Apache Kafka主題安全性

Question

我為監聽器配置了2個端口，如下所示：

(9092 -> Plaintext, 9092 -> SASL_PLAIN)
listeners=PLAINTEXT://:9092, SASL_PLAIN://:9093

對於一個主題，我希望限制使用者僅使用來自9093端口的數據，並且應該拒絕來自9092端口的數據。

我已經經歷了ACL概念，但是還沒有看到一種選擇來限制消費者從非安全端口提取數據（在這種情況下為9092）

如何配置？

Answer 1

只需為您的用戶提供Kafka代理的主機名（使用端口9093作為引導服務器）即可，例如： 192.168.0.1:9093, 192.168.0.2:9093 :9093、192.168.0.2:9093。

當他們使用它來引導其Kafka客戶端時，代理將僅將使用的連接通告給偵聽器。 它不會通告所有偵聽器。 在此示例中，客戶端將收到的元數據僅包含9093。

然后，使用防火牆將端口9092限制為僅允許受信任的IP。 這將防止惡意/配置錯誤的客戶端連接到此端口。

還要注意，SASL_PLAINTEXT是不安全的，因為憑據（用戶名和密碼）是通過網絡以明文形式交換的。 SASL_SSL應該用於實際部署。