第 5 章 配置安全连接

当在 RHEL 上使用 Streams for Apache Kafka 时，保护与 Kafka 集群的客户端连接的一般概述如下：

使用配置属性文件在 Kafka 中配置监听程序。要为 Kafka 代理配置安全连接，您可以在此文件中为 TLS、SASL 和其他与安全相关的配置设置相关的属性。

以下是在 Kafka 代理的 server.properties 配置文件中指定的 TLS 侦听器的示例配置，其密钥存储和信任存储采用 PKCSbusybox 格式：

listeners = listener_1://0.0.0.0:9093, listener_2://0.0.0.0:9094
listener.security.protocol.map = listener_1:SSL, listener_2:PLAINTEXT
ssl.keystore.type = PKCS12
ssl.keystore.location = /path/to/keystore.p12
ssl.keystore.password = <password>
ssl.truststore.type = PKCS12
ssl.truststore.location = /path/to/truststore.p12
ssl.truststore.password = <password>
ssl.client.auth = required
authorizer.class.name = kafka.security.auth.SimpleAclAuthorizer.
super.users = User:superuser

listener 属性指定每个监听程序名称，以及代理侦听的 IP 地址和端口。协议映射告知 listener_1 侦听器将 SSL 协议用于使用 TLS 加密的客户端。listener_2 为不使用 TLS 加密的客户端提供 PLAINTEXT 连接。密钥存储包含代理的私钥和证书。truststore 包含用于验证客户端应用程序身份的可信证书。ssl.client.auth 属性强制执行客户端身份验证。

Kafka 集群使用简单的授权。授权器设置为 SimpleAclAuthorizer。为所有监听器上的非受限访问定义了单个超级用户。Apache Kafka 的流支持 Kafka SimpleAclAuthorizer 和自定义授权器插件。

如果我们使用 listener.name.<name_of_listener> 为配置属性添加前缀，则配置特定于该监听程序。

这只是一个示例配置。某些配置选项特定于监听器的类型。如果您使用 OAuth 2.0 或 Open Policy Agent (OPA)，还必须配置特定监听器中的授权服务器或 OPA 服务器的访问权限。您可以根据特定要求和环境创建监听程序。

有关监听器配置的更多信息，请参阅 Apache Kafka 文档。

在以下示例中，第一个 ACL 授予名为 my-topic 的特定主题的读取和描述权限。resource.patternType 设置为 literal，这意味着资源名称必须完全匹配。

第二个 ACL 授予名为 my-group 的特定消费者组的读取权限。resource.patternType 设置为 prefix，这意味着资源名称必须与前缀匹配。

bin/kafka-acls.sh --authorizer-properties zookeeper.connect=localhost:2181 --add \
--allow-principal User:my-user --operation Read --operation Describe --topic my-topic --resource-pattern-type literal \
--allow-principal User:my-user --operation Read --group my-group --resource-pattern-type prefixed

在 OpenShift 中使用流 for Apache Kafka 时，一般概述了保护与 Kafka 集群的客户端连接，如下所示：

当您使用 Apache Kafka 的 Streams 部署 Kafka 自定义资源时，您可以将监听程序配置添加到 Kafka spec 中。使用监听程序配置在 Kafka 中安全连接。要为 Kafka 代理配置安全连接，请在监听器级别设置 TLS、SASL 和其他与安全相关的配置的相关属性。

外部监听程序提供对 OpenShift 集群外部的 Kafka 集群的客户端访问。Apache Kafka 的 Streams 创建监听程序服务和 bootstrap 地址，以便根据配置启用对 Kafka 集群的访问。例如，您可以创建使用以下连接机制的外部监听程序：

以下是 Kafka 资源的 nodeport 侦听器配置示例：

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
spec:
  kafka:
    # ...
    listeners:
      - name: plaintext
        port: 9092
        type: internal
        tls: false
        configuration:
          useServiceDnsDomain: true
      - name: tls
        port: 9093
        type: internal
        tls: true
        authentication:
          type: tls
      - name: external
        port: 9094
        type: route
        tls: true
        authentication:
          type: tls
    authorization:
      type: simple
      superUsers:
        - CN=superuser
  # ...

listener 属性配置有三个监听程序： plaintext、tls 和 external。外部 侦听器的类型是 nodeport，它使用 TLS 进行加密和身份验证。当使用 Cluster Operator 创建 Kafka 集群时，CA 证书会自动生成。您可以将集群 CA 添加到客户端应用程序的信任存储中，以验证 Kafka 代理的身份。另外，您可以将 Apache Kafka 的 Streams 配置为使用在代理或监听程序级别的您自己的证书。当客户端应用程序需要不同的安全配置时，可能需要在监听器级别使用证书。在监听器级别使用证书也会添加额外的控制和安全层。

Kafka 集群使用简单的授权。authorization 属性 type 设置为 simple。为所有监听器上的非受限访问定义了单个超级用户。Apache Kafka 的流支持 Kafka SimpleAclAuthorizer 和自定义授权器插件。

这只是一个示例配置。某些配置选项特定于监听器的类型。如果您使用 OAuth 2.0 或 Open Policy Agent (OPA)，还必须配置特定监听器中的授权服务器或 OPA 服务器的访问权限。您可以根据特定要求和环境创建监听程序。

有关监听器配置的更多信息，请参阅 GenericKafkaListener 模式参考。

在以下示例中，第一个 ACL 授予名为 my-topic 的特定主题的读取和描述权限。resource.patternType 设置为 literal，这意味着资源名称必须完全匹配。

第二个 ACL 授予名为 my-group 的特定消费者组的读取权限。resource.patternType 设置为 prefix，这意味着资源名称必须与前缀匹配。

apiVersion: kafka.strimzi.io/v1beta2
kind: KafkaUser
metadata:
  name: my-user
  labels:
    strimzi.io/cluster: my-cluster
spec:
  # ...
  authorization:
    type: simple
    acls:
      - resource:
          type: topic
          name: my-topic
          patternType: literal
        operations:
          - Read
          - Describe
      - resource:
          type: group
          name: my-group
          patternType: prefix
        operations:
          - Read