apache-pulsar - Apache Pulsar 未经授权验证关于主题的操作 [WRITE] 的 TopicPolicyOperation

Question

我们一直在尝试在我们的 2.8.1 Apache Pulsar 集群上添加 JWT 身份验证，它似乎工作正常，但权限除外。所以基本上，我们现在的状态是:

• 没有 token ，客户端会收到 401
• 使用 token ，它可以访问但在生产或消费时遇到问题，所以我们添加了这个:

./bin/pulsar-admin --admin-url https://pulsar-xxx-broker.pulsar-xx.svc.cluster.local:8443 --auth-plugin org.apache.pulsar.client.impl.auth.AuthenticationToken --auth-params file:///pulsar/tokens/broker/token namespaces grant-permission "xxx-dev-FR/lol"-- role pulsar-token- --actions produce,consume

更好的是，命名空间的权限似乎非常简单，只允许消费、生产才能看到代码。但是后来我们遇到了那个错误:

org.apache.pulsar.client.admin.PulsarAdminException$NotAuthorizedException: 未授权验证主题策略操作 [WRITE] 主题 [persistent://xxx-dev-FR/ns-common-0.8.0/workflow-tag-新:com.xxx.xxx.commons.engine.workflow.xxxEngine] 策略 [PARTITION]

显然我们需要更多权限，因此我们考虑在创建租户时添加管理员角色，这就是我们所做的，但不幸的是，它并没有更好。

Pulsar permissions schema

我在这里错过了什么吗？

非常感谢。

亲

Answer 1

@Kin，从你的例子来看，你似乎在一个命名空间 xxx-dev-FR/lol 上授予了权限，但随后试图在不同的命名空间 xxx-dev-FR 中使用主题/ns-common-0.8.0.