3.3. 保护来自客户端的连接

要保护到虚拟集群的客户端连接，请执行以下操作在虚拟集群中配置 TLS：

从证书颁发机构(CA)获取虚拟集群的服务器证书。
确保证书与裸机集群的 bootstrap 和代理地址的名称匹配。
这可能需要通配符证书和主题备用名称(SAN)。
使用虚拟主机配置中的 tls 属性提供 TLS 配置，使其能够向客户端提供证书。根据您的证书格式，应用以下示例之一。

注意

在 Kafka 客户端和用于生产环境配置的虚拟集群中推荐 TLS。

PKCSkamelet 配置示例

virtualClusters:
  my-cluster-proxy:
    tls:
      key:
        storeFile: <path>/server.p12


        storePassword:
          passwordFile: <path>/store.password


        keyPassword:
          passwordFile: <path>/key.password


        storeType: PKCS12


      # ...

PEM 配置示例

virtualClusters:
  my-cluster-proxy:
    tls:
      key:
        privateKeyFile: <path>/server.key


        certificateFile: <path>/server.crt


        keyPassword:
          passwordFile: <path>/key.password


# …

如果需要，将 insecure 属性配置为禁用信任并与任何 Kafka 集群建立不安全连接，无论证书的有效性。但是，这个选项仅用于开发和测试环境，其中正确证书难以获取和管理。

启用不安全的 TLS 的示例

virtualClusters:
  demo:
    targetCluster:
      bootstrap_servers: myprivatecluster:9092
      tls:
        trust:
          insecure: true


      #...
# …