8장. Kafka에 대한 보안 액세스 관리

각 클라이언트에 Kafka 브로커에 대한 액세스를 관리하여 Kafka 클러스터를 보호할 수 있습니다.

Kafka 브로커와 클라이언트 간의 보안 연결은 다음을 포함할 수 있습니다.

  • 데이터 교환의 암호화
  • ID를 증명하기 위한 인증
  • 사용자가 실행하는 작업을 허용 또는 거부할 수 있는 권한 부여

이 장에서는 Kafka 브로커와 클라이언트 간의 보안 연결을 설정하는 방법과 함께 다음 섹션을 설명합니다.

  • Kafka 클러스터 및 클라이언트에 대한 보안 옵션
  • Kafka 브로커를 보호하는 방법
  • OAuth 2.0 토큰 기반 인증 및 권한 부여에 대한 권한 부여 서버를 사용하는 방법

8.1. Kafka의 보안 옵션

Kafka 리소스를 사용하여 Kafka 인증 및 권한 부여에 사용되는 메커니즘을 구성합니다.

8.1.1. 리스너 인증

리스너를 생성할 때 Kafka 브로커에 대한 클라이언트 인증을 구성합니다. Kafka 리소스에서 Kafka.spec.kafka.listeners.authentication 속성을 사용하여 리스너 인증 유형을 지정합니다.

OpenShift 클러스터 내부의 클라이언트의 경우 일반 (암호화 제외) 또는 tls 내부 리스너를 생성할 수 있습니다. 내부 리스너 유형은 헤드리스 서비스와 브로커 Pod에 지정된 DNS 이름을 사용합니다. 헤드리스 서비스의 대안으로, 각 브로커 ClusterIP 서비스를 사용하여 Kafka를 노출하는 내부 리스너의 cluster-ip 유형을 생성할 수도 있습니다. OpenShift 클러스터 외부의 클라이언트의 경우 외부 리스너를 생성하고 노드 포트, 로드 밸런서,수신 (Kubernetes만) 또는 경로 (OpenShift 전용)일 수 있는 연결 메커니즘을 지정합니다.

외부 클라이언트 연결의 구성 옵션에 대한 자세한 내용은 7장. Kafka 클러스터에 대한 클라이언트 액세스 설정 을 참조하십시오.

지원되는 인증 옵션:

  1. mTLS 인증 (TLS가 활성화된 리스너에서만)
  2. SCRAM-SHA-512 인증
  3. OAuth 2.0 토큰 기반 인증
  4. 사용자 정의 인증

선택하는 인증 옵션은 Kafka 브로커에 대한 클라이언트 액세스를 인증하는 방법에 따라 다릅니다.

참고

사용자 지정 인증을 사용하기 전에 표준 인증 옵션을 살펴보십시오. 사용자 정의 인증은 모든 유형의 kafka 지원 인증을 허용합니다. 더 많은 유연성을 제공할 수 있지만 복잡성을 더할 수도 있습니다.

그림 8.1. Kafka 리스너 인증 옵션

리스너 인증 구성 옵션

리스너 인증 속성은 해당 리스너와 관련된 인증 메커니즘을 지정하는 데 사용됩니다.

인증 속성이 지정되지 않은 경우 리스너는 해당 리스너를 통해 연결하는 클라이언트를 인증하지 않습니다. 리스너는 인증 없이 모든 연결을 허용합니다.

KafkaUsers 를 관리하기 위해 User Operator를 사용할 때 인증을 구성해야 합니다.

다음 예제에서는 다음을 보여줍니다.

  • SCRAM-SHA-512 인증을 위해 구성된 일반 리스너
  • mTLS 인증이 있는 tls 리스너
  • mTLS 인증이 있는 외부 리스너

각 리스너는 Kafka 클러스터 내에서 고유한 이름과 포트로 구성됩니다.

참고

구독자 간 통신(9091 또는 9090) 및 메트릭(9404)을 위해 예약된 포트를 사용하도록 리스너를 구성할 수 없습니다.

리스너 인증 구성 예

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    listeners:
      - name: plain
        port: 9092
        type: internal
        tls: true
        authentication:
          type: scram-sha-512
      - name: tls
        port: 9093
        type: internal
        tls: true
        authentication:
          type: tls
      - name: external
        port: 9094
        type: loadbalancer
        tls: true
        authentication:
          type: tls
# ...

8.1.1.1. mTLS 인증

mTLS 인증은 항상 Kafka 브로커와 ZooKeeper Pod 간의 통신에 사용됩니다.

AMQ Streams는 TLS(Transport Layer Security)를 사용하여 상호 인증을 사용하거나 사용하지 않고 Kafka 브로커와 클라이언트 간에 암호화된 통신을 제공하도록 Kafka를 구성할 수 있습니다. 상호 또는 양방향 인증의 경우 서버와 클라이언트 모두 인증서를 제공합니다. mTLS 인증을 구성하면 브로커는 클라이언트(클라이언트 인증)를 인증하고 클라이언트는 브로커(서버 인증)를 인증합니다.

Kafka 리소스의 mTLS 리스너 구성에는 다음이 필요합니다.

  • TLS: true: TLS 암호화 및 서버 인증을 지정
  • authentication.type: tls: 클라이언트 인증 지정

Cluster Operator에 의해 Kafka 클러스터를 생성하면 <cluster _name>-cluster-ca-cert라는 이름으로 새 시크릿을 생성합니다. 보안에는 CA 인증서가 포함되어 있습니다. CA 인증서는 PEM 및 PKCS #12 형식입니다. Kafka 클러스터를 확인하려면 클라이언트 구성의 신뢰 저장소에 CA 인증서를 추가합니다. 클라이언트를 확인하려면 사용자 인증서 및 키를 클라이언트 구성의 키 저장소에 추가합니다. mTLS에 대한 클라이언트 구성에 대한 자세한 내용은 8.2.2절. “사용자 인증” 을 참조하십시오.

