OpenShift에서 AMQ Streams 배포 및 관리

절차

1. AMQ Streams 설치 파일을 편집하여 Cluster Operator가 설치될 네임스페이스를 사용합니다.

   예를 들어 이 절차에서는 Cluster Operator가 my-cluster-operator-namespace 네임스페이스에 설치됩니다.

   Linux에서 다음을 사용합니다.

   sed -i 's/namespace: .*/namespace: my-cluster-operator-namespace/' install/cluster-operator/*RoleBinding*.yaml

   MacOS에서 다음을 사용합니다.

   sed -i '' 's/namespace: .*/namespace: my-cluster-operator-namespace/' install/cluster-operator/*RoleBinding*.yaml

2. Cluster Operator를 배포합니다.

   oc create -f install/cluster-operator -n my-cluster-operator-namespace

3. 배포 상태를 확인합니다.

   oc get deployments -n my-cluster-operator-namespace

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                      READY  UP-TO-DATE  AVAILABLE
   strimzi-cluster-operator  1/1    1           1

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. AVAILABLE 출력에 1 이 표시되면 배포가 성공적으로 수행됩니다.

절차

1. AMQ Streams 설치 파일을 편집하여 Cluster Operator가 설치될 네임스페이스를 사용합니다.

   예를 들어 이 절차에서는 Cluster Operator가 my-cluster-operator-namespace 네임스페이스에 설치됩니다.

   Linux에서 다음을 사용합니다.

   sed -i 's/namespace: .*/namespace: my-cluster-operator-namespace/' install/cluster-operator/*RoleBinding*.yaml

   MacOS에서 다음을 사용합니다.

   sed -i '' 's/namespace: .*/namespace: my-cluster-operator-namespace/' install/cluster-operator/*RoleBinding*.yaml

2. install/cluster-operator/060-Deployment-strimzi-cluster-operator.yaml 파일을 편집하여 Cluster Operator가 STRIMZI_NAMESPACE 환경 변수를 조사하는 모든 네임스페이스 목록을 추가합니다.

   예를 들어, 이 절차에서 Cluster Operator는 watched-namespace-1 네임스페이스,watched-namespace-2,watched-namespace-3 을 확인합니다.

   apiVersion: apps/v1
   kind: Deployment
   spec:
     # ...
     template:
       spec:
         serviceAccountName: strimzi-cluster-operator
         containers:
         - name: strimzi-cluster-operator
           image: registry.redhat.io/amq-streams/strimzi-rhel8-operator:2.4.0
           imagePullPolicy: IfNotPresent
           env:
           - name: STRIMZI_NAMESPACE
             value: watched-namespace-1,watched-namespace-2,watched-namespace-3

3. 나열된 각 네임스페이스에 대해 RoleBindings 를 설치합니다.

   이 예제에서는 이 명령에서 watched-namespace 를 이전 단계에 나열된 네임스페이스로 교체하고 watched-namespace-1,watched-namespace-2,watched-namespace-3 에 대해 반복합니다.

   oc create -f install/cluster-operator/020-RoleBinding-strimzi-cluster-operator.yaml -n <watched_namespace>
   oc create -f install/cluster-operator/023-RoleBinding-strimzi-cluster-operator.yaml -n <watched_namespace>
   oc create -f install/cluster-operator/031-RoleBinding-strimzi-cluster-operator-entity-operator-delegation.yaml -n <watched_namespace>

4. Cluster Operator를 배포합니다.

   oc create -f install/cluster-operator -n my-cluster-operator-namespace

5. 배포 상태를 확인합니다.

   oc get deployments -n my-cluster-operator-namespace

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                      READY  UP-TO-DATE  AVAILABLE
   strimzi-cluster-operator  1/1    1           1

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. AVAILABLE 출력에 1 이 표시되면 배포가 성공적으로 수행됩니다.

절차

1. AMQ Streams 설치 파일을 편집하여 Cluster Operator가 설치될 네임스페이스를 사용합니다.

   예를 들어 이 절차에서는 Cluster Operator가 my-cluster-operator-namespace 네임스페이스에 설치됩니다.

