5장. 보안 연결 구성

RHEL에서 AMQ Streams를 사용하는 경우 Kafka 클러스터에 대한 클라이언트 연결을 보호하는 일반적인 개요는 다음과 같습니다.

브로커 설정에 대한 자세한 내용은 RHEL에서 AMQ Streams 사용을 참조하십시오.

구성 속성 파일을 사용하여 Kafka에서 리스너를 구성합니다. Kafka 브로커에 대한 보안 연결을 구성하려면 이 파일에서 TLS, SASL 및 기타 보안 관련 구성에 대한 관련 속성을 설정합니다.

다음은 PKCS#12 형식의 키 저장소 및 신뢰 저장소를 사용하여 Kafka 브로커의 server.properties 구성 파일에 지정된 TLS 리스너 구성의 예입니다.

listeners = listener_1://0.0.0.0:9093, listener_2://0.0.0.0:9094
listener.security.protocol.map = listener_1:SSL, listener_2:PLAINTEXT
ssl.keystore.type = PKCS12
ssl.keystore.location = /path/to/keystore.p12
ssl.keystore.password = <password>
ssl.truststore.type = PKCS12
ssl.truststore.location = /path/to/truststore.p12
ssl.truststore.password = <password>
ssl.client.auth = required
authorizer.class.name = kafka.security.auth.SimpleAclAuthorizer.
super.users = User:superuser

listeners 속성은 각 리스너 이름을 지정하고 브로커가 수신 대기하는 IP 주소와 포트를 지정합니다. 프로토콜 맵은 listener_1 리스너가 TLS 암호화를 사용하는 클라이언트에 대해 SSL 프로토콜을 사용하도록 지시합니다. listener_2 는 TLS 암호화를 사용하지 않는 클라이언트에 대해 PLAINTEXT 연결을 제공합니다. 키 저장소에는 브로커의 개인 키와 인증서가 포함되어 있습니다. 신뢰 저장소에는 클라이언트 애플리케이션의 ID를 확인하는 데 사용되는 신뢰할 수 있는 인증서가 포함되어 있습니다. ssl.client.auth 속성은 클라이언트 인증을 적용합니다.

Kafka 클러스터는 간단한 권한 부여를 사용합니다. 작성자는 SimpleAclAuthorizer 로 설정됩니다. 단일 슈퍼 사용자는 모든 리스너에 대한 제약되지 않은 액세스에 대해 정의됩니다. AMQ Streams는 Kafka SimpleAclAuthorizer 및 사용자 정의 인증 관리자 플러그인을 지원합니다.

구성 속성 앞에 listener.name.<name_of_listener >를 지정하면 구성이 해당 리스너와 관련이 있습니다.

이는 샘플 구성일 뿐입니다. 일부 구성 옵션은 리스너 유형에 따라 다릅니다. OAuth 2.0 또는OPA(Open Policy Agent)를 사용하는 경우 특정 리스너에서 권한 부여 서버 또는 OPA 서버에 대한 액세스도 구성해야 합니다. 특정 요구 사항 및 환경에 따라 리스너를 생성할 수 있습니다.

리스너 구성에 대한 자세한 내용은 Apache Kafka 설명서 를 참조하십시오.

다음 예에서 첫 번째 ACL은 my-topic 이라는 특정 항목에 대한 읽기 및 설명 권한을 부여합니다. resource.patternType 은 리터럴 로 설정되며, 이는 리소스 이름이 정확히 일치해야 함을 의미합니다.

두 번째 ACL은 my-group 이라는 특정 소비자 그룹에 대해 읽기 권한을 부여합니다. resource.patternType 은 접두사 로 설정되어 리소스 이름이 접두사와 일치해야 함을 의미합니다.

bin/kafka-acls.sh --authorizer-properties zookeeper.connect=localhost:2181 --add \
--allow-principal User:my-user --operation Read --operation Describe --topic my-topic --resource-pattern-type literal \
--allow-principal User:my-user --operation Read --group my-group --resource-pattern-type prefixed

OpenShift에서 AMQ Streams를 사용하는 경우 Kafka 클러스터에 대한 클라이언트 연결을 보호하는 일반적인 개요는 다음과 같습니다.

브로커 설정에 대한 자세한 내용은 OpenShift에서 AMQ Streams 구성을 참조하십시오.

