10.6. 配置外部客户端以信任集群 CA

使用 PKCS #12 格式(.p12)

1. 从 Kafka 集群的 < cluster_name> -cluster-ca-cert Secret 中提取集群 CA 证书和密码。

   oc get secret <cluster_name>-cluster-ca-cert -o jsonpath='{.data.ca\.p12}' | base64 -d > ca.p12

   Copy to Clipboard Toggle word wrap

   oc get secret <cluster_name>-cluster-ca-cert -o jsonpath='{.data.ca\.password}' | base64 -d > ca.password

   Copy to Clipboard Toggle word wrap

   将 <cluster_name > 替换为 Kafka 集群的名称。

2. 使用以下属性配置 Kafka 客户端：

   • 安全协议选项：

     • security.protocol：在使用 TLS 时 SSL.
     • security.protocol: SASL_SSL 在通过 TLS 使用 SCRAM-SHA 验证时。
   • SSL.truststore.location，使用导入证书的 truststore 位置。
   • SSL.truststore.password，密码为，用于访问信任存储。如果 truststore 不需要，可以省略此属性。
   • SSL.truststore.type=PKCS12 来识别信任存储类型。

使用 PEM 格式(.crt)

1. 从 Kafka 集群的 < cluster_name>-cluster-ca-cert secret 中提取集群 CA 证书。

   oc get secret <cluster_name>-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

   Copy to Clipboard Toggle word wrap
2. 使用提取的证书在 X.509 格式使用证书的客户端中配置 TLS 连接。