第 2 章 为 Record Encryption 过滤器准备 HashiCorp Vault

使用 Helm 部署配置示例部署 Vault

1. 下载并提取 Apache Kafka 代理安装工件的 Streams。

   代理可从 Apache Kafka 软件下载页面 的 Streams 获取。

   文件包含部署 Vault 所需的部署配置。

2. 创建根令牌并记下它：

   cat /dev/urandom | LC_ALL=C tr -dc 'a-zA-Z0-9' | fold -w 32 | head -n 1 > vault.root.token
   export VAULT_TOKEN=$(cat vault.root.token)

3. 使用 Helm 安装 Vault：

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm install vault hashicorp/vault \
     --create-namespace --namespace=vault \
     --version <helm_version> \
     --values vault/helm-dev-values.yaml \
     --set server.dev.devRootToken=${VAULT_TOKEN} \
     --wait

   root 令牌用于 Vault 实例。

4. 检查部署的状态：

   oc get pods -n vault

   输出显示部署名称和就绪

   NAME                      READY  STATUS   RESTARTS
   vault-0                   1/1    Running  0

   标识创建的 pod 的 pod ID。

   使用默认部署，您可以安装单个代理 pod。

   READY 显示就绪/预期的副本数。当 STATUS 显示为 Running 时，部署成功。

5. 创建 Vault 地址(VAULT_ADDR)环境变量以指向新的 Vault 实例：

   export VAULT_ADDR=$(oc get route -n vault vault --template='https://{{.spec.host}}')

6. 以管理员身份登录到 Vault，并启用 Vault Transit secret 引擎：

   vault secrets enable transit

   如果已经启用了 secret 引擎，请忽略错误。

7. 创建指向 Vault Transit 地址的环境变量：

   export VAULT_TRANSIT_URL=${VAULT_ADDR}/v1/transit

   地址在代理部署配置中使用。

8. 创建 Vault 策略和令牌。

1. 创建一个 Vault 地址环境变量(VAULT_ADDR 和 VAULT_NAMESPACE，如果使用 Enterprise)以指向 Vault 实例：

   export VAULT_ADDR=https://<vault server>:8200
   export VAULT_NAMESPACE=<namespaces>

2. 以管理员身份登录到 Vault，并启用 Vault Transit secret 引擎：

   vault secrets enable transit

   如果已经启用了 secret 引擎，请忽略错误。

3. 创建指向 Vault Transit 地址的环境变量：

   export VAULT_TRANSIT_URL=${VAULT_ADDR}/v1/${VAULT_NAMESPACE}/transit

   地址在代理部署配置中使用。

4. 更新代理部署配置，以引用您的 Vault 实例：

   sed -i "s/\(vaultTransitEngineUrl:\).*$/\1 ${VAULT_TRANSIT_URL}/" */proxy/proxy-config.yaml

5. 创建 Vault 策略和令牌。

1. 创建 Vault 策略：

   vault policy write amqstreams_proxy_encryption_filter_policy vault/amqstreams_proxy_encryption_filter_policy.hcl

   使用由 Apache Kafka Proxy 的 Streams 提供的 HashiCorp 策略定义文件(.hcl)将策略写入 Vault。该策略名为 amqstreams_proxy_encryption_filter_policy。

2. 创建 Vault 令牌：

   vault token create \
     -display-name "amqstreams-proxy encryption filter" \
     -policy=amqstreams_proxy_encryption_filter_policy \
     -no-default-policy \
     -orphan \
     -field=token > vault.encryption.token

   该命令使用指定策略创建令牌，且没有关联的父令牌或默认策略。

3. 创建包含令牌的 secret：

   oc create secret generic proxy-encryption-vault-token \
     -n proxy \
     --from-file=encryption-vault-token.txt=vault.encryption.token \
     --dry-run=client \
     -o yaml > base/proxy/proxy-encryption-vault-token-secret.yaml

   命令将 Vault 令牌存储在机密中，并将 secret 创建为 代理 命名空间中的 YAML 文件。

   当使用 Record Encryption 过滤器部署流 for Apache Kafka Proxy 时，proxy-encryption-vault-token-secret.yaml secret 会被应用到 OpenShift 集群。