authorization 和 tls 字段，以将 TLS 身份验证用于 Kafka 集群，例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
     namespace: registry-example-kafkasql-tls
     # Change or remove the explicit namespace
   spec:
     kafka:
       config:
         offsets.topic.replication.factor: 3
         transaction.state.log.replication.factor: 3
         transaction.state.log.min.isr: 2
         log.message.format.version: '2.7'
         inter.broker.protocol.version: '2.7'
       version: 2.7.0
       storage:
         type: ephemeral
       replicas: 3
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
       authorization:
         type: simple
     entityOperator:
       topicOperator: {}
       userOperator: {}
     zookeeper:
       storage:
         type: ephemeral
       replicas: 3

   Service Registry 自动创建的默认 Kafka 主题名称为 kafkasql-journal。您可以通过设置环境变量来覆盖此行为或默认主题名称。默认值如下：

   • REGISTRY_KAFKASQL_TOPIC_AUTO_CREATE=true
   • REGISTRY_KAFKASQL_TOPIC=kafkasql-journal

   如果您决定不手动创建 Kafka 主题，请跳过下一步。

4. 点 Kafka Topic 选项卡，然后点 Create Kafka Topic 创建 kafkasql-journal 主题：

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaTopic
   metadata:
     name: kafkasql-journal
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-tls
   spec:
     partitions: 2
     replicas: 1
     config:
       cleanup.policy: compact

5. 创建 Kafka User 资源，以配置 Service Registry 用户的身份验证和授权。您可以在 metadata 部分中指定用户名，或者使用默认的 my-user。

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-tls
   spec:
     authentication:
       type: tls
     authorization:
       acls:
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: topic
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: cluster
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: transactionalId
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: group
       type: simple

   注意

   这个简单示例假设 admin 权限并自动创建 Kafka 主题。您必须为 Service Registry 所需的主题和资源配置 授权 部分。

   以下示例显示了手动创建 Kafka 主题时所需的最低配置：

    ...
     authorization:
       acls:
       - operations:
           - Read
           - Write
         resource:
           name: kafkasql-journal
           patternType: literal
           type: topic
       - operations:
           - Read
           - Write
         resource:
           name: apicurio-registry-
           patternType: prefix
           type: group
       type: simple

6. 点 Workloads，然后 Secrets 来查找 AMQ Streams 为 Service Registry 创建的两个 secret 来连接到 Kafka 集群：

   • my-cluster-cluster-ca-cert - 包含 Kafka 集群的 PKCS12 信任存储

   • my-user - 包含用户的密钥存储

     注意

     secret 的名称可能会因集群或用户名而异。

7. 如果手动创建 secret，它们必须包含以下键值对：

   • my-cluster-ca-cert

     • ca.p12 - 信任存储，格式为 PKCS12
     • ca.password - truststore password

   • my-user

     • user.p12 - 密钥存储（以 PKCS12 格式）
     • user.password - keystore password

8. 配置以下示例配置，以部署 Service Registry。

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-tls
   spec:
     configuration:
       persistence: "kafkasql"
       kafkasql:
         bootstrapServers: "my-cluster-kafka-bootstrap.registry-example-kafkasql-tls.svc:9093"
         security:
           tls:
             keystoreSecretName: my-user
             truststoreSecretName: my-cluster-cluster-ca-cert

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators，选择 AMQ Streams Operator 详情，然后选择 Kafka 选项卡。
2. 点 Create Kafka 为 Service Registry 存储置备新的 Kafka 集群。

3. 将 authorization 和 tls 字段配置为对 Kafka 集群使用 SCRAM-SHA-512 身份验证，例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
     namespace: registry-example-kafkasql-scram
     # Change or remove the explicit namespace
   spec:
     kafka:
       config:
         offsets.topic.replication.factor: 3
         transaction.state.log.replication.factor: 3
         transaction.state.log.min.isr: 2
         log.message.format.version: '2.7'
         inter.broker.protocol.version: '2.7'
       version: 2.7.0
       storage:
         type: ephemeral
       replicas: 3
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: scram-sha-512
       authorization:
         type: simple
     entityOperator:
       topicOperator: {}
       userOperator: {}
     zookeeper:
       storage:
         type: ephemeral
       replicas: 3

