制作和替换Kafka JKS格式的SSL证书

约束与限制

替换证书将重启实例，请谨慎操作。

前提条件

• 已准备一台Linux系统的服务器，并安装Java Development Kit 1.8.111或以上版本，配置JAVA_HOME与PATH环境变量。
• 实例已开启Kafka SASL_SSL。

步骤一：制作证书

1. 登录Linux系统的服务器，执行以下命令，生成server.keystore.jks证书的孵化器。

   keytool -genkey -keystore server.keystore.jks -alias localhost -validity 3650 -keyalg RSA

   按照提示信息输入keystore密码，并记录此密码，此密码在后续步骤中会使用。

   密码需要满足如下要求：

   • 8~32个字符。
   • 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
   • 非弱密码（如果不能确定哪些是弱密码，请在替换证书对话框中输入密码，系统会自动判定是否为弱密码）。

   按照提示信息输入证书拥有者的信息，包含姓名、单位、组织名称、所在城市、所在省、所在国家，示例如下。

   [root@ecs-kafka ~]# keytool -genkey -keystore server.keystore.jks -alias localhost -validity 3650 -keyalg RSA
   Enter keystore password:  
   Re-enter new password: 
   What is your first and last name?
     [Unknown]:  Tom
   What is the name of your organizational unit?
     [Unknown]:  test
   What is the name of your organization?
     [Unknown]:  test01
   What is the name of your City or Locality?
     [Unknown]:  nj
   What is the name of your State or Province?
     [Unknown]:  js
   What is the two-letter country code for this unit?
     [Unknown]:  xx
   Is CN=Tom, OU=test, O=test01, L=nj, ST=js, C=xx correct?
     [no]:  y

2. 执行以下命令，创建CA的认证证书。

   openssl req -new -x509 -keyout ca-key -out ca-cert -days 3650

   按照提示信息输入PEM密码，并记录此密码，此密码在后续步骤中会使用。

   密码需要满足如下要求：4~1024个字符。

   按照提示信息输入证书拥有者的信息，包含所在国家、所在省、所在城市、组织名称、单位、姓名、邮箱，示例如下。

   [root@ecs-kafka ~]# openssl req -new -x509 -keyout ca-key -out ca-cert -days 3650
   Generating a RSA private key
   ............................................................................................................................................+++++
   ..........+++++
   writing new private key to 'ca-key'
   Enter PEM pass phrase:
   Verifying - Enter PEM pass phrase:
   -----
   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   What you are about to enter is what is called a Distinguished Name or a DN.
   There are quite a few fields but you can leave some blank
   For some fields there will be a default value,
   If you enter '.', the field will be left blank.
   -----
   Country Name (2 letter code) [XX]:xx
   State or Province Name (full name) []:js
   Locality Name (eg, city) [Default City]:nj
   Organization Name (eg, company) [Default Company Ltd]:test01
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your server's hostname) []:Tom 
   Email Address []:xx
   [root@ecs-kafka ~]#

3. 执行以下命令，通过CA创建一个服务器的Truststore证书，有了Truststore证书才可以进行证书有效性的检测。

   keytool -keystore server.truststore.jks -alias CARoot -import -file ca-cert

   按照提示信息输入服务器证书的Truststore密码，并记录此密码。此密码在后续步骤中会使用。

   密码需要满足如下要求：

   • 8~32个字符。
   • 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
   • 非弱密码（如果不能确定哪些是弱密码，请在替换证书对话框中输入密码，系统会自动判定是否为弱密码）。
   出现如下提示信息时，输入“y”。

   Trust this certificate？

4. 执行以下命令，通过CA创建一个客户端的Truststore证书。

   keytool -keystore client.truststore.jks -alias CARoot -import -file ca-cert

   按照提示信息输入客户端证书的Truststore密码，并记录此密码。此密码用于客户端连接Kafka实例时，配置文件中“ssl.truststore.password”参数的值。