   Linux에서 다음을 사용합니다.

   sed -i 's/namespace: .*/namespace: my-cluster-operator-namespace/' install/cluster-operator/*RoleBinding*.yaml

   MacOS에서 다음을 사용합니다.

   sed -i '' 's/namespace: .*/namespace: my-cluster-operator-namespace/' install/cluster-operator/*RoleBinding*.yaml

2. install/cluster-operator/060-Deployment-strimzi-cluster-operator.yaml 파일을 편집하여 STRIMZI_NAMESPACE 환경 변수 값을 * 로 설정합니다.

   apiVersion: apps/v1
   kind: Deployment
   spec:
     # ...
     template:
       spec:
         # ...
         serviceAccountName: strimzi-cluster-operator
         containers:
         - name: strimzi-cluster-operator
           image: registry.redhat.io/amq-streams/strimzi-rhel8-operator:2.4.0
           imagePullPolicy: IfNotPresent
           env:
           - name: STRIMZI_NAMESPACE
             value: "*"
           # ...

3. 모든 네임스페이스에 대한 클러스터 전체 액세스 권한을 Cluster Operator에 부여하는 ClusterRoleBindings 를 생성합니다.

   oc create clusterrolebinding strimzi-cluster-operator-namespaced --clusterrole=strimzi-cluster-operator-namespaced --serviceaccount my-cluster-operator-namespace:strimzi-cluster-operator
   oc create clusterrolebinding strimzi-cluster-operator-watched --clusterrole=strimzi-cluster-operator-watched --serviceaccount my-cluster-operator-namespace:strimzi-cluster-operator
   oc create clusterrolebinding strimzi-cluster-operator-entity-operator-delegation --clusterrole=strimzi-entity-operator --serviceaccount my-cluster-operator-namespace:strimzi-cluster-operator

4. OpenShift 클러스터에 Cluster Operator를 배포합니다.

   oc create -f install/cluster-operator -n my-cluster-operator-namespace

5. 배포 상태를 확인합니다.

   oc get deployments -n my-cluster-operator-namespace

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                      READY  UP-TO-DATE  AVAILABLE
   strimzi-cluster-operator  1/1    1           1

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. AVAILABLE 출력에 1 이 표시되면 배포가 성공적으로 수행됩니다.

절차

1. 임시 또는 영구 클러스터를 생성하고 배포합니다.

   • 임시 클러스터를 생성하고 배포하려면 다음을 수행합니다.

     oc apply -f examples/kafka/kafka-ephemeral.yaml

   • 영구 클러스터를 생성하고 배포하려면 다음을 수행합니다.

     oc apply -f examples/kafka/kafka-persistent.yaml

2. 배포 상태를 확인합니다.

   oc get pods -n <my_cluster_operator_namespace>

   출력에는 Pod 이름과 준비 상태가 표시됩니다.

   NAME                        READY   STATUS    RESTARTS
   my-cluster-entity-operator  3/3     Running   0
   my-cluster-kafka-0          1/1     Running   0
   my-cluster-kafka-1          1/1     Running   0
   my-cluster-kafka-2          1/1     Running   0
   my-cluster-zookeeper-0      1/1     Running   0
   my-cluster-zookeeper-1      1/1     Running   0
   my-cluster-zookeeper-2      1/1     Running   0

   my-cluster 는 Kafka 클러스터의 이름입니다.

   0 으로 시작하는 순차적 인덱스 번호는 생성된 각 Kafka 및 ZooKeeper Pod를 식별합니다.

   기본 배포를 사용하면 Entity Operator 클러스터, Kafka Pod 3개 및 3 ZooKeeper Pod를 생성합니다.

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. STATUS 가 Running 으로 표시되면 배포가 성공적으로 수행됩니다.

절차

1. topicOperator 를 포함하도록 Kafka 리소스의 entityOperator 속성을 편집합니다.

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
   spec:
     #...
     entityOperator:
       topicOperator: {}
       userOperator: {}

2. EntityTopicOperatorSpec 스키마 참조에 설명된 속성을 사용하여 Topic Operator 사양 을 구성합니다.

   모든 속성이 기본값을 사용하려면 빈 오브젝트({})를 사용합니다.

3. 리소스를 생성하거나 업데이트합니다.

   oc apply -f <kafka_configuration_file>

4. 배포 상태를 확인합니다.

   oc get pods -n <my_cluster_operator_namespace>

   출력에 Pod 이름과 준비 상태가 표시됩니다.

   NAME                        READY   STATUS    RESTARTS
   my-cluster-entity-operator  3/3     Running   0
   # ...

   my-cluster 는 Kafka 클러스터의 이름입니다.

