随笔- 1190  评论- 983  文章- 0 

Kafka Kerberos服务端配置

正是因为Kafka推出了Kerberos认证,才表示Kafka真正的由实验阶段变为了实际的生产环境(速度很慢),但是对于SSL的认证处理是非常复杂的,所以在实际的开发中,更多的开发者会选择利用Kerberos这种认证机制,同时结合jaas配置文件进行更加有效的安全认证处理。

Kerberos认证需要考虑如下几个层次:
a、zookeeper的访问安全:kafka_zookeeper_jaas.conf
b、KafkaServer的访问安全:kafka_server_jaas.conf
c、客户端命令和Java:kafka_client_jaas.conf

这样配置完成之后可以保证你的zookeeper足够安全,你的kafkaserver足够安全,同时千万要记住,在zookeeper和kafkaserver之间进行互相配置的时候,必须有一个相同的用户名和密码。

kerberos认证

1、为了方便进行所有kerberos认证文件的管理建立一个目录:

mkdir -p /usr/local/kafka/jaas


2、建立ZooKeeper的JAAS配置文件:vim /usr/local/kafka/jaas/kafka_zookeeper_jaas.conf

Server  {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="zkadmin"
    password="zkadmin-pwd";
};


在此处配置了一个新的用户:zkadmin/zkadmin-pwd。

3、 建立一个kafkaServer的JAAS配置:

vim /usr/local/kafka/jaas/kafka_server_jaas.conf
KafkaServer {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="zkadmin"
    password="zkadmin-pwd"
    user_zkadmin="zkadmin-pwd"
    user_alice="alice-pwd"
    user_bob="bob-pwd";
};

格式:user_用户名=密码,此时的程序配置有三个账户:zkadmin/zkadmin-pwd、alice/alice-pwd、bob/bob-pwd。

4、 如果要想正常去使用kerberos认证处理,必须由用户自己去指派jaas的访问路径,也就是说kafka本身依赖于JDK,那么这个时候必须通过JDK中的初始化参数去定义好jaas访问路径之后才可以进行处理。

4.1、修改zookeeper服务启动命令:

#vim /root/soft/zookeeper-3.4.14/bin/zookeeper-server-start.sh
vim /root/soft/zookeeper-3.4.14/bin/zkServer.sh

export KAFKA_OPTS="-Djava.security.auth.login.config=/usr/local/kafka/jaas/kafka_zookeeper_jaas.conf"

注:第一行追加

4.2、修改kafkaserver启动命令:vim /root/soft/kafka_2.11-2.4.1/bin/kafka-server-start.sh

export KAFKA_OPTS="-Djava.security.auth.login.config=/usr/local/kafka/jaas/kafka_server_jaas.conf"

注:第一行追加

5、如果要想让kafka支持jaas处理操作,那么还需要修改server.properties配置文件:
打开配置文件:vim /usr/local/kafka/config/server.properties;

编写端口号:    
port=9092

编写内部的通讯连接:    
listeners=SASL_PLAINTEXT://172.16.0.2:9092

设置外部的通讯连接:    
advertised.listeners=SASL_PLAINTEXT://203.195.205.63:9092

设置使用的通讯协议:    
security.inter.broker.protocol=SASL_PLAINTEXT

启用SASL处理机制间的通讯:    
sasl.enabled.mechanisms=PLAIN

设置broker之间的传输机制:    
sasl.mechanism.inter.broker.protocol=PLAIN

6、 启动当前的Kafka服务:

6.1、启动zk
cd /root/soft/zookeeper-3.4.14/bin
./zkServer.sh stop
./zkServer.sh start

6.2、启动kafka
cd /root/soft/kafka_2.11-2.4.1/bin
./kafka-server-stop.sh
./kafka-server-start.sh ../config/server.properties > /logs/kafka.log 2>&1 &

6.3、查看主题列表
./kafka-topics.sh --list --zookeeper localhost:2181

 

可以查看主题,表示kerberos认证配置成功。

 

 


posted on 2020-06-27 22:13  Ruthless  阅读(137)  评论(0编辑  收藏