6.3. 保护对 Kafka 代理的访问

流程

1. 配置 Kafka 资源。

   1. 配置 授权 属性以进行授权。

   2. 配置 监听程序 属性，以创建具有身份验证的监听程序。

      例如：

      apiVersion: kafka.strimzi.io/v1beta2
      kind: Kafka
      spec:
        kafka:
          # ...
          authorization: 

      1

      
            type: simple
            superUsers: 

      2

      
              - CN=client_1
              - user_2
              - CN=client_3
          listeners:
            - name: tls
              port: 9093
              type: internal
              tls: true
              authentication:
                type: tls 

      3

      
          # ...
        zookeeper:
          # ...

      1

      授权会使用 AclAuthorizer Kafka 插件启用 Kafka 代理中的 simple授权。

      2

      对 Kafka 有无限访问权限的用户主体列表。在使用 mTLS 验证时，CN 是客户端证书的通用名称。

      3

      可以为每个监听器配置监听器验证机制，并将其 指定为 mTLS、SCRAM-SHA-512 或基于令牌的 OAuth 2.0。

      如果您要配置外部监听程序，配置取决于所选的连接机制。

2. 创建或更新 Kafka 资源。

   oc apply -f <kafka_configuration_file>

   Kafka 集群使用 mTLS 身份验证配置有 Kafka 代理监听程序。

   为每个 Kafka 代理 pod 创建服务。

   创建服务作为连接到 Kafka 集群的 bootstrap 地址。

   在 secret <cluster _name> -cluster-ca-cert 中也创建了用于验证 kafka 代理身份的集群 CA 证书。

流程

1. 配置 KafkaUser 资源。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
   spec:
     authentication: 

   1

   
       type: tls
     authorization:
       type: simple 

   2

   
       acls:
         - resource:
             type: topic
             name: my-topic
             patternType: literal
           operations:
             - Describe
             - Read
         - resource:
             type: group
             name: my-group
             patternType: literal
           operations:
             - Read

   1

   用户身份验证机制，定义为 mutual tls 或 scram-sha-512。

   2

   简单授权，这需要附带 ACL 规则列表。

2. 创建或更新 KafkaUser 资源。

   oc apply -f <user_config_file>

   创建用户，以及与 KafkaUser 资源名称相同的 Secret。Secret 包含 mTLS 验证的私钥和公钥。

流程

1. 打开 Kafka 资源。

2. 在 networkPolicyPeers 属性中，定义允许访问 Kafka 集群的应用程序 pod 或命名空间。

   例如，要配置 tls 侦听器，仅允许从带有标签 app 设置为 kafka-client 的应用程序 pod 的连接：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   spec:
     kafka:
       # ...
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
           networkPolicyPeers:
             - podSelector:
                 matchLabels:
                   app: kafka-client
       # ...
     zookeeper:
       # ...

3. 创建或更新资源。

   使用 oc apply:

   oc apply -f your-file