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. STATUS 가 Running 으로 표시되면 배포가 성공적으로 수행됩니다.

절차

1. userOperator 를 포함하도록 Kafka 리소스의 entityOperator 속성을 편집합니다.

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     name: my-cluster
   spec:
     #...
     entityOperator:
       topicOperator: {}
       userOperator: {}

2. EntityUserOperatorSpec 스키마 참조에 설명된 속성을 사용하여 User Operator 사양 을 구성합니다.

   모든 속성이 기본값을 사용하려면 빈 오브젝트({})를 사용합니다.

3. 리소스를 생성하거나 업데이트합니다.

   oc apply -f <kafka_configuration_file>

4. 배포 상태를 확인합니다.

   oc get pods -n <my_cluster_operator_namespace>

   출력에 Pod 이름과 준비 상태가 표시됩니다.

   NAME                        READY   STATUS    RESTARTS
   my-cluster-entity-operator  3/3     Running   0
   # ...

   my-cluster 는 Kafka 클러스터의 이름입니다.

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. STATUS 가 Running 으로 표시되면 배포가 성공적으로 수행됩니다.

절차

1. OpenShift 클러스터에 Kafka Connect를 배포합니다. examples/connect/kafka-connect.yaml 파일을 사용하여 Kafka Connect를 배포합니다.

   oc apply -f examples/connect/kafka-connect.yaml

2. 배포 상태를 확인합니다.

   oc get pods -n <my_cluster_operator_namespace>

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                                 READY  STATUS   RESTARTS
   my-connect-cluster-connect-<pod_id>  1/1    Running  0

   my-connect-cluster 는 Kafka Connect 클러스터의 이름입니다.

   Pod ID는 생성된 각 Pod를 식별합니다.

   기본 배포를 통해 단일 Kafka Connect Pod를 생성합니다.

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. STATUS 가 Running 으로 표시되면 배포가 성공적으로 수행됩니다.

절차

1. Kafka MirrorMaker를 OpenShift 클러스터에 배포합니다.

   MirrorMaker의 경우:

   oc apply -f examples/mirror-maker/kafka-mirror-maker.yaml

   MirrorMaker 2의 경우

   oc apply -f examples/mirror-maker/kafka-mirror-maker-2.yaml

2. 배포 상태를 확인합니다.

   oc get pods -n <my_cluster_operator_namespace>

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                                    READY  STATUS   RESTARTS
   my-mirror-maker-mirror-maker-<pod_id>   1/1    Running  1
   my-mm2-cluster-mirrormaker2-<pod_id>    1/1    Running  1

   my-mirror-maker 는 Kafka MirrorMaker 클러스터의 이름입니다. my-mm2-cluster 는 Kafka MirrorMaker 2 클러스터의 이름입니다.

   Pod ID는 생성된 각 Pod를 식별합니다.

   기본 배포를 사용하면 단일 MirrorMaker 또는 MirrorMaker 2 pod를 설치합니다.

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. STATUS 가 Running 으로 표시되면 배포가 성공적으로 수행됩니다.

절차

1. OpenShift 클러스터에 Kafka 브리지를 배포합니다.

   oc apply -f examples/bridge/kafka-bridge.yaml

2. 배포 상태를 확인합니다.

   oc get pods -n <my_cluster_operator_namespace>

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                       READY  STATUS   RESTARTS
   my-bridge-bridge-<pod_id>  1/1    Running  0

   my-bridge 는 Kafka 브리지 클러스터의 이름입니다.

   Pod ID는 생성된 각 Pod를 식별합니다.

   기본 배포를 사용하면 단일 Kafka 브리지 Pod를 설치합니다.

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. STATUS 가 Running 으로 표시되면 배포가 성공적으로 수행됩니다.

절차

1. OpenShift 클러스터에 있는 포드 이름을 나열합니다.

   oc get pods -o name
   
   pod/kafka-consumer
   # ...
   pod/my-bridge-bridge-<pod_id>

2. 포트 8080 의 Kafka 브리지 Pod에 연결합니다.

   oc port-forward pod/my-bridge-bridge-<pod_id> 8080:8080 &

   참고

   로컬 시스템의 8080 포트가 이미 사용 중인 경우 8008 과 같은 대체 HTTP 포트를 사용합니다.

절차

1. install/topic-operator/05-Deployment-strimzi-topic-operator.yaml 독립 실행형 배포 파일에서 env 속성을 편집합니다.

