第 14 章 管理对 Kafka 的安全访问

mTLS 身份验证总是用于 Kafka 代理和 ZooKeeper pod 之间的通信。

AMQ Streams 可将 Kafka 配置为使用 TLS （传输层安全）来提供 Kafka 代理和客户端之间的加密通信，并不使用 mutual 身份验证。对于 mutual 或双向身份验证，服务器和客户端都存在证书。当您配置 mTLS 身份验证时，代理会验证客户端（客户端身份验证），客户端验证代理（服务器身份验证）。

Kafka 资源中的 mTLS 侦听器配置需要以下内容：

当 Cluster Operator 创建 Kafka 集群时，它会创建一个名为 < cluster_name>-cluster-ca-cert 的新 secret。secret 包含 CA 证书。CA 证书采用 PEM 和 PKCS #12 格式。要验证 Kafka 集群，请将 CA 证书添加到客户端配置中的信任存储中。要验证客户端，请将用户证书和密钥添加到您的客户端配置的密钥存储中。有关为 mTLS 配置客户端的详情，请参考 第 14.2.2 节 “用户身份验证”。

SCRAM (Salted Challenge Response Authentication Mechanism)是一个身份验证协议，可以使用密码建立 mutual 身份验证。AMQ Streams 可将 Kafka 配置为使用 SASL (Simple Authentication and Security Layer) SCRAM-SHA-512，以便在未加密的和加密的客户端连接中提供身份验证。

当 SCRAM-SHA-512 验证与 TLS 连接一起使用时，TLS 协议会提供加密，但不用于身份验证。

以下 SCRAM 属性使得即使在未加密的连接中也安全地使用 SCRAM-SHA-512：

当 KafkaUser.spec.authentication.type 配置为 scram-sha-512 时，User Operator 将生成一个由大写和小写 ASCII 字母和数字组成的随机 12 个字符密码。

默认情况下，AMQ Streams 会自动为每个在 Kafka 代理上启用的监听程序创建一个 NetworkPolicy 资源。此 NetworkPolicy 允许应用程序连接到所有命名空间中的监听程序。使用网络策略作为监听程序配置的一部分。

如果要将对网络级别的监听程序的访问限制为只选择的应用程序或命名空间，请使用 networkPolicyPeers 属性。每个监听程序都可以有不同的 networkPolicyPeers 配置。如需有关网络策略对等点的更多信息，请参阅 NetworkPolicyPeer API 参考。

如果要使用自定义网络策略，您可以在 Cluster Operator 配置中将 STRIMZI_NETWORK_POLICY_GENERATION 环境变量设置为 false。如需更多信息，请参阅 第 8.5 节 “配置 Cluster Operator”。

您可以为启用了 TLS 加密的 TLS 侦听器或外部监听程序提供自己的服务器证书，称为 Kafka 侦听器证书。如需更多信息，请参阅 第 14.3.4 节 “为 TLS 加密提供自己的 Kafka 侦听器证书”。

无论任何访问限制，且所有授权机制都支持超级用户，用户都可以访问 Kafka 集群中的所有资源。

要为 Kafka 集群指定超级用户，请在 superUsers 属性中添加用户主体列表。如果用户使用 mTLS 身份验证，用户名是 TLS 证书主题中前缀为 CN= 的通用名称。如果您没有使用 User Operator 并使用您自己的证书 mTLS，则用户名是完整证书主题。一个完整的证书主题可以有以下字段： CN=user,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=my_country_code。省略任何不存在的字段。

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...