第 6 章 管理 Kafka 的安全访问

mTLS 身份验证总是用于 Kafka 代理和 ZooKeeper pod 之间的通信。

AMQ Streams 可将 Kafka 配置为使用 TLS (Transport Layer Security)来提供 Kafka 代理和客户端之间的加密通信，或者没有相互身份验证。对于双向身份验证，无论是服务器和客户端均提供证书。当您配置 mTLS 身份验证时，代理会验证客户端（客户端身份验证）和客户端验证代理（服务器身份验证）。

Kafka 资源中的 mTLS 监听程序配置需要以下内容：

当 Cluster Operator 创建 Kafka 集群时，它会创建一个名为 < cluster_name>-cluster-ca-cert 的新 secret。secret 包含 CA 证书。CA 证书采用 PEM 和 PKCS #12 格式。要验证 Kafka 集群，请将 CA 证书添加到客户端配置中的信任存储中。要验证客户端，请将用户证书和密钥添加到客户端配置中的密钥存储中。有关为 mTLS 配置客户端的详情，请参考 第 6.2.2 节 “用户身份验证”。

SCRAM (Salted Challenge Response Authentication Mechanism)是一个身份验证协议，可以使用密码建立相互验证。AMQ Streams 可将 Kafka 配置为使用 SASL (Simple Authentication and Security Layer) SCRAM-SHA-512，以在未加密的和加密客户端连接中提供身份验证。

当将 SCRAM-SHA-512 身份验证与 TLS 连接一起使用时，TLS 协议会提供加密，但不用于身份验证。

SCRAM 的以下属性可以安全使用 SCRAM-SHA-512，即使在未加密的连接中：

当 KafkaUser.spec.authentication.type 配置时，使用 scram-sha-512 用户 Operator 将生成一个由大写和小写 ASCII 字母和数字组成的 12 个字符的随机密码。

默认情况下，AMQ Streams 会自动为每个在 Kafka 代理上启用的监听程序创建一个 NetworkPolicy 资源。这个 NetworkPolicy 允许应用程序连接到所有命名空间中的监听程序。使用网络策略作为监听程序配置的一部分。

如果要将网络级别的监听程序的访问权限限制为特定的应用程序或命名空间，请使用 networkPolicyPeers 属性。每个监听程序都有不同的 networkPolicyPeers 配置。有关网络策略对等方法的更多信息，请参阅 NetworkPolicyPeer API 参考。

如果要使用自定义网络策略，您可以在 Cluster Operator 配置中将 STRIMZI_NETWORK_POLICY_GENERATION 环境变量设置为 false。如需更多信息，请参阅 Cluster Operator 配置。

您可以使用 GenericKafkaListenerConfiguration 模式 的属性，将进一步配置添加到监听程序。

超级用户可以访问 Kafka 集群中的所有资源，无论访问限制如何，并且受所有授权机制的支持。

要为 Kafka 集群指定超级用户，请在 superUsers 属性中添加一个用户主体列表。如果用户使用 mTLS 验证，则用户名是 TLS 证书主体中前缀为 CN= 的通用名称。如果您没有使用 User Operator 并为 mTLS 使用自己的证书，则用户名是完整的证书主题。完整证书对象可以包括以下字段： CN=user,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=my_country_code。省略不存在的所有字段。

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...