   Service Registry 自动创建的默认 Kafka 主题名称为 kafkasql-journal。您可以通过设置环境变量来覆盖此行为或默认主题名称。默认值如下：

   • REGISTRY_KAFKASQL_TOPIC_AUTO_CREATE=true
   • REGISTRY_KAFKASQL_TOPIC=kafkasql-journal

   如果您决定不手动创建 Kafka 主题，请跳过下一步。

4. 点 Kafka Topic 选项卡，然后点 Create Kafka Topic 创建 kafkasql-journal 主题：

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaTopic
   metadata:
     name: kafkasql-journal
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-scram
   spec:
     partitions: 2
     replicas: 1
     config:
       cleanup.policy: compact

5. 创建 Kafka User 资源，为 Service Registry 用户配置 SCRAM 身份验证和授权。您可以在 metadata 部分中指定用户名，或者使用默认的 my-user。

   apiVersion: kafka.strimzi.io/v1beta1
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
     namespace: registry-example-kafkasql-scram
   spec:
     authentication:
       type: scram-sha-512
     authorization:
       acls:
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: topic
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: cluster
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: transactionalId
         - operation: All
           resource:
             name: '*'
             patternType: literal
             type: group
       type: simple

   注意

   这个简单示例假设 admin 权限并自动创建 Kafka 主题。您必须为 Service Registry 所需的主题和资源配置 授权 部分。

   以下示例显示了手动创建 Kafka 主题时所需的最低配置：

    ...
     authorization:
       acls:
       - operations:
           - Read
           - Write
         resource:
           name: kafkasql-journal
           patternType: literal
           type: topic
       - operations:
           - Read
           - Write
         resource:
           name: apicurio-registry-
           patternType: prefix
           type: group
       type: simple

6. 点 Workloads，然后 Secrets 来查找 AMQ Streams 为 Service Registry 创建的两个 secret 来连接到 Kafka 集群：

   • my-cluster-cluster-ca-cert - 包含 Kafka 集群的 PKCS12 信任存储

   • my-user - 包含用户的密钥存储

     注意

     secret 的名称可能会因集群或用户名而异。

7. 如果手动创建 secret，它们必须包含以下键值对：

   • my-cluster-ca-cert

     • ca.p12 - PKCS12 格式的信任存储
     • ca.password - truststore password

   • my-user

     • password - 用户密码

8. 配置以下示例设置来部署 Service Registry：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-scram
   spec:
     configuration:
       persistence: "kafkasql"
       kafkasql:
         bootstrapServers: "my-cluster-kafka-bootstrap.registry-example-kafkasql-scram.svc:9093"
         security:
           scram:
             truststoreSecretName: my-cluster-cluster-ca-cert
             user: my-user
             passwordSecretName: my-user

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 切换到要在其中安装 PostgreSQL Operator 的 OpenShift 项目。例如，从 Project 下拉菜单中选择 my-project。
3. 在左侧导航菜单中，点 Operators，然后点 OperatorHub。
4. 在 Filter by keyword 文本框中，输入 PostgreSQL 以查找适合您的环境的 Operator，例如，Crunchy PostgreSQL for OpenShift。
5. 阅读有关 Operator 的信息，点 Install 显示 Operator 订阅页面。

6. 选择您的订阅设置，例如：

   • 更新频道 ：stable
   • Installation Mode:集群中的特定命名空间，然后是 my-project
   • 批准策略 ：选择 Automatic 或 Manual

7. 点 Install，等待片刻，直到 Operator 准备就绪为止。

   重要

   您必须从所选 PostgreSQL Operator 读取文档，以了解有关如何创建和管理数据库的详细信息。

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 切换到安装 Service Registry 和 PostgreSQL Operator 的 OpenShift 项目。例如，从 Project 下拉菜单中选择 my-project。
3. 为您的 Service Registry 存储创建一个 PostgreSQL 数据库。例如，单击 Installed Operators，PostgreSQL Operator by Dev4Ddevs.com，然后单击 Create database。

