kafka安全设置centos如何做 - 问答

CentOS 上 Kafka 安全设置实操指南

一规划与安全目标

建议同时启用传输加密与身份认证：使用 SSL/TLS 加密通道，配合 SASL 做用户认证；内部 Broker 之间也走加密与认证链路。
常用端口：9092（明文，仅内网可信环境）、9093（SSL）、或 SASL_SSL 端口；按最小化原则开放到公网的端口。
证书策略：测试可用自签名证书；生产建议使用 PKI/企业 CA 签发证书，并做好证书轮换与权限控制。

二启用 SSL TLS 加密

生成密钥与证书（JKS）
- 服务器密钥库
  - keytool -genkey -alias kafka-server -keystore /etc/kafka/kafka.server.keystore.jks -storepass password -validity 365 -keysize 2048
- 导出服务器证书
  - keytool -export -alias kafka-server -file kafka.server.crt -keystore /etc/kafka/kafka.server.keystore.jks -storepass password
- 构建信任库（Broker 与客户端共用或分别配置）
  - keytool -import -alias kafka-server -file kafka.server.crt -keystore /etc/kafka/kafka.server.truststore.jks -storepass password
服务端配置 server.properties
- listeners=SSL://:9093
- ssl.keystore.location=/etc/kafka/kafka.server.keystore.jks
- ssl.keystore.password=password
- ssl.key.password=password
- ssl.truststore.location=/etc/kafka/kafka.server.truststore.jks
- ssl.truststore.password=password
- ssl.enabled.protocols=TLSv1.2
- ssl.cipher.suites=TLS_AES_128_GCM_SHA256,TLS_AES_256_GCM_SHA384
客户端配置（producer.properties/consumer.properties 或命令行）
- security.protocol=SSL
- ssl.truststore.location=/etc/kafka/kafka.server.truststore.jks
- ssl.truststore.password=password
- 如需客户端证书（双向 TLS，可选）：
  - ssl.keystore.location=/etc/kafka/kafka.client.keystore.jks
  - ssl.keystore.password=password
  - ssl.key.password=password
  - 某些云上或内网域名校验不完备时，可临时设置：ssl.endpoint.identification.algorithm=（置空） 以关闭主机名校验（生产慎用）。

三配置 SASL 认证（推荐 SCRAM）

创建 SCRAM 用户（示例创建 admin、producer、consumer）
- kafka-configs.sh --zookeeper localhost:2181 --alter --add-config ‘SCRAM-SHA-256=[password=admin-secret]’ --entity-type users --entity-name admin
- kafka-configs.sh --zookeeper localhost:2181 --alter --add-config ‘SCRAM-SHA-256=[password=producer-secret]’ --entity-type users --entity-name producer
- kafka-configs.sh --zookeeper localhost:2181 --alter --add-config ‘SCRAM-SHA-256=[password=consumer-secret]’ --entity-type users --entity-name consumer
服务端 JAAS 配置（/etc/kafka/kafka_server_jaas.conf）
- KafkaServer {
  - org.apache.kafka.common.security.scram.ScramLoginModule required
  - username=“admin”
  - password=“admin-secret”;
  - user_admin=“admin-secret”;
  - user_producer=“producer-secret”;
  - user_consumer=“consumer-secret”;
  - };
服务端 server.properties（启用 SASL_SSL）
- listeners=SASL_SSL://:9093
- security.inter.broker.protocol=SASL_SSL
- sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256
- sasl.enabled.mechanisms=SCRAM-SHA-256
- listener.name.sasl_ssl.scram-sha-256.sasl.jaas.config=file:/etc/kafka/kafka_server_jaas.conf
- 如仍使用 ZooKeeper，需将 JAAS 通过环境变量传入：export KAFKA_OPTS=“-Djava.security.auth.login.config=/etc/kafka/kafka_server_jaas.conf”
客户端配置（示例）
- security.protocol=SASL_SSL
- sasl.mechanism=SCRAM-SHA-256
- sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username=“producer” password=“producer-secret”;
- 命令行方式（临时生效）：
  - kafka-console-producer.sh … --producer-property security.protocol=SASL_SSL --producer-property sasl.mechanism=SCRAM-SHA-256 --producer-property sasl.jaas.config=‘org.apache.kafka.common.security.scram.ScramLoginModule required username=“producer” password=“producer-secret”;’

四防火墙与最小暴露面

仅开放必要端口（示例开放 9093）
- firewall-cmd --permanent --zone=public --add-port=9093/tcp
- firewall-cmd --reload
监听地址绑定到内网或指定网卡，避免使用 0.0.0.0 暴露到公网；必要时通过安全组/ACL 限制来源 IP。

五启动与验证及常见注意事项

启动顺序与重启
- 先启动 ZooKeeper，再启动 Kafka；修改安全配置后需重启 Broker 生效（生产变更请灰度与窗口期执行）。
连通性与加密验证
- 列出 Topic：kafka-topics.sh --bootstrap-server your-host:9093 --list --command-config /path/kafka.properties
- 生产消息：kafka-console-producer.sh --bootstrap-server your-host:9093 --topic test-topic --producer.config /path/kafka.properties
- 消费消息：kafka-console-consumer.sh --bootstrap-server your-host:9093 --topic test-topic --group test --from-beginning --consumer.config /path/kafka.properties
常见注意事项
- 证书与密码妥善管控，生产建议使用 企业 CA；定期轮换证书与密钥。
- 协议与套件：启用 TLSv1.2+，禁用弱套件；按需开启 双向 TLS（客户端证书校验）。
- 主机名校验：公网或域名不规范时，客户端可临时设置 ssl.endpoint.identification.algorithm=（置空），但长期应修复证书域名与 advertised.listeners 一致性。
- 授权控制：在认证基础上启用 ACL（kafka-acls.sh） 做 Topic/Group/Cluster 细粒度授权，遵循最小权限原则。

0 赞

0 踩