kafka双向ssl身份验证

Question

我试图设置2方式ssl身份验证。我的要求是经纪人应该只认证特定的客户。

我的组织有一个CA，它发行pkcs12格式的所有证书。我遵循的步骤如下。

1. 获取代理的证书，并在代理密钥库中配置它

   ssl.keystore.location=/home/kafka/certificate.p12
   ssl.keystore.password=xxxxx
   ssl.client.auth=required

   ssl.keystore.location=/home/kafka/certificate.p12
   ssl.keystore.password=xxxxx

   keytool -export -file cert -keystore certificate.p12 -alias "12345" -storetype pkcs12 -storepass xxxxx

   keytool -keystore truststore.p12 -import -file cert -alias 12345 -storetype pkcs12 -storepass xxxxx -noprompt

   ssl.truststore.location=/home/kafka/truststore.p12
   ssl.truststore.password=xxxxx

   ssl.truststore.location=/etc/pki/java/cacerts
   ssl.truststore.password=xxxxx

当我运行代理和客户端时，我希望代理验证客户端并建立ssl连接。但是下面的错误被抛出。

[2021-06-03 23:32:06,864] ERROR [AdminClient clientId=adminclient-1] Connection to node -1 (abc.com/10.129.140.212:9093) failed authentication due to: SSL handshake failed (org.apache.kafka.clients.NetworkClient)
[2021-06-03 23:32:06,866] WARN [AdminClient clientId=adminclient-1] Metadata update failed due to authentication error (org.apache.kafka.clients.admin.internals.AdminMetadataManager)
org.apache.kafka.common.errors.SslAuthenticationException: SSL handshake failed
Caused by: javax.net.ssl.SSLProtocolException: Unexpected handshake message: server_hello

当我用只包含CA证书的信任存储文件替换 /etc/pki/java/cacerts代理信任存储时，它工作得很好。但是它将验证任何拥有CA颁发的证书的客户端。

可能是什么问题？

Answer 1

默认格式为jks，

使用keytool创建带有证书和密钥的Java密钥库（JKS），供Kafka使用。系统将提示您为生成的文件创建新密码，并输入上一步中PKCS12文件的密码。在下面的配置中使用新的JKS密码。

kafka.server.keystore.jks的别名myserver.internal.net

注意：可以安全地忽略来自keytool的以下警告。

JKS密钥库使用专有格式。建议使用“keytool-importkeystore-srckeystore server.p12-destkeystore kafka.server.keystore.jks-srcstoretype PKCS12”迁移到行业标准格式的PKCS12