使用Kerberos保护Kafka和Zookeeper

Question

我正在尝试在zookeeper和kafka之间设置kerberos标识。

我遵循了此处提供的配置步骤：https://docs.confluent.io/4.1.1/kafka/authentication_sasl_gssapi.html#sasl-gssapi经纪人。

Kafka代理成功连接到zookeeper集合，代理正在zNode上设置ACL。

在Zookeeper中，我可以看到znodes/brokers/id，但ACL的设置如下：

'world,'anyone
: r
'sasl,'kafka/[e-mail]
: cdrwa

第一个代理创建znode，放置其ACL，并使其对所有要html" target="_blank">添加其ID的节点不可修改。

文档说我们应该对所有经纪人使用相同的主体，但是留档的例子不符合这个建议：

 // ZooKeeper client authentication
 Client {
   com.sun.security.auth.module.Krb5LoginModule required
   useKeyTab=true
   storeKey=true
   keyTab="/etc/security/keytabs/kafka_server.keytab"
   principal="kafka/[e-mail]";
};

我应该创建一个像Kafka·库兹克这样的校长吗[e-mail]并在每个代理的JAAS文件的客户机部分使用它？如果是，我可以在每个代理上共享此用户的密钥表吗？

谢谢你的帮助。

Answer 1

属性为kerberos。从主体、kerberos中移除HostFromPrincipal。校长没有为我工作。在阅读zookeeper版本3.4.14的源代码之后，我将上述属性作为JVM参数传递，例如

-Dzookeeper.kerberos.removeHostFromPrincipal=true
-Dzookeeper.kerberos.removeRealmFromPrincipal=true

在我的案例中，正如跨领域票证验证一样，我添加了如下验证规则：

-Dzookeeper.security.auth_to_local=RULE:[2:$1](.*)

看看班级https://github.com/apache/zookeeper/blob/release-3.4.14/zookeeper-server/src/main/java/org/apache/zookeeper/server/auth/SaslServerCallbackHandler.java

现在我的主题ACL如下所示

getAcl /kafka-cluster/config/topics/test20
'world,'anyone
: r
'sasl,'zookeeper
: cdrwa

Answer 2

您可以从主体中删除主机，并对所有代理使用相同的主机，您可以手动设置ACL（不理想），也可以将这些ACL添加到zookeeper配置中

kerberos.removeHostFromPrincipal = true
kerberos.removeRealmFromPrincipal = true

这三个选项中的任何一个都应该有帮助。