第16章 Kafka クラスターへのアクセスのセキュア化

手順

1. networkPolicyPeers プロパティーを設定して、Kafka クラスターへのアクセスを許可するアプリケーション Pod または namespace を定義します。

   この例では、kafka-client に設定されたラベル app を持つアプリケーション Pod からの接続のみを許可する tls リスナーの設定を示します。

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   spec:
     kafka:
       # ...
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
           networkPolicyPeers:
             - podSelector:
                 matchLabels:
                   app: kafka-client
       # ...
     zookeeper:
       # ...

   Copy to Clipboard Toggle word wrap
2. Kafka リソース設定に変更を適用します。

手順

1. 秘密鍵およびサーバー証明書が含まれる Secret を作成します。

   oc create secret generic <my_secret> --from-file=<my_listener_key.key> --from-file=<my_listener_certificate.crt>

   Copy to Clipboard Toggle word wrap

2. クラスターの Kafka リソースを編集します。

   Secret、証明書ファイル、および秘密鍵ファイルを使用するように、リスナーを configuration.brokerCertChainAndKey プロパティーで設定します。

   TLS 暗号化が有効な loadbalancer 外部リスナーの設定例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: external3
       port: 9094
       type: loadbalancer
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   Copy to Clipboard Toggle word wrap

   TLS リスナーの設定例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: tls
       port: 9093
       type: internal
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   Copy to Clipboard Toggle word wrap

3. Kafka リソース設定に変更を適用します。

   Cluster Operator は、Kafka クラスターのローリング更新を開始し、これによりリスナーの設定が更新されます。

   注記

   リスナーによってすでに使用されている Secret の Kafka リスナー証明書を更新した場合でも、ローリング更新が開始されます。