14.3. 保护对 Kafka 代理的访问

流程

1. 配置 Kafka 资源。

   1. 配置授权的 authorization 属性。

   2. 配置 listeners 属性，以创建具有身份验证的监听程序。

      例如：

      apiVersion: kafka.strimzi.io/v1beta2
      kind: Kafka
      spec:
        kafka:
          # ...
          authorization: 1
            type: simple
            superUsers: 2
              - CN=client_1
              - user_2
              - CN=client_3
          listeners:
            - name: tls
              port: 9093
              type: internal
              tls: true
              authentication:
                type: tls 3
          # ...
        zookeeper:
          # ...

      1

      授权 在使用 AclAuthorizer 和 StandardAuthorizer Kafka 插件的 Kafka 代理上启用 simple 授权。

      2

      对 Kafka 有无限访问权限的用户主体列表。当使用 mTLS 身份验证时，CN 是客户端证书的通用名称。

      3

      可以为每个监听程序配置监听程序身份验证机制，并指定为 mTLS、SCRAM-SHA-512 或基于令牌的 OAuth 2.0。

      如果要配置外部监听程序，则配置取决于所选的连接机制。

2. 创建或更新 Kafka 资源。

   oc apply -f <kafka_configuration_file>

   Kafka 集群使用 mTLS 身份验证配置 Kafka 代理监听程序。

   为每个 Kafka 代理 pod 创建一个服务。

   创建一个服务作为与 Kafka 集群连接的 bootstrap 地址。

   在 secret <cluster _name> -cluster-ca-cert 中还创建了用于验证 kafka 代理的身份的集群 CA 证书。

流程

1. 配置 KafkaUser 资源。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: KafkaUser
   metadata:
     name: my-user
     labels:
       strimzi.io/cluster: my-cluster
   spec:
     authentication: 1
       type: tls
     authorization:
       type: simple 2
       acls:
         - resource:
             type: topic
             name: my-topic
             patternType: literal
           operations:
             - Describe
             - Read
         - resource:
             type: group
             name: my-group
             patternType: literal
           operations:
             - Read

   1

   用户身份验证机制，定义为 mutual tls 或 scram-sha-512。

   2

   简单的授权，这需要附带的 ACL 规则列表。

2. 创建或更新 KafkaUser 资源。

   oc apply -f <user_config_file>

   创建了用户，以及名称与 KafkaUser 资源相同的 Secret。Secret 包含 mTLS 身份验证的私钥和公钥。

流程

1. 打开 Kafka 资源。

2. 在 networkPolicyPeers 属性中，定义允许访问 Kafka 集群的应用程序 pod 或命名空间。

   例如，将 tls 侦听器配置为只允许来自应用程序 pod 的连接，标签 app 设置为 kafka-client ：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   spec:
     kafka:
       # ...
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
           networkPolicyPeers:
             - podSelector:
                 matchLabels:
                   app: kafka-client
       # ...
     zookeeper:
       # ...

3. 创建或更新资源。

   使用 oc apply:

   oc apply -f your-file

流程

1. 创建包含私钥和服务器证书的 Secret ：

   oc create secret generic my-secret --from-file=my-listener-key.key --from-file=my-listener-certificate.crt

2. 编辑集群的 Kafka 资源。

   将监听程序配置为在 configuration.brokerCertChainAndKey 属性中使用您的 Secret、证书文件和私钥文件。

   启用 TLS 加密的 loadbalancer 外部监听程序配置示例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: external3
       port: 9094
       type: loadbalancer
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   TLS 侦听器配置示例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: tls
       port: 9093
       type: internal
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

3. 应用新配置以创建或更新资源：

   oc apply -f kafka.yaml

   Cluster Operator 启动 Kafka 集群的滚动更新，该集群更新监听程序的配置。

   注意

   如果您在被监听程序使用的 Secret 中更新 Kafka 侦听器证书，也会启动滚动更新。