Kafka实战：集群SSL加密认证和配置（最新版kafka-2.7.0）

前言概述

   1. JavaSSL认证

       SSL(Secure Socket Layer安全套接层)，及其继任者传输层安全(Transport ;ayer Security，TLS)是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。

    2. Kerberos认证 + ACL鉴权

      Kerberos是一种网络认证协议，其设计目标是通过密钥系统为客户机/服务器应用程序提供强大的认证服务。ACL则是在Kerberos的基础上进行的鉴权措施，一般Kerberos认证就够使用了。

SSL证书生成

     Apache的Kafka允许client通过SSL连接。SSL默认情况下被禁止，但可以根据需要开启。

    可以使用Java的keytool工具来完成，Keytool 是一个Java 数据证书的管理工具 ,Keytool 将密钥（key）和证书（certificates）存在一个称为keystore的文件中 在keystore里，包含两种数据： 

    1). 密钥实体（Key entity）——密钥（secret key）又或者是私钥和配对公钥（采用非对称加密） 

    2). 可信任的证书实体（trusted certificate entries）——只包含公钥

    keytool相关指令说明：

<col>

名称

说明

-alias

别名，可自定义，这里叫kafka240

-keystore

指定密钥库的名称(就像数据库一样的证书库，可以有很多个证书，cacerts这个文件是jre自带的， 也可以使用其它文件名字，如果没有这个文件名字，它会创建这样一个)

-storepass

指定密钥库的密码

-keypass

指定别名条目的密码

-list

显示密钥库中的证书信息

-export

将别名指定的证书导出到文件

-file

参数指定导出到文件的文件名

-import

将已签名数字证书导入密钥库

-keypasswd

修改密钥库中指定条目口令

-dname

指定证书拥有者信息。

其中，CN=名字与姓氏/域名,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码

-keyalg

指定密钥的算法

-validity

指定创建的证书有效期多少天

-keysize

指定密钥长度

1. Kafka集群的每个broker节点生成SSL密钥和证书（每个broker节执行）

    每个节点执行一次后，集群中的每一台机器都有一个公私密钥对、一个标识该机器的证书,注意这里是所有的broker节点都要执行这个命令。

    执行命令时，输入first and last name，这里需要输入你的主机名，确保公用名（CN）与服务器的完全限定域名（FQDN）精确相匹配。

    client拿CN与DNS域名进行比较以确保它确实连接到所需的服务器，而不是恶意的服务器。

2. 生成CA认证证书(为了保证整个证书的安全性，需要使用CA进行证书的签名保证)

    虽然第一步生成了证书，但是证书是无标记的，意味着攻击者可以通过创建相同的证书假装任何机器。认证机构（CA）负责签发证书。

    认证机构就像发行护照的政府，政府会对每张护照盖章，使得护照很难被伪造。其它，政府核实印章，以保证此护照是真实的。

    类似的，CA签署证书，密码保证签署的证书在计算上很难被伪造。因此，只要CA是一个真正值得信赖的权威机构，客户就可以很高的保证他们正在连接到真实的机器。

    这个命令，可随机在任一broker节点执行,只需要执行一次，执行完成后生成了两个文件cat-key、ca-cert，将这两个文件分别拷贝到所有broker节点上，后面需要用到。

3. 通过CA证书创建一个客户端端信任证书（每个broker节点执行）

4. 通过CA证书创建一个服务端器端信任证书(每个broker节点执行）

下面就是为证书签名

5. 从密钥库导出证书服务器端证书cert-file（每个broker节点执行）

6. 用CA给服务器端证书进行签名处理（每个broker节点执行）

7. 将CA证书导入到服务器端keystore（每个broker节点执行）

8. 将已签名的服务器证书导入到服务器keystore（每个broker节点执行）

Kafka集群配置

客户端连接配置

测试用例

欢迎关注微信公众号：大数据从业者