16.3. 使用基于 OAuth 2.0 令牌的授权

流程

1. 访问红帽构建的 Keycloak 管理控制台，或使用 Red Hat build of Keycloak Admin CLI 为您在设置 OAuth 2.0 身份验证时创建的 OAuth 2.0 客户端启用授权服务。
2. 使用 Authorization Services 为客户端定义资源、授权范围、策略和权限。
3. 通过分配角色和组，将权限绑定到用户和客户端。

4. 将 kafka 资源配置为使用 keycloak 授权，并能够访问授权服务器和授权服务。

   OAuth 2.0 授权配置示例

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
   spec:
     kafka:
       # ...
       authorization:
         type: keycloak 

   1

   
         tokenEndpointUri: <https://<auth-server-address>/realms/external/protocol/openid-connect/token> 

   2

   
         clientId: kafka 

   3

   
         delegateToKafkaAcls: false 

   4

   
         disableTlsHostnameVerification: false 

   5

   
         superUsers: 

   6

   
           - CN=user-1
           - user-2
           - CN=user-3
         tlsTrustedCertificates: 

   7

   
           - secretName: oauth-server-cert
             pattern: "*.crt"
         grantsRefreshPeriodSeconds: 60 

   8

   
         grantsRefreshPoolSize: 5 

   9

   
         grantsMaxIdleSeconds: 300 

   10

   
         grantsGcPeriodSeconds: 300 

   11

   
         grantsAlwaysLatest: false 

   12

   
         connectTimeoutSeconds: 60 

   13

   
         readTimeoutSeconds: 60 

   14

   
         httpRetries: 2 

   15

   
         enableMetrics: false 

   16

   
         includeAcceptHeader: false 

   17

   
       #...

   Copy to Clipboard Toggle word wrap

   1

   类型 keycloak 启用红帽构建的 Keycloak 授权。

   2

   红帽构建的 Keycloak 令牌端点的 URI。对于生产环境，请始终使用 https:// urls。当您配置基于令牌的 oauth 身份验证时，您可以将 jwksEndpointUri 指定为本地 JWT 验证的 URI。tokenEndpointUri URI 的主机名必须相同。

   3

   红帽构建的 Keycloak 中 OAuth 2.0 客户端定义的客户端 ID，启用了授权服务。通常，kafka 被用作 ID。

   4

   （可选） 如果红帽构建的 Keycloak 授权策略阻止了对 Kafka AclAuthorizer 和 StandardAuthorizer 的授权。默认为 false。

   5

   （可选）禁用 TLS 主机名验证。默认为 false。

   6

   （可选）设计的超级用户。

   7

   （可选）在 TLS 连接到授权服务器的指定 secret 中以 X.509 格式存储的证书。

   8

   （可选）两个连续之间的时间授予刷新运行。这是活跃会话的最大时间，用于检测红帽构建的 Keycloak 上用户的任何权限更改。默认值为 60。

   9

   （可选）用于刷新（并行）活跃会话授予的线程数量。默认值为 5。

   10

   （可选）缓存中闲置授权可以被驱除的时间（以秒为单位）。默认值为 300。

   11

   （可选） 连续运行从缓存中清除过时的作业之间的时间（以秒为单位）。默认值为 300。

   12

   （可选）控制是否为新会话获取最新的授权。启用后，会从红帽构建的 Keycloak 和缓存的用户检索授予。默认值为 false。

   13

   （可选）连接到红帽构建的 Keycloak 令牌端点时的连接超时（以秒为单位）。默认值为 60。

   14

   （可选）连接到红帽构建的 Keycloak 令牌端点时的读取超时（以秒为单位）。默认值为 60。

   15

   （可选）重试的最大次数（不会暂停）授权服务器的失败 HTTP 请求。默认值为 0， 表示不会执行重试。要有效地使用这个选项，请考虑减少 connectTimeoutSeconds 和 readTimeoutSeconds 选项的超时时间。但请注意，重试可能会阻止当前的 worker 线程可供其他请求使用，如果太多请求停滞，则可能会导致 Kafka 无响应。

   16

   （可选）启用或禁用 OAuth 指标。默认值为 false。

   17

   （可选）有些授权服务器在客户端发送 Accept: application/json 标头时遇到问题。通过设置 includeAcceptHeader: false，不会发送标头。默认为 true。

5. 将更改应用到 Kafka 配置。

6. 检查日志中的更新，或通过监视 pod 状态转换：

   oc logs -f ${POD_NAME} -c kafka
   oc get pod -w

   Copy to Clipboard Toggle word wrap

   滚动更新将代理配置为使用 OAuth 2.0 授权。

7. 以客户端或具有特定角色的用户访问 Kafka 代理来验证配置的权限，确保它们具有必要的访问权限，且没有未经授权的访问权限。