第 15 章 管理 TLS 证书

要支持加密，每个 AMQ Streams 组件需要自己的私钥和公钥证书。所有组件证书都由名为 集群 CA 的内部 CA （证书颁发机构）签名。

CA （证书授权机构）证书由 Cluster Operator 生成，以验证组件和客户端的身份。

同样，每个使用 mTLS 连接到 AMQ Streams 的 Kafka 客户端应用程序都需要使用私钥和证书。第二个名为 客户端 CA 的内部 CA 用于为 Kafka 客户端签名证书。

集群 CA 和客户端 CA 都有一个自签名公钥证书。

Kafka 代理被配置为信任由集群 CA 或客户端 CA 签名的证书。客户端不需要连接到的组件，如 ZooKeeper，只信任由集群 CA 签名的证书。除非外部监听程序的 TLS 加密被禁用，否则客户端应用程序必须信任由集群 CA 签名的证书。对于执行 mTLS 验证的客户端应用程序，这也也是如此。

默认情况下，AMQ Streams 会自动生成和更新集群 CA 或客户端 CA 发布的 CA 证书。您可以使用 Kafka.spec.clusterCa 和 Kafka.spec.clientsCa 属性来配置这些 CA 证书的管理。