第16章 TLS 証明書の管理

暗号化をサポートするには、Streams for Apache Kafka の各コンポーネントに独自の秘密鍵と公開鍵証明書が必要です。すべてのコンポーネント証明書は、クラスター CA と呼ばれる内部認証局 (CA) により署名されます。

認証局 (CA) 証明書は、コンポーネントとクライアントの ID 検証に Cluster Operator によって生成されます。

同様に、mTLS を使用して Streams for Apache Kafka に接続する各 Kafka クライアントアプリケーションでは、秘密鍵と証明書を使用する必要があります。クライアント CA という第 2 の内部 CA を使用して、Kafka クライアントの証明書に署名します。

クラスター CA とクライアント CA の両方には、自己署名の公開鍵証明書があります。

Kafka ブローカーは、クラスター CA またはクライアント CA のいずれかが署名した証明書を信頼するように設定されます。クライアントによる接続が不要なコンポーネント (ZooKeeper など) のみが、クラスター CA によって署名された証明書を信頼します。外部リスナーの TLS 暗号化が無効でない限り、クライアントアプリケーションはクラスター CA により署名された証明書を必ず信頼する必要があります。これは、mTLS 認証を実行するクライアントアプリケーションにも当てはまります。

デフォルトでは、Streams for Apache Kafka は、クラスター CA またはクライアント CA によって発行された CA 証明書を自動的に生成および更新します。Kafka.spec.clusterCa プロパティーと Kafka.spec.clientsCa プロパティーを使用して、これらの CA 証明書の管理を設定できます。