Configure SSL to encrypt Kafka data connections - E-MapReduce - Centro de documentación de Alibaba Cloud

Secure Sockets Layer (SSL) es un protocolo de red que establece una conexión segura entre clientes y servidores. Cuando se habilita SSL, todas las transferencias de datos dentro de un clúster de Dataflow se cifran. Esto incluye el intercambio de mensajes entre productores, consumidores y brokers, lo cual evita la interceptación o manipulación de la información durante la transmisión por la red.

Requisitos previos

Debe crear un clúster de Dataflow (que es un clúster de Kafka) con el servicio Kafka seleccionado en la consola de EMR. Para obtener más información, consulte Create a Dataflow Kafka cluster.

Procedimiento

Paso 1: Habilitar SSL

E-MapReduce ofrece dos métodos para configurar SSL en un clúster de Kafka:

Habilitar SSL con el certificado predeterminado: utilice el certificado y el método de configuración predeterminados de E-MapReduce para habilitar SSL rápidamente.
Habilitar SSL con configuración personalizada: utilice su propio certificado y valores de configuración para habilitar SSL.

El parámetro kafka.ssl.config.type del archivo server.properties controla la política de configuración de SSL en E-MapReduce.

Método 1: Predeterminado

Nota

De forma predeterminada, SSL está deshabilitado en los clústeres de Kafka. Siga estos pasos para habilitarlo rápidamente.

Acceda a la página de configuración del servicio.
1. Inicie sesión en la consola de E-MapReduce.
2. En la barra de navegación superior, seleccione una región y un resource group según sus necesidades.
3. Haga clic en Services en la columna Actions del clúster de destino.
4. En la página Services, haga clic en Configure dentro del área del servicio Kafka.
Modifique el parámetro de configuración.
1. En la página Configure, haga clic en la pestaña server.properties.
2. Establezca el parámetro kafka.ssl.config.type en DEFAULT.
Guarde la configuración.
1. Haga clic en Save.
2. En el cuadro de diálogo que aparece, introduzca un valor en Execution Reason y haga clic en Save.
Reinicie el servicio Kafka.
1. En la página Configure del servicio Kafka, seleccione More > Restart.
2. En el cuadro de diálogo que aparece, introduzca el motivo de ejecución y haga clic en OK.
3. En el cuadro de diálogo Confirm, haga clic en OK.

Método 2: Personalizado

Nota

De forma predeterminada, SSL está deshabilitado en los clústeres de Kafka. Puede habilitar SSL con una configuración personalizada.

Acceda a la página de configuración del servicio.
1. Inicie sesión en la consola de E-MapReduce.
2. En la barra de navegación superior, seleccione una región y un resource group según sus necesidades.
3. Haga clic en Services en la columna Actions del clúster de destino.
4. En la página Services, haga clic en Configure dentro del área del servicio Kafka.
Modifique el parámetro de configuración.
1. En la página Configure, haga clic en la pestaña server.properties.
2. Cambie el valor del parámetro kafka.ssl.config.type a CUSTOM.
Guarde la configuración.
1. Haga clic en Save.
2. En el cuadro de diálogo emergente, introduzca un valor en Execution Reason y haga clic en Save.
Configure los demás parámetros de SSL.

Configure los parámetros relacionados con SSL, excepto listeners, según sus requisitos. Por ejemplo: ssl.keystore.location, ssl.keystore.password, ssl.truststore.location, ssl.truststore.password, ssl.key.password, ssl.keystore.type y ssl.truststore.type.
Reinicie el servicio Kafka.
1. En la página Configure del servicio Kafka, seleccione More > Restart.
2. En el cuadro de diálogo que aparece, introduzca el motivo de ejecución y haga clic en OK.
3. En el cuadro de diálogo Confirm, haga clic en OK.

Paso 2: Conectarse a Kafka mediante SSL

Para conectarse a Kafka mediante SSL, debe configurar los siguientes parámetros del cliente: security.protocol, ssl.truststore.password y ssl.truststore.location.

Por ejemplo, para ejecutar un trabajo con el productor y el consumidor integrados de Kafka en un clúster con SSL habilitado, siga estos pasos:

Conéctese al nodo maestro del clúster mediante SSH. Para obtener más información, consulte Log on to a cluster.
Cree un archivo de configuración.
1. Ejecute el siguiente comando para crear el archivo de configuración ssl.properties.
```
vim ssl.properties
```
2. Agregue el siguiente contenido al archivo ssl.properties.
```
security.protocol=SSL
ssl.truststore.location=/var/taihao-security/ssl/ssl/truststore
ssl.truststore.password=${password}
ssl.keystore.location=/var/taihao-security/ssl/ssl/keystore
ssl.keystore.password=${password}
ssl.endpoint.identification.algorithm=
```
  Los valores de estos parámetros se encuentran en la página Configure del servicio Kafka, dentro de la consola de EMR. Si ejecuta el trabajo fuera del clúster de Kafka, copie los archivos truststore y keystore desde cualquier nodo del clúster hacia su entorno de ejecución y actualice las rutas de los archivos según corresponda.

Ejecute el siguiente comando para crear un topic.

kafka-topics.sh --partitions 10 --replication-factor 2 --bootstrap-server core-1-1:9092 --topic test --create --command-config ssl.properties

Ejecute los siguientes comandos para producir datos con el archivo de configuración de SSL.

export IP=<your_InnerIP>
kafka-producer-perf-test.sh --topic test --num-records 123456 --throughput 10000 --record-size 1024 --producer-props bootstrap.servers=${IP}:9092 --producer.config ssl.properties

Nota

En este ejemplo de código, <your_InnerIP> es la dirección IP interna del nodo master-1-1.

Ejecute los siguientes comandos para consumir datos con el archivo de configuración de SSL.

export IP=<your_InnerIP>
kafka-consumer-perf-test.sh --broker-list ${IP}:9092 --messages 100000000 --topic test --consumer.config ssl.properties

Temas relacionados

Para autenticar con SASL a los usuarios que se conectan al servicio Kafka, consulte Authenticate to the Kafka service by using SASL.