7.3. 使用基于 OAuth 2.0 令牌的授权

流程

1. 访问红帽构建的 Keycloak 管理控制台，或使用 Red Hat build of Keycloak Admin CLI 为您在设置 OAuth 2.0 身份验证时创建的 OAuth 2.0 客户端启用授权服务。
2. 使用 Authorization Services 为客户端定义资源、授权范围、策略和权限。
3. 通过分配角色和组，将权限绑定到用户和客户端。

4. 将 Kafka 代理配置为使用红帽构建的 Keycloak 授权。

   将以下内容添加到 Kafka server.properties 配置文件中，以在 Kafka 中安装授权器：

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.OAuthKafkaPrincipalBuilder

   Copy to Clipboard Toggle word wrap

5. 为 Kafka 代理添加配置以访问授权服务器和授权服务。

   在此我们显示作为额外属性添加到 server.properties 的示例配置，但您也可以使用大写或大写的命名规则将它们定义为环境变量。

   strimzi.authorization.token.endpoint.uri="https://<auth_server_address>/auth/realms/REALM-NAME/protocol/openid-connect/token" 

   1

   
   strimzi.authorization.client.id="kafka" 

   2

   Copy to Clipboard Toggle word wrap

   1

   红帽构建的 Keycloak 的 OAuth 2.0 令牌端点 URL。对于生产环境，请始终使用 https:// urls。

   2

   红帽构建的 Keycloak 中 OAuth 2.0 客户端定义的客户端 ID，启用了授权服务。通常，kafka 被用作 ID。

6. （可选）为特定 Kafka 集群添加配置。

   例如：

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 

   1

   Copy to Clipboard Toggle word wrap

   1

   特定 Kafka 集群的名称。名称用于目标权限，因此可以在同一红帽构建 Keycloak 域内管理多个集群。默认值为 kafka-cluster。

7. （可选）与简单授权决定：

   strimzi.authorization.delegate.to.kafka.acl="true" 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果红帽构建的 Keycloak 授权服务策略无法访问，请将授权委托给 Kafka AclAuthorizer。默认值为 false。

8. （可选）将 TLS 连接的配置添加到授权服务器。

   例如：

   strimzi.authorization.ssl.truststore.location=<path_to_truststore> 

   1

   
   strimzi.authorization.ssl.truststore.password=<my_truststore_password> 

   2

   
   strimzi.authorization.ssl.truststore.type=JKS 

   3

   
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 

   4

   
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 

   5

   Copy to Clipboard Toggle word wrap

   1

   包含证书的信任存储的路径。

   2

   truststore 的密码。

   3

   truststore 类型。如果没有设置，则使用默认的 Java 密钥存储类型。

   4

   随机数生成器实施。如果没有设置，则使用 Java platform SDK 默认。

   5

   主机名验证。如果设置为空字符串，则会关闭主机名验证。如果没有设置，则默认值为 HTTPS，它会强制对服务器证书进行主机名验证。

9. （可选）配置从授权服务器刷新授权。授予刷新作业的工作原理，方法是枚举活跃的令牌并请求每个令牌的最新授权。

   例如：

   strimzi.authorization.grants.refresh.period.seconds="120" 

   1

   
   strimzi.authorization.grants.refresh.pool.size="10" 

   2

   
   strimzi.authorization.grants.max.idle.time.seconds="300" 

   3

   
   strimzi.authorization.grants.gc.period.seconds="300" 

   4

   
   strimzi.authorization.reuse.grants="false" 

   5

   Copy to Clipboard Toggle word wrap

   1

   指定授权服务器的授予的频率（默认为每分钟一次）。要关闭刷新以进行调试，请将 设置为 "0"。

   2

   指定授予刷新作业使用的线程池大小（并行级别）。默认值为 "5"。

   3

   缓存中闲置授权的时间（以秒为单位）。默认值为 300。

   4

   连续运行作业之间的时间（以秒为单位）。默认值为 300。

   5

   控制是否为新会话获取最新的授权。禁用后，授予从红帽构建的 Keycloak 和缓存的用户检索。默认值为 true。

10. （可选）在与授权服务器通信时配置网络超时。

    例如：

    strimzi.authorization.connect.timeout.seconds="60" 

    1

    
    strimzi.authorization.read.timeout.seconds="60" 

    2

    
    strimzi.authorization.http.retries="2" 

    3

    Copy to Clipboard Toggle word wrap

    1

    当连接到红帽构建的 Keycloak 令牌端点时，连接超时（以秒为单位）。默认值为 60。

    2

    连接到红帽构建的 Keycloak 令牌端点时的读取超时时间（以秒为单位）。默认值为 60。

    3

    重新尝试（不暂停）授权服务器的 HTTP 请求失败的次数上限。默认值为 0， 表示不会执行重试。要有效地使用这个选项，请考虑减少 strimzi.authorization.connect.timeout.seconds 和 strimzi.authorization.read.timeout.seconds 选项的超时时间。但请注意，重试可能会阻止当前的 worker 线程可供其他请求使用，如果太多请求停滞，则可能会导致 Kafka 无响应。

11. （可选）为令牌验证和授权启用 OAuth 2.0 指标：

    oauth.enable.metrics="true" 

    1

    Copy to Clipboard Toggle word wrap

    1

    控制是否启用或禁用 OAuth 指标。默认值为 false。

12. （可选）从请求中删除 Accept 标头：

    oauth.include.accept.header="false" 

    1

    Copy to Clipboard Toggle word wrap

    1

    如果包含标头在与授权服务器通信时导致问题，则设置为 false。默认值为 true。

13. 以客户端或具有特定角色的用户访问 Kafka 代理来验证配置的权限，确保它们具有必要的访问权限，且没有未经授权的访问权限。