10.5. 配置内部客户端以信任集群 CA

使用 PKCS #12 格式(.p12)

1. 在定义客户端 pod 时，将集群 Secret 挂载为卷。

   例如：

   kind: Pod
   apiVersion: v1
   metadata:
     name: client-pod
   spec:
     containers:
     - name: client-name
       image: client-name
       volumeMounts:
       - name: secret-volume
         mountPath: /data/p12
       env:
       - name: SECRET_PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-secret
             key: my-password
     volumes:
     - name: secret-volume
       secret:
         secretName: my-cluster-cluster-ca-cert

   我们在这里挂载：

   • PKCS #12 文件为准确路径，可以配置
   • 在环境变量中，密码可用于 Java 配置

2. 使用以下属性配置 Kafka 客户端：

   • 安全协议选项：

     • security.protocol：在使用 TLS 加密时（使用或没有 TLS 身份验证）时的 SSL。
     • security.protocol: SASL_SSL 在通过 TLS 使用 SCRAM-SHA 验证时。
   • SSL.truststore.location，使用导入证书的 truststore 位置。
   • SSL.truststore.password，密码为，用于访问信任存储。
   • SSL.truststore.type=PKCS12 来识别信任存储类型。

使用 PEM 格式(.crt)

1. 在定义客户端 pod 时，将集群 Secret 挂载为卷。

   例如：

   kind: Pod
   apiVersion: v1
   metadata:
     name: client-pod
   spec:
     containers:
     - name: client-name
       image: client-name
       volumeMounts:
       - name: secret-volume
         mountPath: /data/crt
     volumes:
     - name: secret-volume
       secret:
         secretName: my-cluster-cluster-ca-cert

2. 将证书与使用 X.509 格式的证书的客户端一起使用。