第 15 章 保护对 Kafka 集群的访问

流程

1. 配置 networkPolicyPeers 属性，以定义允许访问 Kafka 集群的应用程序 pod 或命名空间。

   本例演示了 tls 侦听器的配置，仅允许来自应用程序 pod 的连接，标签 app 设置为 kafka-client ：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   spec:
     kafka:
       # ...
       listeners:
         - name: tls
           port: 9093
           type: internal
           tls: true
           authentication:
             type: tls
           networkPolicyPeers:
             - podSelector:
                 matchLabels:
                   app: kafka-client
       # ...
     zookeeper:
       # ...

   Copy to Clipboard Toggle word wrap
2. 对 Kafka 资源配置应用更改。

流程

1. 创建包含私钥和服务器证书的 Secret ：

   oc create secret generic <my_secret> --from-file=<my_listener_key.key> --from-file=<my_listener_certificate.crt>

   Copy to Clipboard Toggle word wrap

2. 编辑集群的 Kafka 资源。

   将监听程序配置为在 configuration.brokerCertChainAndKey 属性中使用您的 Secret、证书文件和私钥文件。

   启用 TLS 加密的 loadbalancer 外部监听程序配置示例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: external3
       port: 9094
       type: loadbalancer
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   Copy to Clipboard Toggle word wrap

   TLS 侦听器配置示例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: tls
       port: 9093
       type: internal
       tls: true
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   Copy to Clipboard Toggle word wrap

3. 对 Kafka 资源配置应用更改。

   Cluster Operator 启动 Kafka 集群的滚动更新，该集群更新监听程序的配置。

   注意

   如果您在被监听程序使用的 Secret 中更新 Kafka 侦听器证书，也会启动滚动更新。