Pulsar Token身份验证
一 Token身份验证概述
Pulsar支持使用基于JSON Web Tokens（RFC-7519）的安全令牌对客户端进行身份验证。
Tokens用于标识Pulsar客户端，并与角色关联，这些角色随后将被授予执行某些操作的权限（例如：发布或使用某个主题）。
管理员通常会给客户端一个令牌字符串用于连接时使用。
JWT支持两种不同的密钥来生成和效验令牌
1 对称密钥
有一个密钥用于生成令牌和效验
2 非对称密钥，有一对密钥，私钥和公钥
私钥用于生成令牌
公钥用于生成效验
二 验证 首先成生超级管理员令牌
以下使用 对称密钥 例子验证(Pulsar2.4.2版本)
1 创建密钥
$ bin/pulsar tokens create-secret-key --output my-secret.ke
生成base64编码的私钥
$ bin/pulsar tokens create-secret-key --output /data/apache-pulsar-2.4.2/my-secret.key --base64
2 生成令牌(注：首先生成 superUserRoles 角色令牌)
令牌是与用户关联的凭据,关联是通过角色"来完成的。
以下命令是给 test-user 角色生成令牌
bin/pulsar tokens create --secret-key file:///data/apache-pulsar-2.4.2/my-secret.key \
--subject test-user
执行此命令后，屏目上会输出此角色令牌,记录此令牌，后边客户端配置会用到。
假设生成令牌：eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw
3 Brokers启用令牌身份验证
配置broker.conf
authenticationEnabled=true
authorizationEnabled=true
authenticationProviders=org.apache.pulsar.broker.authentication.AuthenticationProviderToken
tokenSecretKey=file:///data/apache-pulsar-2.4.2/my-secret.key
#超级用户角色,拥有最高权限,多个使用逗号隔开
superUserRoles=test-user
brokerClientAuthenticationPlugin=org.apache.pulsar.client.impl.auth.AuthenticationToken
brokerClientAuthenticationParameters=token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw
4 重新启动Broker后,此时Broker服务已启动Token身份验证
执行$ pulsar-admin tenants list命令会提示没有权限。
5 配置client.conf 使用命令行工具有权限使用
authPlugin=org.apache.pulsar.client.impl.auth.AuthenticationToken
#此处配置的令牌是上边成生的超级管理员令牌
authParams=token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw
6 重新启动Broker后,命令行工具可以正常使用
7 java 客户端验证
PulsarClient client = PulsarClient.builder()
.serviceUrl("pulsar://192.168.1.48:6650/")
.authentication( AuthenticationFactory.token("eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw") .build();
三 生成一般用户令牌,给客户端使用
1 生成一个新角色(test-user1)令牌
bin/pulsar tokens create --secret-key file:///data/apache-pulsar-2.4.2/my-secret.key \
--subject test-user1
假设计成生的令牌是(eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIxIn0.HHpjQYfqqdUSN_iAw79qjsPqHyPFvscvGUANvjQNEOo)
2 授权
bin/pulsar-admin namespaces grant-permission my-tenant/my-namespace \
--role test-user1 \
--actions produce,consume
3 JAVA 客户端验证,发送消息或接收消息正常说明成功
PulsarClient client = PulsarClient.builder()
.serviceUrl("pulsar://192.168.1.48:6650/")
.authentication( AuthenticationFactory.token("eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIxIn0.HHpjQYfqqdUSN_iAw79qjsPqHyPFvscvGUANvjQNEOo") .build();
