Kafka 安全机制

Kafka 安全机制

kafka的安全机制是一个保护kafka的数据不对外暴露的一种策略,相当于隐藏了数据本身的接口,客户端消费数据的时候必须走安全机制才能正常有效的访问到数据本身,一般相对数据安全性要求较高或者订单,用户私密的信息的数据,建议开启,开启了以后,将会影响kafka的性能 20%左右.所以开启的时候慎重

服务端生成秘钥.

首先得找到一个存放秘钥的地址,一般要放在server端和kafka的data一起都可以,过程需要你的用户名和密码,以及城市国家,公司等一些信息

创建密钥仓库，用于存储证书文件
keytool -keystore server.keystore.jks -alias imoockafka -validity 100000 -genkey

创建CA
openssl req -new -x509 -keyout ca-key -out ca-cert -days 100000

将生成的CA添加到客户信任库
keytool -keystore client.truststore.jks -alias CARoot -import -file ca-cert

为broker提供信任库以及所有客户端签名了密钥的CA证书
keytool -keystore server.truststore.jks -alias CARoot -import -file ca-cert
执行此步骤完成后,将生成一个

ca-cert
ca-key
server.keystore.jks

记住以上的证书名称 ,进行签名证书，用自己生成的CA来签名前面生成的证书
1、从密钥仓库导出证书
keytool -keystore server.keystore.jks -alias imoockafka -certreq -file cert-file

2、用CA签名：
openssl x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out cert-signed -days 100000 -CAcreateserial -passin pass:jiangzh

3、导入CA的证书和已签名的证书到密钥仓库
keytool -keystore server.keystore.jks -alias CARoot -import -file ca-cert
keytool -keystore server.keystore.jks -alias imoockafka -import -file cert-signed

执行此步骤完成后,将生成一个

ca-cert
ca-key
server.keystore.jks
cert-signed
server.truststore.jks
client.truststore.jks
cert-file
ca-cert.srl

服务端配置秘钥

vim kafka server.properties:

也就是在原来的基础上加上你设置的ssl的地址和自定义的端口号即,以及生成秘钥的地址位置

listeners=PLAINTEXT://192.168.220.128:9092,<font color=red >SSL://192.168.220.128:8989</font>
advertised.listeners=PLAINTEXT://192.168.220.128:9092,<font color=red >SSL://192.168.220.128:8989</font>
ssl.keystore.location=/opt/ca-tmp/server.keystore.jks
ssl.keystore.password=jiangzh
ssl.key.password=jiangzh
ssl.truststore.location=/opt/ca-tmp/server.truststore.jks
ssl.truststore.password=jiangzh

测试SSL是否成功

测试SSL是否成功
openssl s_client -debug -connect 192.168.220.128:8989 -tls1

客户端消费的场景,只需要在Properties 设置相关的key和你的ssl生成的证书

(需要提前将证书copy下来)
security.protocol=SSL
ssl.endpoint.identification.algorithm=
ssl.truststore.location=/opt/ca-tmp2/client.truststore.jks
ssl.truststore.password=jiangzh

注意:消费的时候,消费的应该是新的安全机制下的端口,而非原本配置的 9092