14.7. 使用 OpenShift 路由访问 Kafka

流程

1. 配置 Kafka 资源，将外部监听程序设置为 route 类型。

   例如：

   apiVersion: kafka.strimzi.io/v1beta2
   kind: Kafka
   metadata:
     labels:
       app: my-cluster
     name: my-cluster
     namespace: myproject
   spec:
     kafka:
       # ...
       listeners:
         - name: external1
           port: 9094
           type: route
           tls: true 1
           authentication:
             type: tls
           # ...
       # ...
     zookeeper:
       # ...

   1

   对于 路由类型 监听程序，必须启用 TLS 加密(true)。

2. 创建或更新资源。

   oc apply -f <kafka_configuration_file>

   在 secret my-cluster-cluster-ca-cert 中创建用于验证 kafka 代理身份的集群 CA 证书。

   为每个 Kafka 代理以及外部 bootstrap 服务创建 ClusterIP 类型服务。

   另外，还会为每个服务创建一个路由，其中包含一个 DNS 地址 (host/port)，以使用默认的 OpenShift HAProxy 路由器公开它们。

   路由预先配置了 TLS 透传。

   为 bootstrap 和代理创建的路由

   NAME                                  HOST/PORT                                                  SERVICES                              PORT  TERMINATION
   my-cluster-kafka-external1-0          my-cluster-kafka-external1-0-my-project.router.com         my-cluster-kafka-external1-0          9094  passthrough
   my-cluster-kafka-external1-1          my-cluster-kafka-external1-1-my-project.router.com         my-cluster-kafka-external1-1          9094  passthrough
   my-cluster-kafka-external1-2          my-cluster-kafka-external1-2-my-project.router.com         my-cluster-kafka-external1-2          9094  passthrough
   my-cluster-kafka-external1-bootstrap  my-cluster-kafka-external1-bootstrap-my-project.router.com my-cluster-kafka-external1-bootstrap  9094  passthrough

   用于客户端连接的 DNS 地址传播到 每个路由的状态。

   bootstrap 路由的状态示例

   status:
     ingress:
       - host: >-
           my-cluster-kafka-external1-bootstrap-my-project.router.com
    # ...

3. 使用目标代理使用 OpenSSL s_client 检查端口 443 上的客户端-服务器 TLS 连接。

   openssl s_client -connect my-cluster-kafka-external1-0-my-project.router.com:443 -servername my-cluster-kafka-external1-0-my-project.router.com -showcerts

   服务器名称是将连接传递给代理的 Server Name Indication (SNI)。

   如果连接成功，则返回代理的证书。

   代理的证书

   Certificate chain
    0 s:O = io.strimzi, CN = my-cluster-kafka
      i:O = io.strimzi, CN = cluster-ca v0

4. 从 Kafka 资源的状态检索 bootstrap 服务的地址。

   oc get kafka my-cluster -o=jsonpath='{.status.listeners[?(@.name=="external1")].bootstrapServers}{"\n"}'
   
   my-cluster-kafka-external1-bootstrap-my-project.router.com:443

   该地址包含 Kafka 集群名称、侦听器名称、项目名称和路由器域（本例中为router.com ）。

5. 提取集群 CA 证书。

   oc get secret my-cluster-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crt

6. 将您的客户端配置为连接到代理。

   1. 指定 Kafka 客户端中的 bootstrap 服务和端口 443 的地址，作为连接到 Kafka 集群的 bootstrap 地址。

   2. 将提取的证书添加到 Kafka 客户端的信任存储中，以配置 TLS 连接。

      如果启用了客户端身份验证机制，您还需要在客户端中配置它。