   독립 실행형 주제 Operator 배포 구성의 예

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: strimzi-topic-operator
     labels:
       app: strimzi
   spec:
     # ...
     template:
       # ...
       spec:
         # ...
         containers:
           - name: strimzi-topic-operator
             # ...
             env:
               - name: STRIMZI_NAMESPACE 

   1

   
                 valueFrom:
                   fieldRef:
                     fieldPath: metadata.namespace
               - name: STRIMZI_KAFKA_BOOTSTRAP_SERVERS 

   2

   
                 value: my-kafka-bootstrap-address:9092
               - name: STRIMZI_RESOURCE_LABELS 

   3

   
                 value: "strimzi.io/cluster=my-cluster"
               - name: STRIMZI_ZOOKEEPER_CONNECT 

   4

   
                 value: my-cluster-zookeeper-client:2181
               - name: STRIMZI_ZOOKEEPER_SESSION_TIMEOUT_MS 

   5

   
                 value: "18000"
               - name: STRIMZI_FULL_RECONCILIATION_INTERVAL_MS 

   6

   
                 value: "120000"
               - name: STRIMZI_TOPIC_METADATA_MAX_ATTEMPTS 

   7

   
                 value: "6"
               - name: STRIMZI_LOG_LEVEL 

   8

   
                 value: INFO
               - name: STRIMZI_TLS_ENABLED 

   9

   
                 value: "false"
               - name: STRIMZI_JAVA_OPTS 

   10

   
                 value: "-Xmx=512M -Xms=256M"
               - name: STRIMZI_JAVA_SYSTEM_PROPERTIES 

   11

   
                 value: "-Djavax.net.debug=verbose -DpropertyName=value"
               - name: STRIMZI_PUBLIC_CA 

   12

   
                 value: "false"
               - name: STRIMZI_TLS_AUTH_ENABLED 

   13

   
                 value: "false"
               - name: STRIMZI_SASL_ENABLED 

   14

   
                 value: "false"
               - name: STRIMZI_SASL_USERNAME 

   15

   
                 value: "admin"
               - name: STRIMZI_SASL_PASSWORD 

   16

   
                 value: "password"
               - name: STRIMZI_SASL_MECHANISM 

   17

   
                 value: "scram-sha-512"
               - name: STRIMZI_SECURITY_PROTOCOL 

   18

   
                 value: "SSL"

   1

   KafkaTopic 리소스를 조사할 Topic Operator의 OpenShift 네임스페이스입니다. Kafka 클러스터의 네임스페이스를 지정합니다.

   2

   Kafka 클러스터의 모든 브로커를 검색하고 연결하는 부트스트랩 브로커 주소의 호스트 및 포트 쌍입니다. 서버가 중단된 경우 쉼표로 구분된 목록을 사용하여 두 개 또는 세 개의 브로커 주소를 지정합니다.

   3

   Topic Operator에서 관리하는 KafkaTopic 리소스를 식별하는 레이블입니다. Kafka 클러스터의 이름이 될 필요는 없습니다. KafkaTopic 리소스에 할당된 레이블일 수 있습니다. 둘 이상의 Topic Operator를 배포하는 경우 레이블은 각각에 대해 고유해야 합니다. 즉, Operator는 동일한 리소스를 관리할 수 없습니다.

   4

   ZooKeeper 클러스터에 연결할 주소의 호스트 및 포트 쌍입니다. Kafka 클러스터가 사용 중인 것과 동일한 ZooKeeper 클러스터여야 합니다.

   5

   ZooKeeper 세션 시간 초과(밀리초)입니다. 기본값은 18000 (18초)입니다.

   6

   정기적인 조정 간격(밀리초)입니다. 기본값은 120000 (2분)입니다.

   7

   Kafka에서 주제 메타데이터를 가져오는 시도 횟수입니다. 각 시도 사이의 시간은 지수 백오프로 정의됩니다. 파티션 또는 복제본 수로 인해 주제 생성에 시간이 더 걸리면 이 값을 늘리는 것이 좋습니다. 기본값은 6 번 시도입니다.

   8

   로깅 메시지를 출력하는 수준입니다. 수준을 ERROR,WARNING,INFO,DEBUG, TRACE 로 설정할 수 있습니다.

   9

   Kafka 브로커와의 암호화된 통신에 대한 TLS 지원을 활성화합니다.

   10

   (선택 사항) Topic Operator를 실행하는 JVM에서 사용하는 Java 옵션입니다.

