第 5 章 管理 Kafka 的安全访问

双向 TLS 身份验证总是用于 Kafka 代理和 ZooKeeper pod 之间的通信。

AMQ Streams 可将 Kafka 配置为使用 TLS (Transport Layer Security)来提供 Kafka 代理和客户端之间的加密通信，或者没有相互身份验证。对于双向身份验证，无论是服务器和客户端均提供证书。当您配置 mutual 身份验证时，代理会验证客户端（客户端身份验证）和客户端验证代理（服务器身份验证）。

SCRAM (Salted Challenge Response Authentication Mechanism)是一个身份验证协议，可以使用密码建立相互验证。AMQ Streams 可将 Kafka 配置为使用 SASL (Simple Authentication and Security Layer) SCRAM-SHA-512，以在未加密的和加密客户端连接中提供身份验证。

当将 SCRAM-SHA-512 身份验证与 TLS 客户端连接一起使用时，TLS 协议会提供加密，但不用于身份验证。

SCRAM 的以下属性可以安全使用 SCRAM-SHA-512，即使在未加密的连接中：

当 KafkaUser.spec.authentication.type 配置有 scram-sha-512 时，用户 Operator 将生成一个由大写和小写 ASCII 字母和数字组成的 12 个字符的随机密码。

默认情况下，AMQ Streams 会自动为每个在 Kafka 代理上启用的监听程序创建一个 NetworkPolicy 资源。这个 NetworkPolicy 允许应用程序连接到所有命名空间中的监听程序。使用网络策略作为监听程序配置的一部分。

如果要将网络级别的监听程序的访问权限限制为特定的应用程序或命名空间，请使用 networkPolicyPeers 属性。每个监听程序都有不同的 networkPolicyPeers 配置。有关网络策略对等方法的更多信息，请参阅 NetworkPolicyPeer API 参考。

如果要使用自定义网络策略，您可以在 Cluster Operator 配置中将 STRIMZI_NETWORK_POLICY_GENERATION 环境变量设置为 false。如需更多信息，请参阅 Cluster Operator 配置。

您可以使用 GenericKafkaListenerConfiguration 模式 的属性，将进一步配置添加到监听程序。

超级用户可以访问 Kafka 集群中的所有资源，无论访问限制如何，并且受所有授权机制的支持。

要为 Kafka 集群指定超级用户，请在 superUsers 属性中添加一个用户主体列表。如果用户使用 TLS 客户端身份验证，则用户名是其证书主题中以 CN= 前缀的通用名称。

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
    # ...

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
    # ...