4. 点 YAML 并编辑数据库设置，如下所示：

   • 名称 ：将值改为 registry
   • Image ：将值改为 centos/postgresql-12-centos7

5. 根据您的环境，根据需要编辑任何其他数据库设置，例如：

   apiVersion: postgresql.dev4devs.com/v1alpha1
   kind: Database
   metadata:
     name: registry
     namespace: my-project
   spec:
     databaseCpu: 30m
     databaseCpuLimit: 60m
     databaseMemoryLimit: 512Mi
     databaseMemoryRequest: 128Mi
     databaseName: example
     databaseNameKeyEnvVar: POSTGRESQL_DATABASE
     databasePassword: postgres
     databasePasswordKeyEnvVar: POSTGRESQL_PASSWORD
     databaseStorageRequest: 1Gi
     databaseUser: postgres
     databaseUserKeyEnvVar: POSTGRESQL_USER
     image: centos/postgresql-12-centos7
     size: 1

6. 点 Create，然后等待数据库创建完毕。
7. 点 Installed Operators > Red Hat Integration - Service Registry > ApicurioRegistry > Create ApicurioRegistry。

8. 粘贴以下自定义资源定义，并编辑数据库 url 和凭证的值以匹配您的环境：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-sql
   spec:
     configuration:
       persistence: 'sql'
       sql:
         dataSource:
           url: 'jdbc:postgresql://<service name>.<namespace>.svc:5432/<database name>'
           # e.g. url: 'jdbc:postgresql://acid-minimal-cluster.my-project.svc:5432/registry'
           userName: 'postgres'
           password: '<password>' # Optional

9. 点 Create 并等待 OpenShift 上创建 Service Registry 路由。

10. 点 Networking > Route 访问 Service Registry web 控制台的新路由。例如：

    http://example-apicurioregistry-sql.my-project.my-domain-name.com/

流程

1. 运行以下命令来创建数据库：

    $ createdb -T template0 dbname

2. 输入以下命令恢复 SQL 转储

    $ psql dbname < dumpfile

3. 在每个数据库上运行 ANALYZE，以便查询优化器具有有用的统计信息。

流程

1. 在 OpenShift Web 控制台中，点 Installed Operators 和 Red Hat Single Sign-On Operator，然后点 Keycloak 选项卡。

2. 点 Create Keycloak 置备一个新的 Red Hat Single Sign-On 实例来保护 Service Registry 部署。您可以使用默认值，例如：

   apiVersion: keycloak.org/v1alpha1
   kind: Keycloak
   metadata:
     name: example-keycloak
     labels:
       app: sso
   spec:
     instances: 1
     externalAccess:
       enabled: True
     podDisruptionBudget:
       enabled: True

3. 等待实例创建好，然后单击 Networking，然后单击 Routes 以访问 keycloak 实例的新路由。
4. 点 Location URL，并复制显示的 URL 值，以便在部署 Service Registry 时使用。

5. 点 Installed Operators 和 Red Hat Single Sign-On Operator，然后点 Keycloak Realm 选项卡，然后点 Create Keycloak Realm 来创建 registry 示例域：

   apiVersion: keycloak.org/v1alpha1
   kind: KeycloakRealm
   metadata:
     name: registry-keycloakrealm
     labels:
       app: registry
   spec:
     instanceSelector:
       matchLabels:
         app: sso
     realm:
       displayName: Registry
       enabled: true
       id: registry
       realm: registry
       sslRequired: none
       roles:
         realm:
           - name: sr-admin
           - name: sr-developer
           - name: sr-readonly
       clients:
         - clientId: registry-client-ui
           implicitFlowEnabled: true
           redirectUris:
             - '*'
           standardFlowEnabled: true
           webOrigins:
             - '*'
           publicClient: true
         - clientId: registry-client-api
           implicitFlowEnabled: true
           redirectUris:
             - '*'
           standardFlowEnabled: true
           webOrigins:
             - '*'
           publicClient: true
       users:
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-admin
           username: registry-admin
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-developer
           username: registry-developer
         - credentials:
             - temporary: false
               type: password
               value: changeme
           enabled: true
           realmRoles:
             - sr-readonly
           username: registry-user

