第 11 章 使用 User Operator 管理 Kafka 用户

流程

1. 配置 KafkaUser 资源。

   这个示例使用 ACL 指定 mTLS 身份验证和简单授权。

   Kafka 用户配置示例

   apiVersion: kafka.strimzi.io/v1beta2
   kind: KafkaUser
   metadata:
     name: my-user-1
     labels:
       strimzi.io/cluster: my-cluster
   spec:
     authentication:
       type: tls
     authorization:
       type: simple
       acls:
         # Example consumer Acls for topic my-topic using consumer group my-group
         - resource:
             type: topic
             name: my-topic
             patternType: literal
           operations:
             - Describe
             - Read
           host: "*"
         - resource:
             type: group
             name: my-group
             patternType: literal
           operations:
             - Read
           host: "*"
         # Example Producer Acls for topic my-topic
         - resource:
             type: topic
             name: my-topic
             patternType: literal
           operations:
             - Create
             - Describe
             - Write
           host: "*"

2. 在 OpenShift 中创建 KafkaUser 资源。

   oc apply -f <user_config_file>

3. 等待用户的就绪状态更改为 True ：

   oc get kafkausers -o wide -w -n <namespace>

   Kafka 用户状态

   NAME       CLUSTER     AUTHENTICATION  AUTHORIZATION READY
   my-user-1  my-cluster  tls             simple        True
   my-user-2  my-cluster  tls             simple
   my-user-3  my-cluster  tls             simple        True

   当 READY 输出显示为 True 时，用户创建成功。

4. 如果 READY 列留空，请从资源 YAML 或 User Operator 日志中获取有关状态的更多详细信息。

   消息提供有关当前状态原因的详细信息。

   oc get kafkausers my-user-2 -o yaml

   具有 NotReady 状态的用户详情

   # ...
   status:
     conditions:
     - lastTransitionTime: "2022-06-10T10:07:37.238065Z"
       message: Simple authorization ACL rules are configured but not supported in the
         Kafka cluster configuration.
       reason: InvalidResourceException
       status: "True"
       type: NotReady

   在本例中，用户未就绪的原因是在 Kafka 配置中没有启用简单的授权。

   用于简单授权的 Kafka 配置

     apiVersion: kafka.strimzi.io/v1beta2
     kind: Kafka
     metadata:
       name: my-cluster
     spec:
       kafka:
         # ...
         authorization:
           type: simple

   更新 Kafka 配置后，状态会显示用户就绪。

   oc get kafkausers my-user-2 -o wide -w -n <namespace>

   用户的状态更新

   NAME       CLUSTER     AUTHENTICATION  AUTHORIZATION READY
   my-user-2  my-cluster  tls             simple        True

   获取详细信息不会显示任何消息。

   oc get kafkausers my-user-2 -o yaml

   具有 READY 状态的用户的详情

   # ...
   status:
     conditions:
     - lastTransitionTime: "2022-06-10T10:33:40.166846Z"
       status: "True"
       type: Ready