4.11. 使用基于 OAuth 2.0 令牌的授权

流程

1. 访问 Red Hat Single Sign-On Admin 控制台，或使用 Red Hat Single Sign-On Admin CLI 为设置 OAuth 2.0 身份验证时创建的 Kafka 代理客户端启用授权服务。
2. 使用 Authorization Services 为客户端定义资源、授权范围、策略和权限。
3. 通过分配角色和组，将权限绑定到用户和客户端。

4. 将 Kafka 代理配置为使用 Red Hat Single Sign-On 授权。

   将以下内容添加到 Kafka server.properties 配置文件中，以在 Kafka 中安装授权器：

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakRBACAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.authorizer.JwtKafkaPrincipalBuilder

   Copy to Clipboard Toggle word wrap

5. 为 Kafka 代理添加配置以访问授权服务器和授权服务。

   在此我们显示作为额外属性添加到 server.properties 的示例配置，但您也可以使用大写或大写的命名规则将它们定义为环境变量。

   strimzi.authorization.token.endpoint.uri="https://AUTH-SERVER-ADDRESS/auth/realms/REALM-NAME/protocol/openid-connect/token" 

   1

   
   strimzi.authorization.client.id="kafka" 

   2

   Copy to Clipboard Toggle word wrap

   1

   到 Red Hat Single Sign-On 的 OAuth 2.0 令牌端点 URL。对于生产环境，请始终使用 HTTP。

   2

   在启用了授权服务的 Red Hat Single Sign-On 中 OAuth 2.0 客户端定义的客户端 ID。通常，kafka 被用作 ID。

6. （可选）为特定 Kafka 集群添加配置。

   例如：

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 

   1

   Copy to Clipboard Toggle word wrap

   1

   特定 Kafka 集群的名称。名称用于目标权限，因此可以在同一 Red Hat Single Sign-On 域中管理多个集群。默认值为 kafka-cluster。

7. （可选）与简单授权决定。

   例如：

   strimzi.authorization.delegate.to.kafka.acl="false" 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果 Red Hat Single Sign-On Authorization Services 策略无法访问，将授权委派给 Kafka AclAuthorizer。默认值为 false。

8. （可选）将 TLS 连接的配置添加到授权服务器。

   例如：

   strimzi.authorization.ssl.truststore.location=<path-to-truststore> 

   1

   
   strimzi.authorization.ssl.truststore.password=<my-truststore-password> 

   2

   
   strimzi.authorization.ssl.truststore.type=JKS 

   3

   
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 

   4

   
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 

   5

   Copy to Clipboard Toggle word wrap

   1

   包含证书的信任存储的路径。

   2

   truststore 的密码。

   3

   truststore 类型。如果没有设置，则使用默认的 Java 密钥存储类型。

   4

   随机数生成器实施。如果没有设置，则使用 Java platform SDK 默认。

   5

   主机名验证。如果设置为空字符串，则会关闭主机名验证。如果没有设置，则默认值为 HTTPS，它会强制对服务器证书进行主机名验证。

9. （可选）配置从授权服务器刷新授权。授予刷新作业的工作原理，方法是枚举活跃的令牌并请求每个令牌的最新授权。

   例如：

   strimzi.authorization.grants.refresh.period.seconds="120" 

   1

   
   strimzi.authorization.grants.refresh.pool.size="10" 

   2

   Copy to Clipboard Toggle word wrap

   1

   指定授权服务器的授予的频率（默认为每分钟一次）。要关闭刷新以进行调试，请将 设置为 "0"。

   2

   指定授予刷新作业使用的线程池大小（并行级别）。默认值为 "5"。

10. 通过以客户端或具有特定角色的用户访问 Kafka 代理来验证配置的权限，确保它们具有必要的访问权限，或者没有应该具有访问权限。