24、反应式微服务安全与消息代理配置

反应式微服务安全与消息代理配置

1. Kafka 访问控制列表（ACLs）配置

1.1 主体映射规则

在应用 Kafka 的 ACLs 时，若未指定 ssl.principal.mapping.rules 属性，Kafka 会检查完整的可分辨名称。可通过以下主体映射规则覆盖默认行为：

RULE:^CN=(.*?),OU=(.*?),O=(.*?),L=(.*?),ST=(.*?),C=(.*?)$/$1/L

此规则让 Kafka 接受任何证书，并在匹配声明的 ACLs 时仅考虑其 CN（通用名称）值的小写形式。例如，对于证书可分辨名称为 CN=orders.ecomm.com,OU= Unknown,O=Unknown,L=Unknown,ST=Unknown,C=Unknown 的客户端（微服务），Kafka 将其识别为 orders.ecomm.com ，我们需针对该名称设置 ACLs。

1.2 定义 ACLs

完成上述配置后，保存并关闭 server.properties 文件，重启 Kafka。接着使用命令行工具定义 ACLs：
- 允许订单处理微服务发布事件到 ORDERS 主题 ：

> bin/kafka-acls.sh --authorizer-proper