4.3. 保护对 Kafka 代理的访问

步骤

1. 配置 Kafka 资源。

   1. 配置 授权 属性。

   2. 配置 listens 属性，以创建具有身份验证的侦听器。

      例如：

      apiVersion: kafka.strimzi.io/v1beta1
      kind: Kafka
      spec:
        kafka:
          # ...
          authorization: 1
            type: simple
            superUsers: 2
              - CN=client_1
              - user_2
              - CN=client_3
          listeners:
            - name: tls
              port: 9093
              type: internal
              tls: true
              authentication:
                type: tls 3
          # ...
        zookeeper:
          # ...

      1

      授权启用使用 AclAuthorizer Kafka 插件的 Kafka 代理 的简单 授权。

      2

      对 Kafka 拥有无限访问权限的用户主体列表。在使用 TLS 身份验证时，CN 是客户端证书的常用名称。

      3

      监听器身份验证机制可以为每个侦听器配置，并 指定为 mutual TLS、SCRAM-SHA-512 或基于令牌的 OAuth 2.0。

      如果您要配置外部监听程序，其配置取决于所选的连接机制。

2. 创建或更新 Kafka 资源。

   oc apply -f KAFKA-CONFIG-FILE

   使用 TLS 身份验证配置 Kafka 代理监听程序。

   为每个 Kafka 代理 pod 创建一个服务。

   创建一个服务作为连接到 Kafka 集群的 bootstrap 地址。

   也使用与 Kafka 资源相同的名称来创建用于验证 kafka 代理身份的集群 CA 证书。