6.4. 필터 보안

보간은 런타임 시 자리 표시자 값을 자동으로 대체하기 위해 spec.configTemplate 에서 지원됩니다. 이를 통해 암호 또는 키와 같은 보안에 민감한 값을 KafkaProtocolFilter 리소스에 직접 사용하는 대신 OpenShift Secret 리소스에 지정할 수 있습니다. 마찬가지로 신뢰할 수 있는 CA 인증서와 같은 항목은 ConfigMap 리소스에 정의할 수 있습니다.

Operator는 KafkaProtocolFilter 리소스에서 참조하는 Secret 및 ConfigMap 리소스를 확인하고 프록시 컨테이너에 마운트된 프록시 Pod 에서 볼륨으로 선언합니다. 이 예에서는 동일한 OpenShift 클러스터에 배포된 Vault KMS를 사용하여 RecordEncryptionFilter 를 구성하는 방법을 보여줍니다.

kind: KafkaProtocolFilter
metadata:
  # ...
spec:
  type: RecordEncryption 

  configTemplate: 

    kms: VaultKmsService
    kmsConfig:
      vaultTransitEngineUrl: http://vault.vault.svc.cluster.local:8200/v1/transit
      vaultToken:
        password: ${secret:vault:token} 

    selector: TemplateKekSelector
    selectorConfig:
      template: "$(topicName)" 

예제 보간 참조 ${secret:vault:token} 을 자세히 살펴보겠습니다.

${ 로 시작하고 } 로 끝납니다. 이 중에서 콜론(:)으로 구분된 세 부분으로 나뉩니다.

secret 및 configmap 공급자의 경우: