选择正确的KafkaUser验证类型？

Question

也许我错过了什么，如果是这样原谅我的无知。

在这里，我们有什么：

1. 我们在Kafka集群中使用TLS身份验证侦听器（这可以更改，我们可以添加新类型的侦听器）
2. 当从Java代码连接到Kafka主题时，我使用为Kafka用户生成的SSL证书

如果我决定避免使用SSL证书，原因有两个：

< li >我将仅从受信任的OpenShift cluster PODs连接到Kafka主题 < li >为了避免在生产者/消费者端更新，每年重新生成用户的SSL证书(因为Kafka生成的用户证书有效期为1年)

KafkaUser的SCRAM-SHA-512身份验证类型是否更好（也是唯一的？）以上两个原因的选择？或者SCRAM-SHA-512也需要SSL证书？

我看到的另一种方法是无认证，但我不确定ACL如何用于这样的用户？我如何将哪个用户正在连接的信息传递给服务器。有没有可能既用ACL又不用SSL证书认证或者用密码Kafka用户认证？

[UPD]环境构建在Strimzi（OpenShift中的Apache Kafka集群）上

Answer 1

使用紧急停堆-SHA-512不需要TLS。因此，您可以在< code>Kafka自定义资源(< code > . spec . Kafka . listeners )中禁用TLS加密

一般来说，通常总是推荐TLS加密。但是SCRAM-SHA机制并不直接通过网络发送密码，所以在没有加密的情况下使用它应该不会泄漏密码。最后，由你来决定。

另外，作为旁注-证书默认为1年。您可以在KafkaCR中更改它。