   密码需要满足如下要求：

   • 8~32个字符。
   • 至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符`~!@#$%^&*()-_=+\|[{}]:'",<.>/?和空格，并且不能以-开头。
   • 非弱密码（如果不能确定哪些是弱密码，请在替换证书对话框中输入密码，系统会自动判定是否为弱密码）。
   出现如下提示信息时，输入“y”。

   Trust this certificate？

5. 执行以下命令，为服务器证书签名。
   1. 导出服务器证书“server.cert-file”。

      keytool -keystore server.keystore.jks -alias localhost -certreq -file server.cert-file

      按照提示信息输入1中设置的keystore密码。

   2. 通过CA给服务器证书进行签名处理。

      openssl x509 -req -CA ca-cert -CAkey ca-key -in server.cert-file -out server.cert-signed -days 3650 -CAcreateserial

      按照提示信息输入2中设置的PEM密码。

   3. 将CA证书导入到服务器keystore。

      keytool -keystore server.keystore.jks -alias CARoot -import -file ca-cert

      按照提示信息输入1中设置的keystore密码。

      出现如下提示信息时，输入“y”。

      Trust this certificate？

   4. 将已签名的服务器证书导入到服务器keystore。

      keytool -keystore server.keystore.jks -alias localhost -import -file server.cert-signed

      按照提示信息输入1中设置的keystore密码。

6. 导出证书“server.keystore.jks”、“server.truststore.jks”和“client.truststore.jks”到本地PC机。
   “server.keystore.jks”和“server.truststore.jks”在后续步骤“替换证书”时，用来替换“Keystore文件”和“Truststore文件”。“client.truststore.jks”需要存放到客户端中，并记录存放路径，此路径用于客户端连接Kafka实例时，配置文件中“ssl.truststore.location”参数的值。

   图1 证书目录
   

步骤二：替换证书

1. 登录管理控制台。
2. 在管理控制台左上角单击，选择Kafka实例所在的区域。
3. 在管理控制台左上角单击，选择“应用中间件 > 分布式消息服务Kafka版”，进入分布式消息服务Kafka专享版页面。
4. 在左侧导航栏单击“Kafka实例”，进入Kafka实例列表页面。
5. 单击待替换证书的实例名称，进入实例详情页面。
6. 在“连接信息 > SSL证书”后，单击“替换”，弹出“替换SSL证书”对话框。
   图2 连接信息
   

7. 参考表1，设置替换SSL证书的参数。
   图3 替换SSL证书
   

   表1 替换SSL证书参数说明

   参数名称	说明
   Key密码	输入制作证书中设置的keystore密码
   Keystore密码	输入制作证书中设置的keystore密码
   Keystore文件	导入“server.keystore.jks”证书
   Truststore密码	输入服务端证书的Truststore密码
   Truststore文件	导入“server.truststore.jks”证书

8. 单击“确定”，弹出“替换SSL证书”对话框。
9. 单击“确认”，完成证书的替换。

   在“后台任务管理”页面，替换SSL证书任务的“状态”为“成功”时，表示替换证书成功。

   证书替换成功后，在实例详情页单击“下载”，下载的证书为分布式消息服务Kafka版提供的证书，并非您自己制作的证书。

步骤三：修改客户端配置文件

替换证书后，需要在客户端的“consumer.properties”和“producer.properties”文件中，分别修改“ssl.truststore.location”和“ssl.truststore.password”参数。

security.protocol=SASL_SSL
ssl.truststore.location=/opt/kafka_2.12-2.7.2/config/client.truststore.jks
ssl.truststore.password=dms@kafka
ssl.endpoint.identification.algorithm=

• ssl.truststore.location配置为client.truststore.jks证书的存放路径。
• ssl.truststore.password为客户端证书的Truststore密码。
• ssl.endpoint.identification.algorithm为证书域名校验开关，为空则表示关闭。这里需要保持关闭状态，必须设置为空。