4.10.6.3. 将 Kafka Java 客户端配置为使用 OAuth 2.0

流程

1. 在 Kafka 客户端的 pom.xml 文件中添加带有 OAuth 2.0 支持的客户端库：

   <dependency>
    <groupId>io.strimzi</groupId>
    <artifactId>kafka-oauth-client</artifactId>
    <version>0.8.1.redhat-00004</version>
   </dependency>

2. 为回调配置系统属性：

   例如：

   System.setProperty(ClientConfig.OAUTH_TOKEN_ENDPOINT_URI, “https://AUTH-SERVER-ADDRESS/auth/realms/REALM-NAME/protocol/openid-connect/token”); 1
   System.setProperty(ClientConfig.OAUTH_CLIENT_ID, "CLIENT-NAME"); 2
   System.setProperty(ClientConfig.OAUTH_CLIENT_SECRET, "CLIENT_SECRET"); 3
   System.setProperty(ClientConfig.OAUTH_SCOPE, "SCOPE-VALUE") 4

   1

   授权服务器令牌端点的 URI。

   2

   客户端 ID，这是在授权服务器中创建 客户端 时使用的名称。

   3

   在授权服务器中创建 客户端 时创建的客户端机密。

   4

   （可选） scope 用于从令牌端点请求令牌。授权服务器可能需要客户端指定范围。

3. 在 Kafka 客户端配置中的 TLS 加密连接上启用 OAUTHBEARER OR PLAIN 机制。

   例如：

   为 Kafka 客户端启用 OAUTHBEARER

   props.put("sasl.jaas.config", "org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required;");
   props.put("security.protocol", "SASL_SSL");
   props.put("sasl.mechanism", "OAUTHBEARER");
   props.put("sasl.login.callback.handler.class", "io.strimzi.kafka.oauth.client.JaasClientOauthLoginCallbackHandler");

   为 Kafka 客户端启用 PLAIN

   props.put("sasl.jaas.config", "org.apache.kafka.common.security.plain.PlainLoginModule required username=\"$CLIENT_ID_OR_ACCOUNT_NAME\" password=\"$SECRET_OR_ACCESS_TOKEN\" ;");
   props.put("security.protocol", "SASL_SSL"); 1
   props.put("sasl.mechanism", "PLAIN");

   1

   在这里，我们使用 SASL_SSL 通过 TLS 连接使用。在未加密连接中使用 SASL_PLAINTEXT 只用于本地开发。

4. 验证 Kafka 客户端可以访问 Kafka 代理。