Apache Kafka with Istio on K8s

• 语言: 英语
• 格式: .pdf
• 来源: events.istio.io

摘要

文档讨论了在Kubernetes上使用Apache Kafka与Istio服务网格的生产级部署。重点介绍了Istio提供的安全层，包括mTLS通信、证书自动轮转和续期功能，以及通过Envoy WASM过滤器实现Kafka客户端认证。文档还强调了Kubernetes平台的可扩展性、弹性和安全性，特别是在跨集群交互中的应用。

AI总结

### Apache Kafka with Istio on K8s 总结

#### 生产级别的 Apache Kafka on Kubernetes
- **核心优势**：
- **扩展性**：支持大规模集群扩展。
- **弹性**：具备高可用性和故障恢复能力。
- **安全性**：通过 Istio 提供的 mTLS 实现安全通信。
- **可观测性**：提供全面的监控和日志能力。
- **灾难恢复**：支持跨集群交互，确保服务可用性。

#### Istio 提供的安全层
- **mTLS**：通过 Istio 实现双向 TLS 通信，确保服务间通信的安全性。
- **证书管理**：
- 证书格式可配置（JKS、PEM 等）。
- 支持自动证书续期，无需服务重启。
- 证书包含 Kubernetes 服务账户信息，用于身份验证。
- **配置灵活**：
- 短生命周期证书支持。
- 实时证书更新，确保服务不中断。

#### Kafka 客户端认证
- **认证机制**：
- Kafka 客户端请求自动附加客户端证书，由 Istio 代理侧边车容器处理。
- Envoy WASM 过滤器提取客户端身份信息并传递给 Kafka。
- **Kafka 监听器配置**：
- 使用 PLAINTEXT 模式，但通过 Istio 的 mTLS 实现通信安全。

#### Istio 网格安全性
- **mTLS 部署**：
- Kafka Broker 和 Zookeeper 节点均通过 Istio Proxy 实现 mTLS 通信。
- 客户端与 Kafka 的交互基于证书认证，确保身份可信。

#### 总结
- **统一安全配置**：Istio 提供统一的安全配置，简化 mTLS 启用流程。
- **扩展功能**：通过 Envoy WASM 过滤器，实现协议级别指标、扩展限流、审计日志等功能。
- **核心目标**：在 Kubernetes 上构建安全、可靠的 Apache Kafka 集群，支持生产级别的高可用性和扩展性需求。