5.4. 使用 OpenShift 路由访问 Kafka

流程

1. 配置 Kafka 资源，将外部监听程序设置为 route 类型。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     labels:
       app: my-cluster
     name: my-cluster
     namespace: myproject
   spec:
     kafka:
       # ...
       listeners:
         - name: listener1
           port: 9094
           type: route
           tls: true 

   1

   
           # ...
       # ...
     zookeeper:
       # ...

   Copy to Clipboard Toggle word wrap

   1

   对于 路由类型 监听程序，必须启用 TLS 加密(true)。

2. 创建或更新资源。

   oc apply -f <kafka_configuration_file>

   Copy to Clipboard Toggle word wrap

   验证 kafka 代理的身份在 secret my-cluster-cluster-ca-cert 中创建了集群 CA 证书。

   ClusterIP 类型服务为每个 Kafka 代理创建，以及外部 bootstrap 服务。

   另外，还会为每个服务创建一个路由，其中包含一个 DNS 地址 (host/port)，以使用默认的 OpenShift HAProxy 路由器公开它们。

   路由预先配置了 TLS 透传。

   为 bootstrap 和代理创建的路由

   NAME                                  HOST/PORT                                                   SERVICES                              PORT  TERMINATION
   my-cluster-kafka-listener1-0          my-cluster-kafka-listener1-0-my-project.router.com          my-cluster-kafka-listener1-0          9094  passthrough
   my-cluster-kafka-listener1-1          my-cluster-kafka-listener1-1-my-project.router.com          my-cluster-kafka-listener1-1          9094  passthrough
   my-cluster-kafka-listener1-2          my-cluster-kafka-listener1-2-my-project.router.com          my-cluster-kafka-listener1-2          9094  passthrough
   my-cluster-kafka-listener1-bootstrap  my-cluster-kafka-listener1-bootstrap-my-project.router.com  my-cluster-kafka-listener1-bootstrap  9094  passthrough

   Copy to Clipboard Toggle word wrap

   用于客户端连接的 DNS 地址会传播到每个路由的 状态。

   bootstrap 路由的状态示例

   status:
     ingress:
       - host: >-
           my-cluster-kafka-listener1-bootstrap-my-project.router.com
    # ...

   Copy to Clipboard Toggle word wrap

3. 使用目标代理，使用 OpenSSL s_client 检查端口 443 上的 client-server TLS 连接。

   openssl s_client -connect my-cluster-kafka-listener1-0-my-project.router.com:443 -servername my-cluster-kafka-listener1-0-my-project.router.com -showcerts

   Copy to Clipboard Toggle word wrap

   服务器名称是用于将连接传递给代理的 SNI。

   如果连接成功，则返回代理的证书。

   代理的证书

   Certificate chain
    0 s:O = io.strimzi, CN = my-cluster-kafka
      i:O = io.strimzi, CN = cluster-ca v0

   Copy to Clipboard Toggle word wrap

4. 从 Kafka 资源的状态检索 bootstrap 服务的地址。

   oc get kafka my-cluster -o=jsonpath='{.status.listeners[?(@.name=="listener1")].bootstrapServers}{"\n"}'
   
   my-cluster-kafka-listener1-bootstrap-my-project.router.com:443

   Copy to Clipboard Toggle word wrap

   该地址包含集群名称、侦听器名称、项目名称和路由器的域（本例中为router.com ）。

5. 提取集群 CA 证书。

   oc get secret my-cluster-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

   Copy to Clipboard Toggle word wrap

6. 将您的客户端配置为连接到代理。

   1. 指定 Kafka 客户端中的 bootstrap 服务和端口 443 的地址，作为连接到 Kafka 集群的 bootstrap 地址。

   2. 将提取的证书添加到 Kafka 客户端的信任存储中，以配置 TLS 连接。

      如果您启用了任何身份验证，您还需要在客户端中配置它。