10.6. 配置外部客户端以信任集群 CA

使用 PKCS #12 格式(.p12)

1. 从 Kafka 集群的 CLUSTER-NAME-cluster-ca-cert Secret 中提取集群 CA 证书和密码。

   oc get secret CLUSTER-NAME-cluster-ca-cert -o jsonpath='{.data.ca\.p12}' | base64 -d > ca.p12

   Copy to Clipboard Toggle word wrap

   oc get secret CLUSTER-NAME-cluster-ca-cert -o jsonpath='{.data.ca\.password}' | base64 -d > ca.password

   Copy to Clipboard Toggle word wrap

   将 CLUSTER-NAME 替换为 Kafka 集群的名称。

2. 使用以下属性配置 Kafka 客户端：

   • 安全协议选项：

     • security.protocol：在使用 TLS 加密时（使用或没有 TLS 身份验证）时的 SSL。
     • security.protocol: SASL_SSL 在通过 TLS 使用 SCRAM-SHA 验证时。
   • SSL.truststore.location，使用导入证书的 truststore 位置。
   • SSL.truststore.password，密码为，用于访问信任存储。如果 truststore 不需要，可以省略此属性。
   • SSL.truststore.type=PKCS12 来识别信任存储类型。

使用 PEM 格式(.crt)

1. 从 Kafka 集群的 CLUSTER-NAME-cluster-ca-cert Secret 中提取集群 CA 证书。

   oc get secret CLUSTER-NAME-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

   Copy to Clipboard Toggle word wrap
2. 将证书与使用 X.509 格式的证书的客户端一起使用。