14.7. OpenShift ルートを使用した Kafka へのアクセス

手順

1. 外部リスナーを route タイプに設定した Kafka リソースを設定します。

   以下に例を示します。

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     labels:
       app: my-cluster
     name: my-cluster
     namespace: myproject
   spec:
     kafka:
       # ...
       listeners:
         - name: external1
           port: 9094
           type: route
           tls: true 1
           authentication:
             type: tls
           # ...
       # ...
     zookeeper:
       # ...

   1

   route タイプリスナーの場合、TLS 暗号化を有効にする必要があります (true)。

2. リソースを作成または更新します。

   oc apply -f <kafka_configuration_file>

   kafka ブローカーの ID を確認するためのクラスター CA 証明書は、シークレットの my-cluster-cluster-ca-cert に作成されます。

   ClusterIP タイプサービスは、各 Kafka ブローカーと、外部のブートストラップサービスに対して作成されます。

   デフォルトの OpenShift HAProxy ルーターを使用してサービスを公開するための DNS アドレス (ホスト/ポート) を使用して、サービスごとに route も作成されます。

   ルートは、TLS パススルーで事前設定されています。

   ブートストラップとブローカー用に作成されたルート

   NAME                                  HOST/PORT                                                  SERVICES                              PORT  TERMINATION
   my-cluster-kafka-external1-0          my-cluster-kafka-external1-0-my-project.router.com         my-cluster-kafka-external1-0          9094  passthrough
   my-cluster-kafka-external1-1          my-cluster-kafka-external1-1-my-project.router.com         my-cluster-kafka-external1-1          9094  passthrough
   my-cluster-kafka-external1-2          my-cluster-kafka-external1-2-my-project.router.com         my-cluster-kafka-external1-2          9094  passthrough
   my-cluster-kafka-external1-bootstrap  my-cluster-kafka-external1-bootstrap-my-project.router.com my-cluster-kafka-external1-bootstrap  9094  passthrough

   クライアント接続に使用される DNS アドレスは、各ルートの status に伝播されます。

   ブートストラップルートのステータスの例

   status:
     ingress:
       - host: >-
           my-cluster-kafka-external1-bootstrap-my-project.router.com
    # ...

3. ターゲットブローカーを使用して、OpenSSL s_client を使用するポート 443 でクライアントサーバーの TLS 接続を確認します。

   openssl s_client -connect my-cluster-kafka-external1-0-my-project.router.com:443 -servername my-cluster-kafka-external1-0-my-project.router.com -showcerts

   サーバー名は、接続をブローカーに渡すための Server Name Indication (SNI) です。

   接続が成功すると、ブローカーの証明書が返されます。

   ブローカーの証明書

   Certificate chain
    0 s:O = io.strimzi, CN = my-cluster-kafka
      i:O = io.strimzi, CN = cluster-ca v0

4. Kafka リソースのステータスからブートストラップサービスのアドレスを取得します。

   oc get kafka my-cluster -o=jsonpath='{.status.listeners[?(@.name=="external1")].bootstrapServers}{"\n"}'
   
   my-cluster-kafka-external1-bootstrap-my-project.router.com:443

   アドレスは、Kafka クラスター名、リスナー名、プロジェクト名、およびルーターのドメイン (この例では router.com) で構成されます。

5. クラスター CA 証明書を抽出します。

   oc get secret my-cluster-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

6. ブローカーに接続するようにクライアントを設定します。

   1. Kafka クラスターに接続するためのブートストラップアドレスとして、Kafka クライアントでブートストラップサービスのアドレスとポート 443 を指定します。

   2. 抽出した証明書を Kafka クライアントのトラストストアに追加して、TLS 接続を設定します。

      クライアント認証メカニズムを有効にした場合は、クライアントでもそれを設定する必要があります。