AMQ Streams를 사용하여 Kafka 사용자 정의 리소스를 배포할 때 Kafka 사양에 리스너 구성을 추가합니다. Kafka에서 연결 보안을 위해 리스너 구성을 사용합니다. Kafka 브로커에 대한 보안 연결을 구성하려면 리스너 수준에서 TLS, SASL 및 기타 보안 관련 구성의 관련 속성을 설정합니다.

외부 리스너는 OpenShift 클러스터 외부에서 Kafka 클러스터에 대한 클라이언트 액세스를 제공합니다. AMQ Streams는 구성 기반 Kafka 클러스터에 액세스할 수 있도록 리스너 서비스 및 부트스트랩 주소를 생성합니다. 예를 들어 다음 연결 메커니즘을 사용하는 외부 리스너를 생성할 수 있습니다.

다음은 Kafka 리소스에 대한 노드 포트 리스너 구성의 예입니다.

apiVersion: {KafkaApiVersion}
kind: Kafka
metadata:
  name: my-cluster
spec:
  kafka:
    # ...
    listeners:
      - name: plaintext
        port: 9092
        type: internal
        tls: false
        configuration:
          useServiceDnsDomain: true
      - name: tls
        port: 9093
        type: internal
        tls: true
        authentication:
          type: tls
      - name: external
        port: 9094
        type: route
        tls: true
        authentication:
          type: tls
    authorization:
      type: simple
      superUsers:
        - CN=superuser
  # ...

listeners 속성은 일반 텍스트 ,tls 및 외부의 세 개의 리스너로 구성됩니다. 외부 리스너는 nodeport 유형이며 암호화 및 인증에 TLS를 사용합니다. Cluster Operator를 사용하여 Kafka 클러스터를 생성하면 CA 인증서가 자동으로 생성됩니다. 클라이언트 애플리케이션의 신뢰 저장소에 클러스터 CA를 추가하여 Kafka 브로커의 ID를 확인합니다. 또는 브로커 또는 리스너 수준에서 자체 인증서를 사용하도록 AMQ Streams를 구성할 수 있습니다. 클라이언트 애플리케이션에 다른 보안 구성이 필요한 경우 리스너 수준에서 인증서를 사용해야 할 수 있습니다. 리스너 수준에서 인증서를 사용하면 추가 제어 및 보안 계층도 추가됩니다.

Kafka 클러스터는 간단한 권한 부여를 사용합니다. 권한 부여 속성 유형은 simple 로 설정됩니다. 단일 슈퍼 사용자는 모든 리스너에 대한 제약되지 않은 액세스에 대해 정의됩니다. AMQ Streams는 Kafka SimpleAclAuthorizer 및 사용자 정의 인증 관리자 플러그인을 지원합니다.

이는 샘플 구성일 뿐입니다. 일부 구성 옵션은 리스너 유형에 따라 다릅니다. OAuth 2.0 또는OPA(Open Policy Agent)를 사용하는 경우 특정 리스너에서 권한 부여 서버 또는 OPA 서버에 대한 액세스도 구성해야 합니다. 특정 요구 사항 및 환경에 따라 리스너를 생성할 수 있습니다.

리스너 구성에 대한 자세한 내용은 GenericKafkaListener 스키마 참조 를 참조하십시오.

다음 예에서 첫 번째 ACL은 my-topic 이라는 특정 항목에 대한 읽기 및 설명 권한을 부여합니다. resource.patternType 은 리터럴 로 설정되며, 이는 리소스 이름이 정확히 일치해야 함을 의미합니다.

두 번째 ACL은 my-group 이라는 특정 소비자 그룹에 대해 읽기 권한을 부여합니다. resource.patternType 은 접두사 로 설정되어 리소스 이름이 접두사와 일치해야 함을 의미합니다.

apiVersion: {KafkaUserApiVersion}
kind: KafkaUser
metadata:
  name: my-user
  labels:
    strimzi.io/cluster: my-cluster
spec:
  # ...
  authorization:
    type: simple
    acls:
      - resource:
          type: topic
          name: my-topic
          patternType: literal
        operations:
          - Read
          - Describe
      - resource:
          type: group
          name: my-group
          patternType: prefix
        operations:
          - Read