保护对Kafka Connect的REST API的访问

Question

Kafka Connect的REST API没有经过安全保护和身份验证。由于没有经过身份验证，连接器或任务的配置很容易被任何人访问。由于这些配置可能包含如何访问源系统[在SourceConnector的情况下]和目标系统[在SinkConnector的情况下]，是否有一种标准的方法来限制对这些API的访问？

Answer 1

从Kafka 1.1.0开始，您可以为Kafka Connect REST API设置SSL和SSL客户端身份验证。详见KIP-208。

Answer 2

这是一个已知的领域，将来需要改进，但现在你应该在Kafka Connect机器上使用防火墙和API管理工具（Apigee等）或反向代理（haproxy，nginx等）来确保HTTPS在可以配置访问控制规则的endpoint终止，然后让防火墙只接受来自安全代理的连接。对于某些产品，防火墙、访问控制和 SSL/TLS 终止功能都可以在少数数量的产品中完成。

Answer 3

在Kafka 2.1.0中，可以为Kafka Connect的REST接口配置超文本传输协议基本身份验证，而无需编写任何自定义代码。

由于REST扩展机制的实现，这成为了现实(参见KIP-285)。

简而言之，配置过程如下：

< li >将扩展类添加到工作配置文件:

rest.extension.classes = org.apache.kafka.connect.rest.basic.auth.extension.BasicAuthSecurityRestExtension

KafkaConnect {
   org.apache.kafka.connect.rest.basic.auth.extension.PropertyFileLoginModule required
             file="/your/path/rest-credentials.properties";
};

user=password

-Djava.security.auth.login.config=/your/path/connect_jaas.conf 

重启Kafka Connect后，如果没有基本认证，将无法使用REST API。

请记住，使用的类只是示例，而不是生产就绪的特性。

链接：

• 连接配置
• BasicAuthSecurityRestExtension
• JaasBasicAuthFilter
• 属性文件登录模块