   11

   (선택 사항) Topic Operator에 설정된 디버깅(-D) 옵션입니다.

   12

   (선택 사항) TLS가 STRIMZI_TLS_ENABLED 를 통해 활성화되는 경우 신뢰 저장소 인증서 생성에 영향을 미칩니다. 이 환경 변수가 활성화된 경우 브로커는 TLS 인증서에 신뢰할 수 있는 공개 인증 기관을 사용해야 합니다. 기본값은 false입니다.

   13

   (선택 사항) mTLS 인증을 위한 키 저장소 인증서를 생성합니다. 이 값을 false 로 설정하면 mTLS를 사용하여 Kafka 브로커에 대한 클라이언트 인증이 비활성화됩니다. 기본값은 true입니다.

   14

   (선택 사항) Kafka 브로커에 연결할 때 클라이언트 인증에 대해 SASL 지원을 활성화합니다. 기본값은 false입니다.

   15

   (선택 사항) 클라이언트 인증을 위한 SASL 사용자 이름입니다. STRIMZI_SASL_ENABLED 를 통해 SASL이 활성화된 경우에만 필수 항목입니다.

   16

   (선택 사항) 클라이언트 인증을 위한 SASL 암호입니다. STRIMZI_SASL_ENABLED 를 통해 SASL이 활성화된 경우에만 필수 항목입니다.

   17

   (선택 사항) 클라이언트 인증을 위한 SASL 메커니즘입니다. STRIMZI_SASL_ENABLED 를 통해 SASL이 활성화된 경우에만 필수 항목입니다. 값을 plain,scram-sha-256 또는 scram-sha-512 로 설정할 수 있습니다.

   18

   (선택 사항) Kafka 브로커와의 통신에 사용되는 보안 프로토콜입니다. 기본값은 "PLAINTEXT"입니다. 이 값을 PLAINTEXT,SSL,SASL_PLAINTEXT, SASL_SSL 로 설정할 수 있습니다.

2. 공개 인증 기관의 인증서를 사용하는 Kafka 브로커에 연결하려면 STRIMZI_ECDHELIC_CA 를 true 로 설정합니다. 이 속성을 true 로 설정합니다(예: Amazon AWS MSK 서비스를 사용하는 경우).

3. STRIMZI_TLS_ENABLED 환경 변수를 사용하여 mTLS를 활성화하면 Kafka 클러스터에 대한 연결을 인증하는 데 사용되는 키 저장소 및 신뢰 저장소를 지정합니다.

   mTLS 구성의 예

   # ....
   env:
     - name: STRIMZI_TRUSTSTORE_LOCATION 

   1

   
       value: "/path/to/truststore.p12"
     - name: STRIMZI_TRUSTSTORE_PASSWORD 

   2

   
       value: "TRUSTSTORE-PASSWORD"
     - name: STRIMZI_KEYSTORE_LOCATION 

   3

   
       value: "/path/to/keystore.p12"
     - name: STRIMZI_KEYSTORE_PASSWORD 

   4

   
       value: "KEYSTORE-PASSWORD"
   # ...

   1

   신뢰 저장소에는 Kafka 및 ZooKeeper 서버 인증서에 서명하는 데 사용되는 인증 기관의 공개 키가 포함되어 있습니다.

   2

   신뢰 저장소에 액세스하기 위한 암호입니다.

   3

   키 저장소에는 mTLS 인증을 위한 개인 키가 포함됩니다.

   4

   키 저장소에 액세스하기 위한 암호입니다.

4. Topic Operator를 배포합니다.

   oc create -f install/topic-operator

5. 배포 상태를 확인합니다.

   oc get deployments

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                    READY  UP-TO-DATE  AVAILABLE
   strimzi-topic-operator  1/1    1           1

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. AVAILABLE 출력에 1 이 표시되면 배포가 성공적으로 수행됩니다.

절차

1. install/user-operator/05-Deployment-strimzi-user-operator.yaml 독립 실행형 배포 파일에서 다음 env 속성을 편집합니다.

