4.9. 加密和身份验证

流程

1. 为集群中的所有 Kafka 代理生成 TLS 证书。证书应该在其 Common Name 或 Subject Alternative Name 中有其公告和 bootstrap 地址。

2. 编辑所有集群节点上的 /opt/kafka/config/server.properties Kafka 配置文件：

   • 更改 listener.security.protocol.map 字段，为您要使用 TLS 加密的监听程序指定 SSL 协议。
   • 使用代理证书将 ssl.keystore.location 选项设置为 JKS 密钥存储的路径。

   • 将 ssl.keystore.password 选项设置为用来保护密钥存储的密码。

     例如：

     listeners=UNENCRYPTED://:9092,ENCRYPTED://:9093,REPLICATION://:9094
     listener.security.protocol.map=UNENCRYPTED:PLAINTEXT,ENCRYPTED:SSL,REPLICATION:PLAINTEXT
     ssl.keystore.location=/path/to/keystore/server-1.jks
     ssl.keystore.password=123456

     Copy to Clipboard Toggle word wrap
3. （重新）启动 Kafka 代理

流程

1. 准备一个 JKS 信任存储，其中包含用于签署用户证书的证书颁发机构的公钥。

2. 编辑所有集群节点上的 /opt/kafka/config/server.properties Kafka 配置文件：

   • 使用用户证书的证书颁发机构，将 ssl.truststore.location 选项设置为 JKS 信任存储的路径。
   • 将 ssl.truststore.password 选项设置为用来保护信任存储的密码。

   • 将 ssl.client.auth 选项设置为 required。

     例如：

     ssl.truststore.location=/path/to/truststore.jks
     ssl.truststore.password=123456
     ssl.client.auth=required

     Copy to Clipboard Toggle word wrap
3. （重新）启动 Kafka 代理

流程

1. 编辑或创建 /opt/kafka/config/jaas.conf JAAS 配置文件。此文件应包含您的所有用户及其密码。确保该文件在所有 Kafka 代理中都是相同的。

   例如：

   KafkaServer {
       org.apache.kafka.common.security.plain.PlainLoginModule required
       user_admin="123456"
       user_user1="123456"
       user_user2="123456";
   };

   Copy to Clipboard Toggle word wrap

2. 编辑所有集群节点上的 /opt/kafka/config/server.properties Kafka 配置文件：

   • 更改 listener.security.protocol.map 字段，为您要使用 SASL PLAIN 身份验证的监听程序指定 SASL_PLAINTEXT 或 SASL_SSL 协议。

   • 将 sasl.enabled.mechanisms 选项设置为 PLAIN。

     例如：

     listeners=INSECURE://:9092,AUTHENTICATED://:9093,REPLICATION://:9094
     listener.security.protocol.map=INSECURE:PLAINTEXT,AUTHENTICATED:SASL_PLAINTEXT,REPLICATION:PLAINTEXT
     sasl.enabled.mechanisms=PLAIN

     Copy to Clipboard Toggle word wrap

3. 使用 KAFKA_OPTS 环境变量（重新）启动 Kafka 代理，将 JAAS 配置传递给 Kafka 代理。

   su - kafka
   export KAFKA_OPTS="-Djava.security.auth.login.config=/opt/kafka/config/jaas.conf"; /opt/kafka/bin/kafka-server-start.sh -daemon /opt/kafka/config/server.properties

   Copy to Clipboard Toggle word wrap

流程

1. 编辑或创建 /opt/kafka/config/jaas.conf JAAS 配置文件。为 KafkaServer 上下文启用 ScramLoginModule。确保该文件在所有 Kafka 代理中都是相同的。

   例如：

   KafkaServer {
       org.apache.kafka.common.security.scram.ScramLoginModule required;
   };

   Copy to Clipboard Toggle word wrap

2. 编辑所有集群节点上的 /opt/kafka/config/server.properties Kafka 配置文件：

   • 更改 listener.security.protocol.map 字段，为您要使用 SASL SCRAM 身份验证的监听程序指定 SASL_PLAINTEXT 或 SASL_SSL 协议。

   • 将 sasl.enabled.mechanisms 选项设置为 SCRAM-SHA-256 或 SCRAM-SHA-512。

     例如：

     listeners=INSECURE://:9092,AUTHENTICATED://:9093,REPLICATION://:9094
     listener.security.protocol.map=INSECURE:PLAINTEXT,AUTHENTICATED:SASL_PLAINTEXT,REPLICATION:PLAINTEXT
     sasl.enabled.mechanisms=SCRAM-SHA-512

     Copy to Clipboard Toggle word wrap

3. 使用 KAFKA_OPTS 环境变量（重新）启动 Kafka 代理，将 JAAS 配置传递给 Kafka 代理。

   su - kafka
   export KAFKA_OPTS="-Djava.security.auth.login.config=/opt/kafka/config/jaas.conf"; /opt/kafka/bin/kafka-server-start.sh -daemon /opt/kafka/config/server.properties

   Copy to Clipboard Toggle word wrap