5.3. 使用 Ingress NGINX Controller for OpenShift 访问 Kafka

流程

1. 配置 Kafka 资源，并将外部监听程序设置为 ingress 类型。

   为 bootstrap 服务以及 Kafka 集群中每个 Kafka 代理指定一个入口主机名。在 bootstrap 和 broker-<index&gt; 前缀中添加任何主机名来标识 bootstrap 和代理。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     labels:
       app: my-cluster
     name: my-cluster
     namespace: myproject
   spec:
     kafka:
       # ...
       listeners:
         - name: external
           port: 9094
           type: ingress
           tls: true 

   1

   
           authentication:
             type: tls
           configuration:
             bootstrap:
               host: bootstrap.myingress.com
             brokers:
             - broker: 0
               host: broker-0.myingress.com
             - broker: 1
               host: broker-1.myingress.com
             - broker: 2
               host: broker-2.myingress.com
             class: nginx  

   2

   
       # ...
     zookeeper:
       # ...

   Copy to Clipboard Toggle word wrap

   1

   对于 ingress 类型监听程序，必须启用 TLS 加密(true)。

   2

   （可选）指定要使用的入口控制器的类。如果您还没有设置默认值，且创建的 ingresses 中缺少类名称，您可能需要添加类。

2. 创建或更新资源。

   oc apply -f <kafka_configuration_file>

   Copy to Clipboard Toggle word wrap

   验证 kafka 代理的身份在 secret my-cluster-cluster-ca-cert 中创建了集群 CA 证书。

   ClusterIP 类型服务为每个 Kafka 代理创建，以及外部 bootstrap 服务。

   另外，会为每个服务创建一个 入口，DNS 地址会使用 Ingress NGINX Controller for OpenShift 来公开它们。

   为 bootstrap 和代理创建的入口

   NAME                        CLASS  HOSTS                    ADDRESS               PORTS
   my-cluster-kafka-0          nginx  broker-0.myingress.com   external.ingress.com  80,443
   my-cluster-kafka-1          nginx  broker-1.myingress.com   external.ingress.com  80,443
   my-cluster-kafka-2          nginx  broker-2.myingress.com   external.ingress.com  80,443
   my-cluster-kafka-bootstrap  nginx  bootstrap.myingress.com  external.ingress.com  80,443

   Copy to Clipboard Toggle word wrap

   用于客户端连接的 DNS 地址会传播到每个入口 的状态。

   bootstrap ingress 的状态

   status:
     loadBalancer:
       ingress:
         - hostname: external.ingress.com
    # ...

   Copy to Clipboard Toggle word wrap

3. 使用目标代理，使用 OpenSSL s_client 检查端口 443 上的 client-server TLS 连接。

   openssl s_client -connect broker-0.myingress.com:443 -servername broker-0.myingress.com -showcerts

   Copy to Clipboard Toggle word wrap

   服务器名称是用于将连接传递给代理的 SNI。

   如果连接成功，则返回代理的证书。

   代理的证书

   Certificate chain
    0 s:O = io.strimzi, CN = my-cluster-kafka
      i:O = io.strimzi, CN = cluster-ca v0

   Copy to Clipboard Toggle word wrap

4. 提取集群 CA 证书。

   oc get secret my-cluster-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

   Copy to Clipboard Toggle word wrap

5. 将您的客户端配置为连接到代理。

   1. 指定 Kafka 客户端中的 bootstrap 主机（从监听器 配置）和端口 443，作为连接到 Kafka 集群的 bootstrap 地址。例如： bootstrap.myingress.com:443。

   2. 将提取的证书添加到 Kafka 客户端的信任存储中，以配置 TLS 连接。

      如果您启用了任何身份验证，您还需要在客户端中配置它。