7.6. 使用 OpenShift 路由访问 Kafka

流程

1. 配置 Kafka 资源，将外部监听程序设置为 route 类型。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     labels:
       app: my-cluster
     name: my-cluster
     namespace: myproject
   spec:
     kafka:
       # ...
       listeners:
         - name: external
           port: 9094
           type: route
           tls: true 

   1

   
           authentication:
             type: tls
           # ...
       # ...
     zookeeper:
       # ...

   Copy to Clipboard Toggle word wrap

   1

   对于 路由类型 监听程序，必须启用 TLS 加密（为true）。

2. 创建或更新资源。

   oc apply -f <kafka_configuration_file>

   Copy to Clipboard Toggle word wrap

   在 secret my-cluster-cluster-ca-cert 中创建了用于验证 kafka 代理的身份的集群 CA 证书。

   为每个 Kafka 代理以及外部 bootstrap 服务创建 ClusterIP 类型服务。

   另外，还会为每个服务创建一个路由，其中包含一个 DNS 地址 (host/port)，以使用默认的 OpenShift HAProxy 路由器公开它们。

   路由已预先配置有 TLS 透传。

   为 bootstrap 和代理创建的路由

   NAME                                  HOST/PORT                                                   SERVICES                              PORT  TERMINATION
   my-cluster-kafka-external-0          my-cluster-kafka-external-0-my-project.router.com          my-cluster-kafka-external-0          9094  passthrough
   my-cluster-kafka-external-1          my-cluster-kafka-external-1-my-project.router.com          my-cluster-kafka-external-1          9094  passthrough
   my-cluster-kafka-external-2          my-cluster-kafka-external-2-my-project.router.com          my-cluster-kafka-external-2          9094  passthrough
   my-cluster-kafka-external-bootstrap  my-cluster-kafka-external-bootstrap-my-project.router.com  my-cluster-kafka-external-bootstrap  9094  passthrough

   Copy to Clipboard Toggle word wrap

   用于客户端连接的 DNS 地址会传播到每个路由的 状态。

   bootstrap 路由的状态示例

   status:
     ingress:
       - host: >-
           my-cluster-kafka-external-bootstrap-my-project.router.com
    # ...

   Copy to Clipboard Toggle word wrap

3. 使用目标代理使用 OpenSSL s_client 检查端口 443 上的 client-server TLS 连接。

   openssl s_client -connect my-cluster-kafka-external-0-my-project.router.com:443 -servername my-cluster-kafka-external-0-my-project.router.com -showcerts

   Copy to Clipboard Toggle word wrap

   服务器名称是用于传递到代理连接的 SNI。

   如果连接成功，则返回代理的证书。

   代理的证书

   Certificate chain
    0 s:O = io.strimzi, CN = my-cluster-kafka
      i:O = io.strimzi, CN = cluster-ca v0

   Copy to Clipboard Toggle word wrap

4. 从 Kafka 资源的状态检索 bootstrap 服务的地址。

   oc get kafka my-cluster -o=jsonpath='{.status.listeners[?(@.name=="external")].bootstrapServers}{"\n"}'
   
   my-cluster-kafka-external-bootstrap-my-project.router.com:443

   Copy to Clipboard Toggle word wrap

   地址包含集群名称、监听程序名称、项目名称和路由器的域（本例中为router.com ）。

5. 提取集群 CA 证书。

   oc get secret my-cluster-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

   Copy to Clipboard Toggle word wrap

6. 将您的客户端配置为连接到代理。

   1. 指定 Kafka 客户端中的 bootstrap 服务和端口 443 的地址，作为连接到 Kafka 集群的 bootstrap 地址。

   2. 将提取的证书添加到 Kafka 客户端的信任存储中，以配置 TLS 连接。

      如果启用了客户端身份验证机制，您还需要在客户端上配置它。