11.7. 配置外部客户端以信任集群 CA

使用 PKCS #12 格式(.p12)

1. 从生成的 <cluster-name> -cluster-ca-cert Secret 中提取集群 CA 证书和密码。

   oc get secret <cluster-name>-cluster-ca-cert -o jsonpath='{.data.ca\.p12}' | base64 -d > ca.p12

   Copy to Clipboard Toggle word wrap

   oc get secret <cluster-name>-cluster-ca-cert -o jsonpath='{.data.ca\.password}' | base64 -d > ca.password

   Copy to Clipboard Toggle word wrap

2. 使用以下属性配置 Kafka 客户端：

   • 安全协议选项：

     • security.protocol:使用 TLS 加密（带有或不使用 TLS 身份验证）时，SSL
     • security.protocol:在通过 TLS 使用 SCRAM-SHA 身份验证时，SASL_SSL
   • 导入证书的信任存储位置的 SSL.truststore.location。
   • SSL.truststore.password，密码为用于访问信任存储的密码。如果信任存储不需要此属性，则可以省略它。
   • SSL.truststore.type=PKCS12 标识信任存储类型。

使用 PEM 格式(.crt)

1. 从生成的 <cluster-name> -cluster-ca-cert Secret 中提取集群 CA 证书。

   oc get secret <cluster-name>-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

   Copy to Clipboard Toggle word wrap
2. 将证书与使用 X.509 格式的客户端一起使用。