   독립 실행형 User Operator 배포 구성 예

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: strimzi-user-operator
     labels:
       app: strimzi
   spec:
     # ...
     template:
       # ...
       spec:
         # ...
         containers:
           - name: strimzi-user-operator
             # ...
             env:
               - name: STRIMZI_NAMESPACE 

   1

   
                 valueFrom:
                   fieldRef:
                     fieldPath: metadata.namespace
               - name: STRIMZI_KAFKA_BOOTSTRAP_SERVERS 

   2

   
                 value: my-kafka-bootstrap-address:9092
               - name: STRIMZI_CA_CERT_NAME 

   3

   
                 value: my-cluster-clients-ca-cert
               - name: STRIMZI_CA_KEY_NAME 

   4

   
                 value: my-cluster-clients-ca
               - name: STRIMZI_LABELS 

   5

   
                 value: "strimzi.io/cluster=my-cluster"
               - name: STRIMZI_FULL_RECONCILIATION_INTERVAL_MS 

   6

   
                 value: "120000"
               - name: STRIMZI_WORK_QUEUE_SIZE 

   7

   
                 value: 10000
               - name: STRIMZI_CONTROLLER_THREAD_POOL_SIZE 

   8

   
                 value: 10
               - name: STRIMZI_USER_OPERATIONS_THREAD_POOL_SIZE 

   9

   
                 value: 4
               - name: STRIMZI_LOG_LEVEL 

   10

   
                 value: INFO
               - name: STRIMZI_GC_LOG_ENABLED 

   11

   
                 value: "true"
               - name: STRIMZI_CA_VALIDITY 

   12

   
                 value: "365"
               - name: STRIMZI_CA_RENEWAL 

   13

   
                 value: "30"
               - name: STRIMZI_JAVA_OPTS 

   14

   
                 value: "-Xmx=512M -Xms=256M"
               - name: STRIMZI_JAVA_SYSTEM_PROPERTIES 

   15

   
                 value: "-Djavax.net.debug=verbose -DpropertyName=value"
               - name: STRIMZI_SECRET_PREFIX 

   16

   
                 value: "kafka-"
               - name: STRIMZI_ACLS_ADMIN_API_SUPPORTED 

   17

   
                 value: "true"
               - name: STRIMZI_MAINTENANCE_TIME_WINDOWS 

   18

   
                 value: '* * 8-10 * * ?;* * 14-15 * * ?'
               - name: STRIMZI_KAFKA_ADMIN_CLIENT_CONFIGURATION 

   19

   
                 value: |
                   default.api.timeout.ms=120000
                   request.timeout.ms=60000
               - name: STRIMZI_KRAFT_ENABLED 

   20

   
                 value: "false"

   1

   KafkaUser 리소스를 조사할 User Operator의 OpenShift 네임스페이스입니다. 하나의 네임스페이스만 지정할 수 있습니다.

   2

   Kafka 클러스터의 모든 브로커를 검색하고 연결하는 부트스트랩 브로커 주소의 호스트 및 포트 쌍입니다. 서버가 중단된 경우 쉼표로 구분된 목록을 사용하여 두 개 또는 세 개의 브로커 주소를 지정합니다.

   3

   mTLS 인증을 위해 새 사용자 인증서에 서명하는 CA(인증 기관)의 공개 키(ca.crt) 값이 포함된 OpenShift Secret 입니다.

   4

   mTLS 인증을 위해 새 사용자 인증서에 서명하는 CA의 개인 키(ca.key) 값이 포함된 OpenShift Secret

   5

   User Operator가 관리하는 KafkaUser 리소스를 식별하는 레이블입니다. Kafka 클러스터의 이름이 될 필요는 없습니다. KafkaUser 리소스에 할당된 레이블일 수 있습니다. 둘 이상의 User Operator를 배포하는 경우 레이블은 각각에 대해 고유해야 합니다. 즉, Operator는 동일한 리소스를 관리할 수 없습니다.

   6

   정기적인 조정 간격(밀리초)입니다. 기본값은 120000 (2분)입니다.

   7

   컨트롤러 이벤트 큐의 크기입니다. 대기열 크기는 User Operator가 작동할 것으로 예상되는 최대 사용자 수만큼 커야 합니다. 기본값은 1024 입니다.

   8

   사용자 조정을 위한 작업자 풀의 크기입니다. 더 큰 풀에는 더 많은 리소스가 필요할 수 있지만 더 많은 KafkaUser 리소스를 처리할 수도 있습니다. 기본값은 50 입니다.

   9

   Kafka Admin API 및 OpenShift 작업에 대한 작업자 풀의 크기입니다. 더 큰 풀에는 더 많은 리소스가 필요할 수 있지만 더 많은 KafkaUser 리소스도 처리합니다. 기본값은 4 입니다.

   10

   로깅 메시지를 출력하는 수준입니다. 수준을 ERROR,WARNING,INFO,DEBUG, TRACE 로 설정할 수 있습니다.

   11

   가비지 컬렉션(GC) 로깅을 활성화합니다. 기본값은 true입니다.

   12

   CA의 유효 기간입니다. 기본값은 365 일입니다.

   13

   CA의 갱신 기간입니다. 갱신 기간은 현재 인증서의 만료 날짜에서 역으로 측정됩니다. 기본값은 이전 인증서가 만료되기 전에 인증서 갱신을 시작하는 30 일입니다.

   14

   (선택 사항) User Operator를 실행하는 JVM에서 사용하는 Java 옵션입니다.

   15

   (선택 사항) User Operator에 설정된 디버깅(-D) 옵션

   16

   (선택 사항) User Operator가 생성한 OpenShift 시크릿의 이름에 대한 접두사입니다.

   17

   (선택 사항) Kafka 클러스터가 Kafka Admin API를 사용하여 권한 부여 ACL 규칙 관리를 지원하는지 여부를 나타냅니다. false 로 설정하면 User Operator는 간단한 권한 부여 ACL 규칙이 있는 모든 리소스를 거부합니다. 이는 Kafka 클러스터 로그에서 불필요한 예외를 방지하는 데 도움이 됩니다. 기본값은 true입니다.

   18

   (선택 사항) 만료 사용자 인증서가 갱신되는 동안 유지 관리 시간 창을 정의하는 Cron 표현식의 반 연속으로 구분된 목록입니다.

   19

   (선택 사항) User Operator가 속성 형식으로 사용하는 Kafka 관리자 클라이언트를 구성하기 위한 구성 옵션입니다.

   20

   (선택 사항) User Operator가 연결하는 Kafka 클러스터가 ZooKeeper 대신 KRaft를 사용하고 있는지 여부를 나타냅니다. Kafka 클러스터가 KRaft를 사용하는 경우 이 변수를 true 로 설정합니다. 기본값은 false입니다. KRaft 클러스터에서 실행할 때 일부 기능을 사용할 수 없습니다. 예를 들어, 현재 Apache Kafka에서 지원하는 SCRAM-SHA-512 사용자 관리는 비활성화되어 있습니다.

2. Kafka 클러스터에 연결하는 데 mTLS를 사용하는 경우 연결을 인증하는 데 사용되는 시크릿을 지정합니다. 그렇지 않으면 다음 단계로 이동합니다.

   mTLS 구성의 예

   # ....
   env:
     - name: STRIMZI_CLUSTER_CA_CERT_SECRET_NAME 

   1

   
       value: my-cluster-cluster-ca-cert
     - name: STRIMZI_EO_KEY_SECRET_NAME 

   2

   
       value: my-cluster-entity-operator-certs
   # ..."

   1

   Kafka 브로커 인증서에 서명하는 CA의 공개 키(ca.crt) 값이 포함된 OpenShift Secret 입니다.

   2

   Kafka 클러스터에 대한 mTLS 인증에 사용되는 인증서 공개 키(entity-operator.crt) 및 개인 키(entity-operator.key)가 포함된 OpenShift Secret 입니다.

3. User Operator를 배포합니다.

   oc create -f install/user-operator

4. 배포 상태를 확인합니다.

   oc get deployments

   출력에 배포 이름과 준비 상태가 표시됩니다.

   NAME                   READY  UP-TO-DATE  AVAILABLE
   strimzi-user-operator  1/1    1           1

   READY 에는 준비되거나 예상된 복제본 수가 표시됩니다. AVAILABLE 출력에 1 이 표시되면 배포가 성공적으로 수행됩니다.

1. mTLS 인증 (TLS가 활성화된 리스너에서만)
2. SCRAM-SHA-512 인증
3. OAuth 2.0 토큰 기반 인증
4. 사용자 정의 인증

절차

1. Kafka 리소스를 구성합니다.

   1. 권한 부여 에 대한 권한 부여 속성을 구성합니다.

   2. 인증을 사용하여 리스너를 생성하도록 listeners 속성을 구성합니다.

