使用 OAUTH2 保护单个 kafka 主题

Question

我需要能够在每个主题的基础上为大型 Kafka 实施实施安全性（更具体地说是授权）。理想情况下，我想使用 OAUTH2（client_credentials 流），但是从阅读文档（Confluent 和 Apache，以及第三方供应商）看来，主题的授权只能在全球范围内完成。换句话说，Kafka OAUTH2 安全性在其配置中使用单个范围，这是访问任何/所有主题所必需的。相反，我需要为每个单独的主题申请不同的授权范围。

是否有记录在案的方法（也许我在 Kafka 文档中遗漏了它）或者是否有第三方开箱即用？

另一种选择是，我可以在主题前配置微服务外观（即，在使用或发布消息之前在微服务中进行 OAUTH2 范围验证）。这是一个合理的方法吗？

Answer 1

这一切听起来都是可能的，但您需要实现一些东西：

• 自定义授权人

  授权逻辑可通过authorizer.class.name 设置插入，它允许您提供Authorizer 接口的实现。

  这个类会在Kafka处理请求时被调用，详情见http://kafka.apache.org/documentation/#operations_resources_and_protocols。

  在这个类中，您可以使用您想要执行授权的任何逻辑。您将获得描述用户的Principal 和要检查的权限列表。

• 自定义 OAuth 回调/主体生成器

  不完全确定内置 OAuth 身份验证器的功能。如果它不能处理多个作用域，您需要实现自己的AuthenticateCallbackHandler。如果你想让作用域在Authorizer 中可用，你可能还需要一个自定义的KafkaPrincipalBuilder，所以作用域存储在Principal 中。

这些是高级指南，因为考虑到这需要许多自定义部件，因此很难更详细。希望这足以让您知道该怎么做。