   重要

   如果要部署到生产环境，则必须使用适合您的环境的值自定义此 KeycloakRealm 资源。您还可以使用 Red Hat Single Sign-On Web 控制台创建和管理域。

6. 如果您的集群没有配置有效的 HTTPS 证书，您可以创建以下 HTTP Service 和 Ingress 资源作为临时临时解决方案：

   1. 点 Networking，然后点 Create Service，使用以下示例点 Create Service：

      apiVersion: v1
      kind: Service
      metadata:
        name: keycloak-http
        labels:
          app: keycloak
      spec:
        ports:
          - name: keycloak-http
            protocol: TCP
            port: 8080
            targetPort: 8080
        selector:
          app: keycloak
          component: keycloak
        type: ClusterIP
        sessionAffinity: None
      status:
        loadBalancer: {}

   2. 点 Networking，然后点 Ingresses，使用以下示例点 Create Ingress:

      apiVersion: networking.k8s.io/v1
      kind: Ingress
      metadata:
        name: keycloak-http
        labels:
          app: keycloak
      spec:
        rules:
          - host: KEYCLOAK_HTTP_HOST
            http:
              paths:
                - path: /
                  pathType: ImplementationSpecific
                  backend:
                    service:
                      name: keycloak-http
                      port:
                        number: 8080

      修改 主机 值，以创建可由 Service Registry 用户访问的路由，并使用它而不是 Red Hat Single Sign-On Operator 创建的 HTTPS 路由。

7. 点 Service Registry Operator，在 ApicurioRegistry 选项卡中，点 Create ApicurioRegistry，使用以下示例，使用您的实际值替换 keycloak 部分。

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry-kafkasql-keycloak
   spec:
     configuration:
       security:
         keycloak:
           url: "http://keycloak-http-<namespace>.apps.<cluster host>"
           # ^ Required
           # Use an HTTP URL in development.
           realm: "registry"
           # apiClientId: "registry-client-api"
           # ^ Optional (default value)
           # uiClientId: "registry-client-ui"
           # ^ Optional (default value)
       persistence: 'kafkasql'
       kafkasql:
         bootstrapServers: '<my-cluster>-kafka-bootstrap.<my-namespace>.svc:9092'

流程

1. 在 Red Hat Single Sign-On Admin 控制台中，为 Service Registry 创建一个 Red Hat Single Sign-On 域。默认情况下，Service Registry 需要 registry 的域名。有关创建域的详情，请查看 Red Hat Single Sign-On 用户文档。

2. 为 Service Registry API 创建 Red Hat Single Sign-On 客户端。默认情况下，Service Registry 需要以下设置：

   • 客户端 ID ：registry-api
   • 客户端协议 ：openid-connect

   • 访问类型:bearer-only

     您可以将默认值用于其他客户端设置。

     注意

     如果您使用 Red Hat Single Sign-On 服务帐户，客户端的 Access Type 必须是 confidential 而不是 bearer-only。

3. 为 Service Registry web 控制台创建 Red Hat Single Sign-On 客户端。默认情况下，Service Registry 需要以下设置：

   • 客户端 ID:apicurio-registry
   • 客户端协议 ：openid-connect
   • 访问类型 ：public
   • 有效的重定向 URL:http://my-registry-url:8080/*

   • Web Origins:+

     您可以将默认值用于其他客户端设置。

4. 在 OpenShift 上的 Service Registry 部署中，设置以下 Service Registry 环境变量以使用 Red Hat Single Sign-On 配置身份验证：

