PulsarToken身份验证-创新互联

一 Token身份验证概述

Pulsar支持使用基于JSON Web Tokens（RFC-7519）的安全令牌对客户端进行身份验证。

Tokens用于标识Pulsar客户端，并与角色关联，这些角色随后将被授予执行某些操作的权限（例如：发布或使用某个主题）。

管理员通常会给客户端一个令牌字符串用于连接时使用。

JWT支持两种不同的密钥来生成和效验令牌

1 对称密钥

有一个密钥用于生成令牌和效验

2 非对称密钥，有一对密钥，私钥和公钥

私钥用于生成令牌

公钥用于生成效验

二  验证 首先成生超级管理员令牌

以下使用 对称密钥 例子验证(Pulsar2.4.2版本)

1  创建密钥

$ bin/pulsar tokens create-secret-key --output my-secret.ke

生成base64编码的私钥

$ bin/pulsar tokens create-secret-key --output  /data/apache-pulsar-2.4.2/my-secret.key --base64

2 生成令牌(注：首先生成 superUserRoles 角色令牌)

令牌是与用户关联的凭据,关联是通过角色”来完成的。

以下命令是给 test-user 角色生成令牌

bin/pulsar tokens create --secret-key file:///data/apache-pulsar-2.4.2/my-secret.key \

--subject test-user

执行此命令后，屏目上会输出此角色令牌,记录此令牌，后边客户端配置会用到。

假设生成令牌：eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw

3 Brokers启用令牌身份验证

配置broker.conf

authenticationEnabled=true

authorizationEnabled=true

authenticationProviders=org.apache.pulsar.broker.authentication.AuthenticationProviderToken

tokenSecretKey=file:///data/apache-pulsar-2.4.2/my-secret.key

#超级用户角色,拥有高权限,多个使用逗号隔开

superUserRoles=test-user

brokerClientAuthenticationPlugin=org.apache.pulsar.client.impl.auth.AuthenticationToken

brokerClientAuthenticationParameters=token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw

4 重新启动Broker后,此时Broker服务已启动Token身份验证

执行$ pulsar-admin tenants list命令会提示没有权限。

5 配置client.conf 使用命令行工具有权限使用

authPlugin=org.apache.pulsar.client.impl.auth.AuthenticationToken

#此处配置的令牌是上边成生的超级管理员令牌

authParams=token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw

6 重新启动Broker后,命令行工具可以正常使用

7 java 客户端验证      

PulsarClient client = PulsarClient.builder()

.serviceUrl("pulsar://192.168.1.48:6650/")

.authentication(              AuthenticationFactory.token("eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIifQ.9OHgE9ZUDeBTZs7nSMEFIuGNEX18FLR3qvy8mqxSxXw") .build();

三 生成一般用户令牌,给客户端使用

1 生成一个新角色(test-user1)令牌               

bin/pulsar tokens create --secret-key file:///data/apache-pulsar-2.4.2/my-secret.key \

--subject test-user1

假设计成生的令牌是(eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIxIn0.HHpjQYfqqdUSN_iAw79qjsPqHyPFvscvGUANvjQNEOo)

2 授权

bin/pulsar-admin namespaces grant-permission my-tenant/my-namespace \

--role test-user1 \

--actions produce,consume

3 JAVA 客户端验证,发送消息或接收消息正常说明成功               

PulsarClient client = PulsarClient.builder()

.serviceUrl("pulsar://192.168.1.48:6650/")

.authentication(              AuthenticationFactory.token("eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0LXVzZXIxIn0.HHpjQYfqqdUSN_iAw79qjsPqHyPFvscvGUANvjQNEOo") .build();

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。