      예를 들면 다음과 같습니다.

      apiVersion: kafka.strimzi.io/v1beta2
      kind: Kafka
      spec:
        kafka:
          # ...
          authorization: 

      1

      
            type: simple
            superUsers: 

      2

      
              - CN=client_1
              - user_2
              - CN=client_3
          listeners:
            - name: tls
              port: 9093
              type: internal
              tls: true
              authentication:
                type: tls 

      3

      
          # ...
        zookeeper:
          # ...

      1

      권한 부여를 사용하면 AclAuthorizer Kafka 플러그인을 사용하여 Kafka 브로커에서 간단한 인증을 수행할 수 있습니다.

      2

      Kafka에 무제한 액세스할 수 있는 사용자 보안 주체 목록입니다. mTLS 인증이 사용되는 경우 CN 은 클라이언트 인증서의 공통 이름입니다.

      3

      리스너 인증 메커니즘은 각 리스너에 대해 구성하고 mTLS, SCRAM-SHA-512 또는 토큰 기반 OAuth 2.0으로 지정 할 수 있습니다.

      외부 리스너를 구성하는 경우 구성은 선택한 연결 메커니즘에 따라 달라집니다.

2. Kafka 리소스를 생성하거나 업데이트합니다.

   oc apply -f <kafka_configuration_file>

   Kafka 클러스터는 mTLS 인증을 사용하는 Kafka 브로커 리스너로 구성됩니다.

   각 Kafka 브로커 Pod에 대해 서비스가 생성됩니다.

   Kafka 클러스터 연결에 필요한 부트스트랩 주소로 사용되는 서비스가 생성됩니다.

   kafka 브로커의 ID를 확인하는 클러스터 CA 인증서도 시크릿 < cluster_name> -cluster-ca-cert 에 생성됩니다.

절차

1. KafkaUser 리소스를 구성합니다.

   예를 들면 다음과 같습니다.

   apiVersion: kafka.strimzi.io/v1beta2
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
   spec:
     authentication: 

   1

   
       type: tls
     authorization:
       type: simple 

   2

   
       acls:
         - resource:
             type: topic
             name: my-topic
             patternType: literal
           operations:
             - Describe
             - Read
         - resource:
             type: group
             name: my-group
             patternType: literal
           operations:
             - Read

   1

   상호 tls 또는 scram-sha-512 로 정의된 사용자 인증 메커니즘.

   2

   ACL 규칙 목록이 필요한 간단한 권한 부여

2. KafkaUser 리소스를 생성하거나 업데이트합니다.

   oc apply -f <user_config_file>

   사용자는 KafkaUser 리소스와 동일한 이름의 시크릿과 시크릿이 생성됩니다. Secret에는 mTLS 인증을 위한 개인 키와 공개 키가 포함되어 있습니다.

절차

1. Kafka 리소스를 엽니다.

2. networkPolicyPeers 속성에서 Kafka 클러스터에 액세스할 수 있는 애플리케이션 포드 또는 네임스페이스를 정의합니다.

   예를 들어 app 레이블이 있는 애플리케이션 Pod의 연결만 kafka-client 로 설정하도록 tls 리스너를 구성하려면 다음을 수행하십시오.

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   spec:
     kafka:
       # ...
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
           networkPolicyPeers:
             - podSelector:
                 matchLabels:
                   app: kafka-client
       # ...
     zookeeper:
       # ...

3. 리소스를 생성하거나 업데이트합니다.

   oc apply 를 사용합니다.

   oc apply -f your-file

절차

1. 개인 키 및 서버 인증서가 포함된 보안을 생성합니다.

   oc create secret generic my-secret --from-file=my-listener-key.key --from-file=my-listener-certificate.crt

2. 클러스터의 Kafka 리소스를 편집합니다.

   configuration.brokerCertECDHEAndKey 속성에서 Secret, 인증서 파일 및 개인 키 파일을 사용하도록 리스너를 구성합니다.

   TLS 암호화가 활성화된 로드 밸런서 외부 리스너 구성 예

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: external
       port: 9094
       type: loadbalancer
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   TLS 리스너 구성 예

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: tls
       port: 9093
       type: internal
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

3. 새 구성을 적용하여 리소스를 생성하거나 업데이트합니다.

   oc apply -f kafka.yaml

   Cluster Operator는 리스너 구성을 업데이트하는 Kafka 클러스터의 롤링 업데이트를 시작합니다.

   참고

   롤링 업데이트는 리스너가 이미 사용하는 Secret 에서 Kafka 리스너 인증서를 업데이트하는 경우에도 시작됩니다.