13.2.66. KafkaClientAuthenticationOAuth 模式参考

客户端 ID 和 secret

您可以在 tokenEndpointUri 属性中配置授权服务器的地址，以及身份验证中使用的客户端 ID 和客户端机密。OAuth 客户端将连接到 OAuth 服务器，使用客户端 ID 和机密进行身份验证，并获取它将用于与 Kafka 代理进行身份验证的访问令牌。在 clientSecret 属性中，指定一个指向包含客户端 secret 的 Secret 的链接。

使用客户端 ID 和客户端 secret 进行 OAuth 客户端身份验证示例

authentication:
  type: oauth
  tokenEndpointUri: https://sso.myproject.svc:8443/auth/realms/internal/protocol/openid-connect/token
  clientId: my-client-id
  clientSecret:
    secretName: my-client-oauth-secret
    key: client-secret

客户端 ID 和刷新令牌

您可以在 tokenEndpointUri 属性中配置 OAuth 服务器的地址，并与 OAuth 客户端 ID 和刷新令牌一起配置。OAuth 客户端将连接到 OAuth 服务器，使用客户端 ID 进行身份验证并刷新令牌，并获取它将用于与 Kafka 代理进行身份验证的访问令牌。在 refreshToken 属性中，指定包含刷新令牌的 Secret 链接。

访问令牌

您可以直接配置用于与 Kafka 代理进行身份验证的访问令牌。在本例中，您不用指定 tokenEndpointUri。在 accessToken 属性中，指定包含访问令牌的 Secret 链接。

仅使用访问令牌进行 OAuth 客户端身份验证示例

authentication:
  type: oauth
  accessToken:
    secretName: my-access-token-secret
    key: access-token

TLS

使用 HTTPS 协议访问 OAuth 服务器不需要额外的配置，只要其使用的 TLS 证书由可信证书颁发机构签名，并且其主机名列在证书中。

提供的 TLS 证书示例

authentication:
  type: oauth
  tokenEndpointUri: https://sso.myproject.svc:8443/auth/realms/internal/protocol/openid-connect/token
  clientId: my-client-id
  refreshToken:
    secretName: my-refresh-token-secret
    key: refresh-token
  tlsTrustedCertificates:
    - secretName: oauth-server-ca
      certificate: tls.crt

禁用 TLS 主机名验证示例

authentication:
  type: oauth
  tokenEndpointUri: https://sso.myproject.svc:8443/auth/realms/internal/protocol/openid-connect/token
  clientId: my-client-id
  refreshToken:
    secretName: my-refresh-token-secret
    key: refresh-token
  disableTlsHostnameVerification: true