4.9. 암호화 및 인증

프로세스

1. 클러스터의 모든 Kafka 브로커에 대한 TLS 인증서를 생성합니다. 인증서에는 일반 이름 또는 주체 대체 이름에 광고 및 부트스트랩 주소가 있어야 합니다.

2. 다음을 위해 모든 클러스터 노드에서 /opt/kafka/config/server.properties Kafka 구성 파일을 편집합니다.

   • listener.security.protocol.map 필드를 변경하여 TLS 암호화를 사용하려는 리스너의 SSL 프로토콜을 지정합니다.
   • 브로커 인증서와 함께 JKS 키 저장소의 경로로 ssl.keystore.location 옵션을 설정합니다.

   • ssl.keystore.password 옵션을 키 저장소를 보호하는 데 사용한 암호로 설정합니다.

     예를 들면 다음과 같습니다.

     listeners=UNENCRYPTED://:9092,ENCRYPTED://:9093,REPLICATION://:9094
     listener.security.protocol.map=UNENCRYPTED:PLAINTEXT,ENCRYPTED:SSL,REPLICATION:PLAINTEXT
     ssl.keystore.location=/path/to/keystore/server-1.jks
     ssl.keystore.password=123456

     Copy to Clipboard Toggle word wrap
3. Kafka 브로커 시작

프로세스

1. 사용자 인증서에 서명하는 데 사용되는 인증 기관의 공개 키가 포함된 JKS 신뢰 저장소를 준비합니다.

2. 다음을 위해 모든 클러스터 노드에서 /opt/kafka/config/server.properties Kafka 구성 파일을 편집합니다.

   • 사용자 인증서의 인증 기관이 있는 JKS 신뢰 저장소 경로로 ssl.truststore.location 옵션을 설정합니다.
   • ssl.truststore.password 옵션을 신뢰 저장소를 보호하는 데 사용한 암호로 설정합니다.

   • ssl.client.auth 옵션을 required 로 설정합니다.

     예를 들면 다음과 같습니다.

     ssl.truststore.location=/path/to/truststore.jks
     ssl.truststore.password=123456
     ssl.client.auth=required

     Copy to Clipboard Toggle word wrap
3. Kafka 브로커 시작

프로세스

1. /opt/kafka/config/jaas.conf JAAS 구성 파일을 편집하거나 만듭니다. 이 파일에는 모든 사용자와 암호가 포함되어야 합니다. 이 파일이 모든 Kafka 브로커에서 동일한지 확인합니다.

   예를 들면 다음과 같습니다.

   KafkaServer {
       org.apache.kafka.common.security.plain.PlainLoginModule required
       user_admin="123456"
       user_user1="123456"
       user_user2="123456";
   };

   Copy to Clipboard Toggle word wrap

2. 다음을 위해 모든 클러스터 노드에서 /opt/kafka/config/server.properties Kafka 구성 파일을 편집합니다.

   • SASL PLAIN 인증을 사용하려는 리스너의 SASL_PLAINTEXT 또는 SASL_SSL 프로토콜을 지정하도록 listener.security.protocol.map 필드를 변경합니다.

   • sasl.enabled.mechanisms 옵션을 PLAIN 으로 설정합니다.

     예를 들면 다음과 같습니다.

     listeners=INSECURE://:9092,AUTHENTICATED://:9093,REPLICATION://:9094
     listener.security.protocol.map=INSECURE:PLAINTEXT,AUTHENTICATED:SASL_PLAINTEXT,REPLICATION:PLAINTEXT
     sasl.enabled.mechanisms=PLAIN

     Copy to Clipboard Toggle word wrap

3. (re) KAFKA_OPTS 환경 변수를 사용하여 Kafka 브로커를 시작하여 JAAS 구성을 Kafka 브로커에 전달합니다.

   su - kafka
   export KAFKA_OPTS="-Djava.security.auth.login.config=/opt/kafka/config/jaas.conf"; /opt/kafka/bin/kafka-server-start.sh -daemon /opt/kafka/config/server.properties

   Copy to Clipboard Toggle word wrap

프로세스

1. /opt/kafka/config/jaas.conf JAAS 구성 파일을 편집하거나 만듭니다. KafkaServer 컨텍스트에 대해 ScramLoginModule 을 활성화합니다. 이 파일이 모든 Kafka 브로커에서 동일한지 확인합니다.

   예를 들면 다음과 같습니다.

   KafkaServer {
       org.apache.kafka.common.security.scram.ScramLoginModule required;
   };

   Copy to Clipboard Toggle word wrap

2. 다음을 위해 모든 클러스터 노드에서 /opt/kafka/config/server.properties Kafka 구성 파일을 편집합니다.

   • SASL SCRAM 인증을 사용하려는 리스너의 SASL_PLAINTEXT 또는 SASL_SSL 프로토콜을 지정하도록 listener.security.protocol.map 필드를 변경합니다.

   • sasl.enabled.mechanisms 옵션을 SCRAM-SHA-256 또는 SCRAM-SHA-512 로 설정합니다.

     예를 들면 다음과 같습니다.

     listeners=INSECURE://:9092,AUTHENTICATED://:9093,REPLICATION://:9094
     listener.security.protocol.map=INSECURE:PLAINTEXT,AUTHENTICATED:SASL_PLAINTEXT,REPLICATION:PLAINTEXT
     sasl.enabled.mechanisms=SCRAM-SHA-512

     Copy to Clipboard Toggle word wrap

3. (re) KAFKA_OPTS 환경 변수를 사용하여 Kafka 브로커를 시작하여 JAAS 구성을 Kafka 브로커에 전달합니다.

   su - kafka
   export KAFKA_OPTS="-Djava.security.auth.login.config=/opt/kafka/config/jaas.conf"; /opt/kafka/bin/kafka-server-start.sh -daemon /opt/kafka/config/server.properties

   Copy to Clipboard Toggle word wrap