13.6. OpenShift 경로를 사용하여 Kafka 액세스

절차

1. 외부 리스너를 사용하여 경로 유형으로 Kafka 리소스를 구성합니다.

   예를 들면 다음과 같습니다.

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     labels:
       app: my-cluster
     name: my-cluster
     namespace: myproject
   spec:
     kafka:
       # ...
       listeners:
         - name: external
           port: 9094
           type: route
           tls: true 

   1

   
           authentication:
             type: tls
           # ...
       # ...
     zookeeper:
       # ...

   1

   경로 유형 리스너의 경우 TLS 암호화를 활성화해야 합니다(true).

2. 리소스를 생성하거나 업데이트합니다.

   oc apply -f <kafka_configuration_file>

   kafka 브로커의 ID를 확인하는 클러스터 CA 인증서가 my-cluster-cluster-ca-cert 에 생성됩니다.

   각 Kafka 브로커 및 외부 부트스트랩 서비스에 대해 ClusterIP 유형 서비스가 생성됩니다.

   기본 OpenShift HAProxy 라우터를 사용하여 이를 노출하는 DNS 주소(host/port)를 사용하여 각 서비스에 대해 경로가 생성됩니다.

   경로는 TLS 패스스루를 사용하여 사전 구성됩니다.

   부트스트랩 및 브로커에 대해 생성된 경로

   NAME                                  HOST/PORT                                                   SERVICES                              PORT  TERMINATION
   my-cluster-kafka-external-0          my-cluster-kafka-external-0-my-project.router.com          my-cluster-kafka-external-0          9094  passthrough
   my-cluster-kafka-external-1          my-cluster-kafka-external-1-my-project.router.com          my-cluster-kafka-external-1          9094  passthrough
   my-cluster-kafka-external-2          my-cluster-kafka-external-2-my-project.router.com          my-cluster-kafka-external-2          9094  passthrough
   my-cluster-kafka-external-bootstrap  my-cluster-kafka-external-bootstrap-my-project.router.com  my-cluster-kafka-external-bootstrap  9094  passthrough

   클라이언트 연결에 사용되는 DNS 주소는 각 경로의 상태로 전파됩니다.

   부트스트랩 경로의 상태 예

   status:
     ingress:
       - host: >-
           my-cluster-kafka-external-bootstrap-my-project.router.com
    # ...

3. 대상 브로커를 사용하여 OpenSSL s_client 를 사용하여 포트 443에서 클라이언트-서버 TLS 연결을 확인합니다.

   openssl s_client -connect my-cluster-kafka-external-0-my-project.router.com:443 -servername my-cluster-kafka-external-0-my-project.router.com -showcerts

   서버 이름은 브로커에 연결을 전달하는 SNI입니다.

   연결에 성공하면 브로커의 인증서가 반환됩니다.

   브로커의 인증서

   Certificate chain
    0 s:O = io.strimzi, CN = my-cluster-kafka
      i:O = io.strimzi, CN = cluster-ca v0

4. Kafka 리소스의 상태에서 부트스트랩 서비스의 주소를 검색합니다.

   oc get kafka my-cluster -o=jsonpath='{.status.listeners[?(@.name=="external")].bootstrapServers}{"\n"}'
   
   my-cluster-kafka-external-bootstrap-my-project.router.com:443

   주소는 클러스터 이름, 리스너 이름, 프로젝트 이름 및 라우터 도메인(이 예에서는router.com )으로 구성됩니다.

5. 클러스터 CA 인증서를 추출합니다.

   oc get secret my-cluster-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

6. 브로커에 연결하도록 클라이언트를 구성합니다.

   1. Kafka 클라이언트에서 Kafka 클러스터에 연결할 부트스트랩 주소로 부트스트랩 서비스 및 포트 443의 주소를 지정합니다.

   2. 추출된 인증서를 Kafka 클라이언트의 신뢰 저장소에 추가하여 TLS 연결을 구성합니다.

      클라이언트 인증 메커니즘을 활성화한 경우 클라이언트에서도 구성해야 합니다.