文档首页/ 分布式消息服务Kafka版/ 用户指南/ 连接实例/ 配置Kafka访问控制/ 配置Kafka的SSL双向认证

更新时间：2024-10-25 GMT+08:00

查看PDF

配置Kafka的SSL双向认证

SSL双向认证是指在通信认证时，将同时验证客户端和服务端的证书，以确保通信中涉及的双方都是受信任的。

开启SSL双向认证，主要用于对安全性要求较高的场景。

SSL双向认证为白名单特性，需要联系后台管理人员开通后方可使用。

开启/关闭SSL双向认证将重启实例，请谨慎操作。

配置SSL双向认证的流程如图1所示。

图1 配置SSL双向认证流程图

前提条件

已准备一台Linux系统的服务器，并安装Java Development Kit 1.8.111或以上版本，配置JAVA_HOME与PATH环境变量。
实例已开启Kafka SASL_SSL。

步骤一：制作客户端验证服务端的证书

登录Linux系统的服务器，执行以下命令，生成server.keystore.jks证书的孵化器。
```
keytool -genkey -keystore server.keystore.jks -alias localhost -validity 3650 -keyalg RSA
```
按照提示信息输入keystore密码，并记录此密码，此密码在后续步骤中会使用。

密码需要满足如下要求：
- 8~32个字符。
- 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
- 非弱密码（如果不能确定哪些是弱密码，请在开启SSL双向认证对话框中输入密码，系统会自动判定是否为弱密码）。
按照提示信息输入证书拥有者的信息，包含姓名、单位、组织名称、所在城市、所在省、所在国家，示例如下。
```
[root@ecs-kafka ~]# keytool -genkey -keystore server.keystore.jks -alias localhost -validity 3650 -keyalg RSA
Enter keystore password:  
Re-enter new password: 
What is your first and last name?
  [Unknown]:  Tom
What is the name of your organizational unit?
  [Unknown]:  test
What is the name of your organization?
  [Unknown]:  test01
What is the name of your City or Locality?
  [Unknown]:  nj
What is the name of your State or Province?
  [Unknown]:  js
What is the two-letter country code for this unit?
  [Unknown]:  xx
Is CN=Tom, OU=test, O=test01, L=nj, ST=js, C=xx correct?
  [no]:  y
```

执行以下命令，创建CA的认证证书。

openssl req -new -x509 -keyout ca-key -out ca-cert -days 3650

按照提示信息输入PEM密码，并记录此密码，此密码在后续步骤中会使用。

密码需要满足如下要求：4~1024个字符。

按照提示信息输入证书拥有者的信息，包含所在国家、所在省、所在城市、组织名称、单位、姓名、邮箱，示例如下。

[root@ecs-kafka ~]# openssl req -new -x509 -keyout ca-key -out ca-cert -days 3650
Generating a RSA private key
............................................................................................................................................+++++
..........+++++
writing new private key to 'ca-key'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:xx
State or Province Name (full name) []:js
Locality Name (eg, city) [Default City]:nj
Organization Name (eg, company) [Default Company Ltd]:test01
Organizational Unit Name (eg, section) []:test
Common Name (eg, your name or your server's hostname) []:Tom 
Email Address []:xx
[root@ecs-kafka ~]#

执行以下命令，从1中生成的server.keystore.jks中导出证书，并命名为“server.crt”。
```
keytool -keystore server.keystore.jks -alias localhost -certreq -file server.crt
```
按照提示信息输入1中记录的keystore密码。
执行以下命令，使用CA的私钥对server.crt进行签名，并为签名后的证书命名为“server-signed.crt”。
```
openssl x509 -req -CA ca-cert -CAkey ca-key -in server.crt -out server-signed.crt -days 3650 -CAcreateserial
```
按照提示信息输入2中记录的PEM密码。

执行以下命令，将CA证书和“server-signed.crt”导入密钥仓库。

keytool -keystore server.keystore.jks -alias CARoot -import -file ca-cert
keytool -keystore server.keystore.jks -alias localhost -import -file server-signed.crt

按照提示信息输入1中记录的keystore密码。

出现如下提示信息时，输入“y”。

Trust this certificate？

执行以下命令，使客户端信任服务端证书。
```
keytool -keystore client.truststore.jks -alias CARoot -import -file ca-cert
```
按照提示信息输入client.truststore.jks的密码，并记录此密码，此密码在后续步骤中会使用。