   表 5.2. Service Registry 身份验证配置

   环境变量	描述	类型	默认
   AUTH_ENABLED	如果设置为 true，则需要遵循的环境变量。	字符串	false
   KEYCLOAK_URL	要使用的 Red Hat Single Sign-On 身份验证服务器的 URL。	None	KEYCLOAK_REALM
   用于身份验证的 Red Hat Single Sign-On 域。	字符串	registry	KEYCLOAK_API_CLIENT_ID
   Service Registry REST API 的客户端 ID。	字符串	registry-api	KEYCLOAK_UI_CLIENT_ID

   提示

   有关在 OpenShift 中设置环境变量的示例，请参阅 第 6.1 节 “在 OpenShift 中配置 Service Registry 健康检查”。

5. 将以下选项设置为 true 在 Red Hat Single Sign-On 中启用 Service Registry 用户角色：

   表 5.3. 配置基于 Service Registry 角色的授权

   环境变量	Java 系统属性	类型	默认值
   ROLE_BASED_AUTHZ_ENABLED	registry.auth.role-based-authorization	布尔值	false

6. 启用 Service Registry 用户角色时，您必须将 Service Registry 用户至少分配给 Red Hat Single Sign-On 域中的以下默认用户角色之一：

   表 5.4. 用于 registry 身份验证和授权的默认用户角色

   角色	读取工件	写入工件	全局规则	概述
   sr-admin	是	是	是	所有创建、读取、更新和删除操作的完整访问权限。
   sr-developer	是	是	否	除配置全局规则外，创建、读取、更新和删除操作的访问权限。此角色可配置特定于工件的规则。
   sr-readonly	是	否	否	仅访问读和搜索操作。此角色无法配置任何规则。

7. 将以下内容设置为 true，为 Service Registry 中的 schema 和 API 工件启用仅所有者授权：

   表 5.5. 配置仅限所有者授权

   环境变量	Java 系统属性	类型	默认值
   REGISTRY_AUTH_OBAC_ENABLED	registry.auth.owner-only-authorization	布尔值	false

流程

1. 使用自签名证书生成 密钥存储。如果您使用自己的证书，可以跳过这一步。

   openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout tls.key -out tls.crt

2. 创建新机密来保存证书和私钥。

   1. 在 OpenShift Web 控制台左侧导航菜单中，点 Workloads > Secrets > Create Key/Value Secret。
   2. 使用以下值：
      Name: https-cert-secret
      Key 1: tls.key
      Value 1: tls.key (uploaded file)
      Key 2: tls.crt
      Value 2: tls.crt (uploaded file)

   或者使用以下命令创建 secret：

   oc create secret generic https-cert-secret --from-file=tls.key --from-file=tls.crt

3. 为您的 Service Registry 部署编辑 ApicurioRegistry CR 的 spec.configuration.security.https 部分，例如：

   apiVersion: registry.apicur.io/v1
   kind: ApicurioRegistry
   metadata:
     name: example-apicurioregistry
   spec:
     configuration:
       # ...
       security:
         https:
           secretName: https-cert-secret

4. 验证连接是否正常工作：

   1. 使用 SSH 连接到集群中的 pod （您可以使用 Service Registry pod）：

      oc rsh example-apicurioregistry-deployment-6f788db977-2wzpw

   2. 从 Service 资源查找 Service Registry pod 的集群 IP （请参阅 web 控制台中的 Location 列）。之后，执行测试请求（我们使用自签名证书，因此需要一个 insecure 标志）：

      curl -k https://172.30.230.78:8443/health

流程

1. 除了 Service Registry Operator 创建的 HTTP 路由外，添加第二个路由。例如：

   kind: Route
   apiVersion: route.openshift.io/v1
   metadata:
     [...]
     labels:
       app: example-apicurioregistry
       [...]
   spec:
     host: example-apicurioregistry-default.apps.example.com
     to:
       kind: Service
       name: example-apicurioregistry-service-9whd7
       weight: 100
     port:
       targetPort: 8080
     tls:
       termination: edge
       insecureEdgeTerminationPolicy: Redirect
     wildcardPolicy: None

