6.6. 使用基于 OAuth 2.0 令牌的授权

流程

1. 访问 Red Hat Single Sign-On Admin 控制台，或使用 Red Hat Single Sign-On Admin CLI 为设置 OAuth 2.0 身份验证时创建的 Kafka 代理客户端启用授权服务。
2. 使用 Authorization Services 为客户端定义资源、授权范围、策略和权限。
3. 通过分配角色和组，将权限绑定到用户和客户端。

4. 将 Kafka 代理配置为使用 Red Hat Single Sign-On 授权。

   将以下内容添加到 Kafka server.properties 配置文件中，以在 Kafka 中安装授权器：

   authorizer.class.name=io.strimzi.kafka.oauth.server.authorizer.KeycloakAuthorizer
   principal.builder.class=io.strimzi.kafka.oauth.server.OAuthKafkaPrincipalBuilder

5. 为 Kafka 代理添加配置以访问授权服务器和授权服务。

   在此我们显示作为额外属性添加到 server.properties 的示例配置，但您也可以使用大写或大写的命名规则将它们定义为环境变量。

   strimzi.authorization.token.endpoint.uri="https://<auth_server_address>/auth/realms/REALM-NAME/protocol/openid-connect/token" 1
   strimzi.authorization.client.id="kafka" 2

   1

   到 Red Hat Single Sign-On 的 OAuth 2.0 令牌端点 URL。对于生产环境，请始终使用 https:// urls。

   2

   在启用了授权服务的 Red Hat Single Sign-On 中 OAuth 2.0 客户端定义的客户端 ID。通常，kafka 被用作 ID。

6. （可选）为特定 Kafka 集群添加配置。

   例如：

   strimzi.authorization.kafka.cluster.name="kafka-cluster" 1

   1

   特定 Kafka 集群的名称。名称用于目标权限，因此可以在同一 Red Hat Single Sign-On 域中管理多个集群。默认值为 kafka-cluster。

7. （可选）与简单授权决定：

   strimzi.authorization.delegate.to.kafka.acl="true" 1

   1

   如果 Red Hat Single Sign-On Authorization Services 策略无法访问，将授权委派给 Kafka AclAuthorizer。默认值为 false。

8. （可选）将 TLS 连接的配置添加到授权服务器。

   例如：

   strimzi.authorization.ssl.truststore.location=<path_to_truststore> 1
   strimzi.authorization.ssl.truststore.password=<my_truststore_password> 2
   strimzi.authorization.ssl.truststore.type=JKS 3
   strimzi.authorization.ssl.secure.random.implementation=SHA1PRNG 4
   strimzi.authorization.ssl.endpoint.identification.algorithm=HTTPS 5

   1

   包含证书的信任存储的路径。

   2

   truststore 的密码。

   3

   truststore 类型。如果没有设置，则使用默认的 Java 密钥存储类型。

   4

   随机数生成器实施。如果没有设置，则使用 Java platform SDK 默认。

   5

   主机名验证。如果设置为空字符串，则会关闭主机名验证。如果没有设置，则默认值为 HTTPS，它会强制对服务器证书进行主机名验证。

9. （可选）配置从授权服务器刷新授权。授予刷新作业的工作原理，方法是枚举活跃的令牌并请求每个令牌的最新授权。

   例如：

   strimzi.authorization.grants.refresh.period.seconds="120" 1
   strimzi.authorization.grants.refresh.pool.size="10" 2
   strimzi.authorization.grants.max.idle.time.seconds="300" 3
   strimzi.authorization.grants.gc.period.seconds="300" 4
   strimzi.authorization.reuse.grants="false" 5

   1

   指定授权服务器的授予的频率（默认为每分钟一次）。要关闭刷新以进行调试，请将 设置为 "0"。

   2

   指定授予刷新作业使用的线程池大小（并行级别）。默认值为 "5"。

   3

   缓存中闲置授权的时间（以秒为单位）。默认值为 300。

   4

   连续运行作业之间的时间（以秒为单位）。默认值为 300。

   5

   控制是否为新会话获取最新的授权。禁用后，从 Red Hat Single Sign-On 检索并缓存该用户的权限。默认值为 true。

10. （可选）在与授权服务器通信时配置网络超时。

    例如：

    strimzi.authorization.connect.timeout.seconds="60" 1
    strimzi.authorization.read.timeout.seconds="60" 2
    strimzi.authorization.http.retries="2" 3

    1

    连接到 Red Hat Single Sign-On 令牌端点时的连接超时（以秒为单位）。默认值为 60。

    2

    连接到 Red Hat Single Sign-On 令牌端点时读取超时（以秒为单位）。默认值为 60。

    3

    重新尝试（不暂停）授权服务器的 HTTP 请求失败的次数上限。默认值为 0， 表示不会执行重试。要有效地使用这个选项，请考虑减少 strimzi.authorization.connect.timeout.seconds 和 strimzi.authorization.read.timeout.seconds 选项的超时时间。但请注意，重试可能会阻止当前 worker 线程可用于其他请求，如果太多请求停滞，则可能会导致 Kafka 代理无响应。

11. （可选）为令牌验证和授权启用 OAuth 2.0 指标：

    oauth.enable.metrics="true" 1

    1

    控制是否启用或禁用 OAuth 指标。默认值为 false。

12. （可选）从请求中删除 Accept 标头：

    oauth.include.accept.header="false" 1

    1

    如果包含标头在与授权服务器通信时导致问题，则设置为 false。默认值为 true。

13. 通过以客户端或具有特定角色的用户访问 Kafka 代理来验证配置的权限，确保它们具有必要的访问权限，或者没有应该具有访问权限。