密码需要满足如下要求：
- 8~32个字符。
- 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
- 非弱密码（如果不能确定哪些是弱密码，请在开启SSL双向认证对话框中输入密码，系统会自动判定是否为弱密码）。
出现如下提示信息时，输入“y”。
```
Trust this certificate？
```
导出“client.truststore.jks”和“server.keystore.jks”证书到本地PC机。

“server.keystore.jks”在后续步骤“开启SSL双向认证”时，用来替换“Keystore文件”。“client.truststore.jks”需要存放到客户端中，并记录存放路径，此路径用于客户端连接Kafka实例时，配置文件中“ssl.truststore.location”参数的值。

步骤二：制作服务端验证客户端的证书

登录Linux系统的服务器，执行以下命令，生成client.keystore.jks证书的孵化器。
```
keytool -genkey -keystore client.keystore.jks -alias localhost -validity 3650 -keyalg RSA
```
按照提示信息输入keystore密码，并记录此密码，此密码在后续步骤中会使用。

密码需要满足如下要求：
- 8~32个字符。
- 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
- 非弱密码（如果不能确定哪些是弱密码，请在开启SSL双向认证对话框中输入密码，系统会自动判定是否为弱密码）。
按照提示信息输入证书拥有者的信息，包含姓名、单位、组织名称、所在城市、所在省、所在国家，示例如下。
```
[root@ecs-kafka ~]# keytool -genkey -keystore client.keystore.jks -alias localhost -validity 3650 -keyalg RSA
Enter keystore password:  
Re-enter new password: 
What is your first and last name?
  [Unknown]:  Tom
What is the name of your organizational unit?
  [Unknown]:  test
What is the name of your organization?
  [Unknown]:  test01
What is the name of your City or Locality?
  [Unknown]:  nj
What is the name of your State or Province?
  [Unknown]:  js
What is the two-letter country code for this unit?
  [Unknown]:  xx
Is CN=Tom, OU=test, O=test01, L=nj, ST=js, C=xx correct?
  [no]:  y
```

执行以下命令，创建CA的认证证书。

openssl req -new -x509 -keyout ca-key -out ca-cert -days 3650

按照提示信息输入PEM密码，并记录此密码，此密码在后续步骤中会使用。

密码需要满足如下要求：4~1024个字符。

按照提示信息输入证书拥有者的信息，包含所在国家、所在省、所在城市、组织名称、单位、姓名、邮箱，示例如下。

[root@ecs-kafka ~]# openssl req -new -x509 -keyout ca-key -out ca-cert -days 3650
Generating a RSA private key
............................................................................................................................................+++++
..........+++++
writing new private key to 'ca-key'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:xx
State or Province Name (full name) []:js
Locality Name (eg, city) [Default City]:nj
Organization Name (eg, company) [Default Company Ltd]:test01
Organizational Unit Name (eg, section) []:test
Common Name (eg, your name or your server's hostname) []:Tom 
Email Address []:xx
[root@ecs-kafka ~]#

执行以下命令，从1中生成的client.keystore.jks中导出证书，并命名为“client.crt”。
```
keytool -keystore client.keystore.jks -alias localhost -certreq -file client.crt
```
按照提示信息输入1中记录的keystore密码。
执行以下命令，使用CA的私钥对client.crt进行签名，并为签名后的证书命名为“client-signed.crt”。
```
openssl x509 -req -CA ca-cert -CAkey ca-key -in client.crt -out client-signed.crt -days 3650 -CAcreateserial
```
按照提示信息输入2中记录的PEM密码。

执行以下命令，将CA证书和“client-signed.crt”导入密钥仓库。

keytool -keystore client.keystore.jks -alias CARoot -import -file ca-cert
keytool -keystore client.keystore.jks -alias localhost -import -file client-signed.crt

按照提示信息输入1中记录的keystore密码。

出现如下提示信息时，输入“y”。

Trust this certificate？

执行以下命令，使服务端信任客户端证书。
```
keytool -keystore server.truststore.jks -alias CARoot -import -file ca-cert
```
按照提示信息输入server.truststore.jks的密码，并记录此密码，此密码在后续步骤中会使用。