   注意

   确保设置了 insecureEdgeTerminationPolicy: Redirect 配置属性。

   如果没有指定证书，OpenShift 将使用默认证书。另外，您可以使用以下命令生成自定义自签名证书：

   openssl genrsa 2048 > tls.key &&
   openssl req -new -x509 -nodes -sha256 -days 365 -key tls.key -out tls.crt

   然后，使用 OpenShift CLI 创建路由：

   oc create route edge \
     --service=example-apicurioregistry-service-9whd7 \
     --cert=tls.crt --key=tls.key \
     --hostname=example-apicurioregistry-default.apps.example.com \
     --insecure-policy=Redirect \
     -n default

流程

1. 在 OpenShift Container Platform Web 控制台中，使用具有集群管理员特权的帐户登录。
2. 点 Installed Operators > Red Hat Integration - Service Registry Operator。
3. 在 ApicurioRegistry 选项卡中，点部署的 Operator 自定义资源，如 example-apicurioregistry。
4. 在主概览页面中，找到 Service Registry 部署的 Deployment Name 部分和对应的 DeploymentConfig 名称，如 example-apicurioregistry。
5. 在左侧导航菜单中，点 Workloads > Deployment Configs，然后选择您的 DeploymentConfig 名称。

6. 点 Environment 选项卡，然后在 Single values env 部分中输入环境变量，例如：

   • 名称 ：LIVENESS_STATUS_RESET
   • 值 ：350

7. 点底部的 Save。

   或者，您可以使用 OpenShift oc 命令执行这些步骤。如需了解更多详细信息，请参阅 OpenShift CLI 文档。

流程

1. 使用此 curl 命令获取日志记录器 io.apicurio.registry.storage 的当前日志级别：

   $ curl -i localhost:8080/apis/registry/v2/admin/loggers/io.apicurio.registry.storage
   HTTP/1.1 200 OK
   [...]
   Content-Type: application/json
   {"name":"io.apicurio.registry.storage","level":"INFO"}

2. 使用此 curl 命令将日志记录器 io.apicurio.registry.storage 的日志级别更改为 DEBUG ：

   $ curl -X PUT -i -H "Content-Type: application/json" --data '{"level":"DEBUG"}' localhost:8080/apis/registry/v2/admin/loggers/io.apicurio.registry.storage
   HTTP/1.1 200 OK
   [...]
   Content-Type: application/json
   {"name":"io.apicurio.registry.storage","level":"DEBUG"}

3. 使用此 curl 命令将日志记录器 io.apicurio.registry.storage 的日志级别恢复到其默认值：

   $ curl -X DELETE -i localhost:8080/apis/registry/v2/admin/loggers/io.apicurio.registry.storage
   HTTP/1.1 200 OK
   [...]
   Content-Type: application/json
   {"name":"io.apicurio.registry.storage","level":"INFO"}

流程

1. 使用 HTTP 协议时，将 Service Registry 配置设置为将事件发送到应用程序，如下所示：

   • registry.events.sink.my-custom-consumer=http://my-app-host:8888/events

2. 如果需要，您可以按照以下方式配置多个事件消费者：

   • registry.events.sink.my-custom-consumer=http://my-app-host:8888/events
   • registry.events.sink.other-consumer=http://my-consumer.com/events

流程

1. 使用 Kafka 协议时，按如下所示设置 Kafka 主题：

   • registry.events.kafka.topic=my-registry-events

2. 您可以使用 KAFKA_BOOTSTRAP_SERVERS 环境变量设置 Kafka producer 的配置：

   • KAFKA_BOOTSTRAP_SERVERS=my-kafka-host:9092

     另外，您可以使用 registry.events.kafka.config 前缀设置 kafka producer 的属性，例如： registry.events.kafka.config.bootstrap.servers=my-kafka-host:9092

3. 如果需要，您还可以设置 Kafka 主题分区来生成事件：

   • registry.events.kafka.topic-partition=1