참고

TLS 인증은 일반적으로 일방향이며 한 당사자가 다른 당사자의 ID를 인증합니다. 예를 들어 웹 브라우저와 웹 서버 간에 HTTPS를 사용하는 경우 브라우저는 웹 서버의 ID 증명을 가져옵니다.

8.1.1.2. SCRAM-SHA-512 인증

SCRAM(Salted Challenge Response Authentication Mechanism)은 암호를 사용하여 상호 인증을 설정할 수 있는 인증 프로토콜입니다. AMQ Streams는 암호화되지 않고 암호화된 클라이언트 연결 모두에서 인증을 제공하기 위해 SASL(Simple Authentication and Security Layer) SCRAM-SHA-512를 사용하도록 Kafka를 구성할 수 있습니다.

SCRAM-SHA-512 인증이 TLS 연결과 함께 사용되는 경우 TLS 프로토콜은 암호화를 제공하지만 인증에는 사용되지 않습니다.

SCRAM의 다음 속성을 사용하면 암호화되지 않은 연결에서도 SCRAM-SHA-512를 안전하게 사용할 수 있습니다.

  • 암호는 통신 채널을 통해 명확하게 전송되지 않습니다. 대신 클라이언트와 서버는 인증 사용자의 암호를 알고 있음을 증명하기 위해 서로 어려움을 겪습니다.
  • 서버와 클라이언트는 각각 인증 교환에 대한 새로운 과제를 생성합니다. 즉, 재생 공격에 대해 교환이 탄력적입니다.

KafkaUser.spec.authentication.type 이 scram-sha-512 로 구성된 경우 User Operator는 대문자 및 소문자 ASCII 문자 및 숫자로 구성된 임의의 12자 암호를 생성합니다.

8.1.1.3. 네트워크 정책

기본적으로 AMQ Streams는 Kafka 브로커에서 활성화된 모든 리스너에 대해 NetworkPolicy 리소스를 자동으로 생성합니다. 이 NetworkPolicy 를 사용하면 애플리케이션이 모든 네임스페이스의 리스너에 연결할 수 있습니다. 네트워크 정책을 리스너 구성의 일부로 사용합니다.

네트워크 수준에서 선택한 애플리케이션 또는 네임스페이스로만 리스너에 대한 액세스를 제한하려면 networkPolicyPeers 속성을 사용합니다. 각 리스너에는 다른 networkPolicyPeers 구성이 있을 수 있습니다. 네트워크 정책 피어에 대한 자세한 내용은 NetworkPolicyPeer API 참조 를 참조하십시오.

사용자 지정 네트워크 정책을 사용하려면 Cluster Operator 구성에서 STRIMZI_NETWORK_POLICY_GENERATION 환경 변수를 false 로 설정할 수 있습니다. 자세한 내용은 13.2.3절. “환경 변수를 사용하여 Cluster Operator 구성”의 내용을 참조하십시오.

참고

OpenShift를 구성하면 AMQ Streams에서 네트워크 정책을 사용하려면 수신 NetworkPolicies 를 지원해야 합니다.

8.1.1.4. 리스너 인증서 제공

TLS 암호화가 활성화된 TLS 리스너 인증서 또는 TLS 리스너에 대해 Kafka 리스너 인증서 라는 고유한 서버 인증서를 제공할 수 있습니다. 자세한 내용은 8.3.4절. “TLS 암호화를 위한 자체 Kafka 리스너 인증서 제공”의 내용을 참조하십시오.

추가 리소스

8.1.2. Kafka 권한 부여

Kafka 리소스에서 Kafka.spec.kafka.authorization 속성을 사용하여 Kafka 브로커에 대한 권한을 구성합니다. 권한 부여 속성이 없는 경우 권한 부여가 활성화되지 않으며 클라이언트에는 제한이 없습니다. 활성화되면 권한 부여가 활성화된 모든 리스너에 적용됩니다. 권한 부여 방법은 type 필드에 정의됩니다.

지원되는 권한 부여 옵션:

그림 8.2. Kafka 클러스터 권한 부여 옵션

kafka 권한 부여 구성 옵션

8.1.2.1. Super 사용자

Super 사용자는 액세스 제한에 관계없이 Kafka 클러스터의 모든 리소스에 액세스할 수 있으며 모든 권한 부여 메커니즘에서 지원합니다.

Kafka 클러스터의 슈퍼 사용자를 지정하려면 사용자 보안 주체 목록을 superUsers 속성에 추가합니다. 사용자가 mTLS 인증을 사용하는 경우 사용자 이름은 CN= 이 접두사가 붙은 TLS 인증서 주체의 공통 이름입니다. User Operator를 사용하지 않고 mTLS에 고유한 인증서를 사용하는 경우 사용자 이름은 전체 인증서 주체입니다. 전체 인증서 주체에는 CN=user,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=my_country_code 필드가 있을 수 있습니다. 존재하지 않는 필드를 모두 생략합니다.

수퍼 사용자가 있는 구성 예

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
  namespace: myproject
spec:
  kafka:
    # ...
    authorization:
      type: simple
      superUsers:
        - CN=client_1
        - user_2
        - CN=client_3
        - CN=client_4,OU=my_ou,O=my_org,L=my_location,ST=my_state,C=US
        - CN=client_5,OU=my_ou,O=my_org,C=GB
        - CN=client_6,O=my_org
    # ...