密码需要满足如下要求：
- 8~32个字符。
- 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
- 非弱密码（如果不能确定哪些是弱密码，请在开启SSL双向认证对话框中输入密码，系统会自动判定是否为弱密码）。
出现如下提示信息时，输入“y”。
```
Trust this certificate？
```
导出“server.truststore.jks”和“client.keystore.jks”证书到本地PC机。

“server.truststore.jks”在后续步骤“开启SSL双向认证”时，用来替换“Truststore文件”。“client.keystore.jks”需要存放到客户端中，并记录存放路径，此路径用于客户端连接Kafka实例时，配置文件中“ssl.keystore.location”参数的值。

步骤三：开启SSL双向认证

登录管理控制台。
在管理控制台左上角单击，选择区域。

此处请选择与您的应用服务相同的区域。
在管理控制台左上角单击，选择“应用中间件 > 分布式消息服务Kafka版”，进入分布式消息服务Kafka专享版页面。
单击待开启SSL双向认证的实例名称，进入实例详情页面。
在“连接信息 > SSL双向认证”后，单击，开启SSL双向认证。

在弹出的“SSL双向认证”对话框中，参考表1，设置开启SSL双向认证的参数。

图2 开启SSL双向认证

表1 开启SSL双向认证参数说明
参数名称	说明
Key密码	输入server.keystore.jks的密码
Keystore密码	输入server.keystore.jks的密码
Keystore文件	导入“server.keystore.jks”证书
Truststore密码	输入server.truststore.jks的密码
Truststore文件	导入“server.truststore.jks”证书

开启SSL双向认证将重启实例，请谨慎操作。

单击“确定”，完成开启SSL双向认证。

步骤四：修改客户端配置文件

开启SSL双向认证后，需要在客户端的“consumer.properties”和“producer.properties”文件中，分别修改服务端证书配置，并增加客户端证书配置。

security.protocol=SSL
ssl.truststore.location=/opt/kafka_2.12-2.7.2/config/client.truststore.jks
ssl.truststore.password=dms@kafka
ssl.endpoint.identification.algorithm=
#增加以下的客户端证书配置
ssl.keystore.location=/var/private/ssl/kafka/client.keystore.jks
ssl.keystore.password=txxx3
ssl.key.password=txxx3

security.protocol配置证书协议类型，开启SSL双向认证时，必须设置为SSL。
ssl.truststore.location配置为client.truststore.jks证书的存放路径。
ssl.truststore.password为client.truststore.jks的密码。
ssl.endpoint.identification.algorithm为证书域名校验开关，为空则表示关闭。这里需要保持关闭状态，必须设置为空。
ssl.keystore.location配置为client.keystore.jks证书的存放路径。
ssl.keystore.password配置为client.keystore.jks的密码。
ssl.key.password配置为client.keystore.jks的密码。

关闭SSL双向认证

登录管理控制台。
在管理控制台左上角单击，选择区域。

此处请选择与您的应用服务相同的区域。
在管理控制台左上角单击，选择“应用中间件 > 分布式消息服务Kafka版”，进入分布式消息服务Kafka专享版页面。
单击待关闭SSL双向认证的实例名称，进入实例详情页面。
在“连接信息 > SSL双向认证”后，单击，关闭SSL双向认证。

关闭SSL双向认证将重启实例，请谨慎操作。
关闭SSL双向认证后，需要在客户端的“consumer.properties”和“producer.properties”文件中，分别修改服务端证书协议类型，并删除客户端证书配置。
```
security.protocol=SASL_SSL
ssl.truststore.location=/opt/kafka_2.12-2.7.2/config/client.truststore.jks
ssl.truststore.password=dms@kafka
ssl.endpoint.identification.algorithm=
#删除以下的客户端证书配置
ssl.keystore.location=/var/private/ssl/kafka.client.keystore.jks
ssl.keystore.password=txxx3
ssl.key.password=txxx3 
```
security.protocol配置证书协议类型，关闭SSL双向认证时，必须设置为SASL_SSL。“ssl.truststore.location”、“ssl.truststore.password”和“ssl.endpoint.identification.algorithm”无需修改。

父主题： 配置Kafka访问控制

上一篇：JKS格式SSL证书转换PEM格式

下一篇：配置Kafka ACL用户

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消