4.5.4.3. 为 CLI Kafka 客户端会话准备 TLS 连接

流程

1. 使用 AMQ Streams Kafka 镜像运行一个新的交互式 pod 容器，以连接到正在运行的 Kafka 代理。

   NS=sso
   oc run -ti --restart=Never --image=registry.redhat.io/amq7/amq-streams-kafka-28-rhel7:1.8.0 kafka-cli -n $NS -- /bin/sh

   注意

   如果 oc 超时等待镜像下载，后续尝试可能会导致 AlreadyExists 错误。

2. 附加到 pod 容器。

   oc attach -ti kafka-cli -n $NS

3. 使用红帽单点登录实例的主机名，使用 TLS 为客户端连接准备证书。

   SSO_HOST=SSO-HOSTNAME
   SSO_HOST_PORT=$SSO_HOST:443
   STOREPASS=storepass
   
   echo "Q" | openssl s_client -showcerts -connect $SSO_HOST_PORT 2>/dev/null | awk ' /BEGIN CERTIFICATE/,/END CERTIFICATE/ { print $0 } ' > /tmp/sso.crt

4. 为 TLS 连接到 Kafka 代理创建信任存储。

   keytool -keystore /tmp/truststore.p12 -storetype pkcs12 -alias sso -storepass $STOREPASS -import -file /tmp/sso.crt -noprompt

5. 使用 Kafka bootstrap 地址作为 Kafka 代理的主机名，使用 tls 侦听器端口(9093)为 Kafka 代理准备证书。

   KAFKA_HOST_PORT=my-cluster-kafka-bootstrap:9093
   STOREPASS=storepass
   
   echo "Q" | openssl s_client -showcerts -connect $KAFKA_HOST_PORT 2>/dev/null | awk ' /BEGIN CERTIFICATE/,/END CERTIFICATE/ { print $0 } ' > /tmp/my-cluster-kafka.crt

6. 将 Kafka 代理的证书添加到信任存储中。

   keytool -keystore /tmp/truststore.p12 -storetype pkcs12 -alias my-cluster-kafka -storepass $STOREPASS -import -file /tmp/my-cluster-kafka.crt -noprompt

   保持 会话处于打开状态，以检查授权访问权限。