为 Kafka 设置 SASL 和 SSL

• 在每个 Kafka Broker 的设置目次中（比方：/home/chen/kafka_2.12-0.11.0.0/config，后文将使用{KAFKA_HOME}代表/home/chen/kafka_2.12-0.11.0.0）添加一个颠末得当修改的 JAAS 文件，雷同于下面的文件，我们将其定名为 kafka_server_jaas.conf 以用于本示例：
  

• 将 JAAS 设置文件位置作为 JVM 参数通报给每个 Kafka Broker
  

• 在 server.properties 中设置 SASL 端口和 SASL 机制。 比方：
  

• 末了，通过Kafka Assistant （ http://www.redisant.cn/ka ）举行毗连
  

• 与网站的 HTTPS 毗连完全雷同的设置。
  
• 客户端验证署理的身份——即客户端可以确定它正在与预期的署理举行通讯，而不是假冒者，因此可以免受中心人攻击。
  
• 通讯是加密的。
  
• 服务器不验证客户端的身份（不对客户端举行身份验证）——任何客户端都可以毗连到服务器。
  

留意：您必要对集群中的每个署理重复此步调。

留意：我们使用 Java 附带的 keytool 实用步伐来执行此任务，由于它根据署理的要求将天生的密钥/证书对存储在 JKS 容器中。

• 在当前目次中创建一个新的密钥库 server.keystore.jks。
  
• 提示您输入暗码以掩护密钥库。
  
• 天生新的公钥/私钥对并提示您输入制作公钥证书所需的其他信息。 总的来说，此信息称为可分辨名称 (Distinguishing Name, DN)。
  
  
  
  • 您必要将 CN（“What is your first and last name?”标题的答案）设置为 {server_hostname}。 其他信息对于我们的目的均不告急。
    
  • 您还可以通过下令行 -dname 参数设置 DN，如下所示： -dname "cn={server_hostname}"
    
  
  
• 将私钥和自署名公钥证书存储在密钥库文件中的别名 {server_hostname} 下。
  
  
  
  • 体系将提示您输入暗码以掩护密钥库中的此特定密钥/证书对。
    
  • 大概，您可以使用 -storepass 和 -keypass 下令行参数设置暗码。
    
  
  

告急提示：不要试图通过使用自署名证书（克制使用 CA）来简化设置过程 - 这不安全（轻易受到中心人攻击）。

• 提示您输入 DN 信息以放入证书。 对于我们的目的，这些都不是必须的，但是，您可以使用 -subj 下令行参数来克制提示。 比方：-subj "/C=CN/ST=SHANXI/L=CHANGAN/O=Redisant/CN=Redisant"
  
• 创建一个私钥/自署名公钥证书对，此中私钥不受暗码掩护。
  
• 假如您想用暗码掩护私钥，请省略 -nodes 标志，体系将提示您输入暗码。
  

• 从您在步调 1 中创建的位于服务器密钥库文件中的自署名证书天生证书署名请求 (CSR)：
  

• 使用您在步调 2 中天生的 CA 密钥对从您刚刚创建的 CSR 创建 CA 署名证书：
  

• 将此署名证书导入您的服务器密钥库（覆盖现有的自署名证书）。 在执行此操作之前，您还必要添加 CA 公钥证书：
  

留意，假如您创建的是ca-root.pem格式的证书，必要转换成.crt格式，Kafka Assistant才气辨认：

• 单向 SSL/TLS 提供的功能，以及：
  
• 服务器验证客户端的身份（即客户端提供的公钥证书已由服务器信托的 CA 署名）。