TCF (0.9.0): tokens for gateway&destination API access

[xuniq]

GH repo: https://github.com/tarantool/cluster-federation
Dev ticket in Jira: https://jira.vk.team/browse/TNTP-88 https://jira.vk.team/browse/TNTP-303
Since: 0.9.0
Root documents:

• https://www.tarantool.io/ru/clustersfederation/doc/latest/admin_guide/
• https://www.tarantool.io/ru/clustersfederation/doc/latest/references/http_reference_tcf_replicator/

SME: @ DifferentialOrange @ oleg-jukovec @ themilchenko

Details

[DerekBum]

Для того, чтобы включить авторизацию на HTTP API gateway/destination, необходимо добавить поле authorization в конфиг gateway/destination:

gateway:
  authorization:
    provider: keycloak
    provider_params:
      url: "https://keycloak.example.com/"
      roles:
        info: ORDERDB_TCF_INFO     -- default TCF_INFO
        toggle: ORDERDB_TCF_TOGGLE -- default TCF_TOGGLE
        admin: ORDERDB_TCF_ADMIN   -- default TCF_ADMIN
      ssl:
        ca_file: "/etc/ssl/certs/keycloak-ca.pem"
        cert_file: "/etc/ssl/certs/client.pem"
        key_file: "/etc/ssl/private/client-key.pem"

destination:
  authorization:
    provider: keycloak
    provider_params:
      url: "https://keycloak.example.com/"
      roles:
        info: ORDERDB_TCF_INFO     -- default TCF_INFO
        toggle: ORDERDB_TCF_TOGGLE -- default TCF_TOGGLE
        admin: ORDERDB_TCF_ADMIN   -- default TCF_ADMIN
      ssl:
        ca_file: "/etc/ssl/certs/keycloak-ca.pem"
        cert_file: "/etc/ssl/certs/client.pem"
        key_file: "/etc/ssl/private/client-key.pem"

Для того, чтобы влючить авторизацию на HTTP API worker, необходимо добавить поле authorization в конфиг tcf-worker:

roles_cfg:
  roles.tcf-worker:
    authorization:
      provider: keycloak
      provider_params:
        url: "https://keycloak.example.com/"
        roles:
          info: ORDERDB_TCF_INFO     -- default TCF_INFO
          toggle: ORDERDB_TCF_TOGGLE -- default TCF_TOGGLE
          admin: ORDERDB_TCF_ADMIN   -- default TCF_ADMIN
        ssl:
          ca_file: "/etc/ssl/certs/keycloak-ca.pem"
          cert_file: "/etc/ssl/certs/client.pem"
          key_file: "/etc/ssl/private/client-key.pem"

Или в случае работы с Cartridge:

cluster_federation:
  authorization:
    provider: keycloak
    provider_params:
      url: "https://keycloak.example.com/"
      roles:
        info: ORDERDB_TCF_INFO     -- default TCF_INFO
        toggle: ORDERDB_TCF_TOGGLE -- default TCF_TOGGLE
        admin: ORDERDB_TCF_ADMIN   -- default TCF_ADMIN
      ssl:
        ca_file: "/etc/ssl/certs/keycloak-ca.pem"
        cert_file: "/etc/ssl/certs/client.pem"
        key_file: "/etc/ssl/private/client-key.pem"

• provider -- имя провайдера для авторизации запросов. На данный момент поддерживается только keycloak.
• provider_params -- параметры, необходимые для работы провайдера:
  • provider_params.url -- URL сервера Keycloak.
  • provider_params.ssl -- описывает параметры для TLS на HTTP API Keycloak.
  • provider_params.roles -- список с соответствием ролей из Keycloak и правил авторизации на конкретной компоненте TCF. У них есть дефолтные значения (приведены в комментариях).

Мы ожидаем три роли:

1. info (чтение статусов кластеров и метрик). Дает доступ к ручкам: /tcf/status, /tcf/is_active, /tcf/clusters (worker) и /api/v1/status (destination).
2. toggle (управление репликацией, но не rebootstrap). Дает доступ ко всем ручкам, кроме /api/v1/rebootstrap (destination).
3. admin (полный доступ ко всем ручкам, включая rebootstrap). Дает доступ ко всем ручкам без исключений.

[DerekBum]

У TCF существуют внутренние запросы из worker на HTTP API gateway/destination. Они используются при заполненных полях gateway или destination конфига worker.

Для того, чтобы запросы корректно составлялись при включенной авторизации, нужно дополнительно заполнить следующие поля конфига worker:

roles_cfg:
  roles.tcf-worker:
    authorization:
      provider: keycloak
      provider_params:
        client_id: "client"
        client_secret_path: "/path/to/file"
        realm: "myrealm" 

Или в случае работы с Cartridge:

cluster_federation:
  authorization:
    provider: keycloak
    provider_params:
      client_id: "client"
      client_secret_path: "/path/to/file"
      realm: "myrealm" 

Нужно создать конфиденциального клиента с включенным сервис аккаунтом (serviceAccountsEnabled=true) и имеющего toggle роль или выше. Через этого клиента будут выписываться токены для обращения worker к gateway/destination.

• client_id -- имя сервисного клиента.
• client_secret_path -- путь до файла с секретом клиента. Так как вписывать секрет в конфиг не безопасно, то надо создать текстовый файл с секретом внутри. Путь до этого файла нужно записать в данном поле.
• realm -- имя realm, в котором создан сервисный клиент.