第 14 章 管理对 Kafka 的安全访问

mTLS 身份验证总是用于 Kafka 代理和 ZooKeeper pod 之间的通信。

AMQ Streams 可将 Kafka 配置为使用 TLS （传输层安全）来提供 Kafka 代理和客户端之间的加密通信，而无需 mutual 身份验证。对于 mutual，或双向验证，服务器和客户端都存在证书。当您配置 mTLS 身份验证时，代理会验证客户端（客户端身份验证），客户端会验证代理（服务器身份验证）。

Kafka 资源中的 mTLS 侦听器配置需要以下内容：

当 Cluster Operator 创建 Kafka 集群时，它会创建一个名为 < cluster_name>-cluster-ca-cert 的新 secret。secret 包含 CA 证书。CA 证书采用 PEM 和 PKCS #12 格式。要验证 Kafka 集群，请将 CA 证书添加到客户端配置中的信任存储中。若要验证客户端，请在客户端配置中添加用户证书和密钥到密钥存储。有关为 mTLS 配置客户端的详情请参考 第 14.2.2 节 “用户身份验证”。

SCRAM (Salted Challenge Response Authentication Mechanism)是一个身份验证协议，可以使用密码建立 mutual 身份验证。AMQ Streams 可将 Kafka 配置为使用 SASL (Simple Authentication and Security Layer) SCRAM-SHA-512 在未加密的和加密的客户端连接上提供身份验证。

当 SCRAM-SHA-512 身份验证与 TLS 连接一起使用时，TLS 协议会提供加密，但不用于身份验证。

以下 SCRAM 属性使得在未加密的连接中也安全地使用 SCRAM-SHA-512 ：

当使用 scram-sha-512 配置 KafkaUser.spec.authentication.type 时，User Operator 将生成一个由大写和小写 ASCII 字母和数字组成的随机 12 个字符密码。

默认情况下，AMQ Streams 会自动为每个在 Kafka 代理中启用的监听程序创建一个 NetworkPolicy 资源。此 NetworkPolicy 允许应用程序连接到所有命名空间中的监听程序。使用网络策略作为监听器配置的一部分。

如果要将网络级别的监听程序的访问权限限制为所选应用程序或命名空间，请使用 networkPolicyPeers 属性。每个监听程序都可以有不同的 networkPolicyPeers 配置。有关网络策略对等点的更多信息，请参阅 NetworkPolicyPeer API 参考。

如果要使用自定义网络策略，您可以在 Cluster Operator 配置中将 STRIMZI_NETWORK_POLICY_GENERATION 环境变量设置为 false。如需更多信息，请参阅 第 8.5 节 “配置 Cluster Operator”。

您可以为启用了 TLS 加密的 TLS 监听程序或启用了 TLS 加密的外部监听程序提供您自己的服务器证书，称为 Kafka 侦听器证书。如需更多信息，请参阅 第 14.3.4 节 “为 TLS 加密提供自己的 Kafka 侦听器证书”。

超级用户都可以访问 Kafka 集群中的所有资源，无论访问限制如何，且都由所有授权机制支持。

要为 Kafka 集群指定超级用户，请在 superUsers 属性中添加用户主体列表。如果用户使用 mTLS 身份验证，则用户名是 TLS 证书主题中的通用名称，前缀为 CN=。如果您不使用 User Operator 并将您自己的证书用于 mTLS，则用户名是完整的证书主题。一个完整的证书主题可以有以下字段： CN=user,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=my_country_code.省略不存在的任何字段。

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...