Как настраивается TLS-конфигурация для защищённого соединения с Kafka?

Основы TLS в Kafka

TLS (Transport Layer Security) используется для шифрования трафика между клиентами и брокерами Kafka, а также для взаимной аутентификации. Настройка включает конфигурацию как на стороне брокера, так и на стороне клиента.

Настройка брокера

Для включения TLS на брокере необходимо указать SSL-слушатель и пути к сертификатам. Пример конфигурации в файле server.properties:

listeners=SSL://localhost:9093
ssl.keystore.location=/path/to/kafka.keystore.jks
ssl.keystore.password=yourpassword
ssl.key.password=yourkeypassword
ssl.truststore.location=/path/to/kafka.truststore.jks
ssl.truststore.password=yourpassword
ssl.client.auth=required

Параметр ssl.client.auth=required включает взаимную аутентификацию, когда клиент также предоставляет сертификат.

Настройка клиента

Клиент (например, Java-приложение) настраивается через свойства:

props.put("security.protocol", "SSL");
props.put("ssl.truststore.location", "/path/to/client.truststore.jks");
props.put("ssl.truststore.password", "yourpassword");
props.put("ssl.keystore.location", "/path/to/client.keystore.jks");
props.put("ssl.keystore.password", "yourpassword");
props.put("ssl.key.password", "yourkeypassword");

Если взаимная аутентификация не требуется, keystore можно не указывать.

Генерация сертификатов

Сертификаты создаются с помощью утилиты keytool или OpenSSL. Для тестовой среды можно использовать самоподписанные сертификаты, но в production рекомендуется использовать сертификаты от доверенного центра.

Вывод

Настройка TLS в Kafka критична для защиты данных в движении. Она обязательна в production-средах, где требуется конфиденциальность и целостность сообщений, а также для предотвращения несанкционированного доступа.