# Operations: nubes_kafka
| Operation | Kind | Action | Subresource | ID | Params | Description |
|---|---|---|---|---|---|---|
| `create` | `instance` | `create` | `` | `148` | resourceInstances, resourceMemory, resourceCPU, resourceDisk, needExternalAddressMaster, ipSpaceNameMaster, resourceRealm | |
| `create_topic` | `subresource` | `create` | `topic` | `165` | nameTopic, partitions, replicas | # Инструкция по управлению топиками Apache Kafka через платформу
## 1. Общая информация
---
Топик — это основная сущность в Apache Kafka, предназначенная для приёма сообщений от продюсеров и передачи их консюмерам.
Платформа позволяет создавать, удалять и изменять параметры топиков без прямого доступа к брокерам, обеспечивая удобное управление через интерфейс или API.
---
## Доступные операции
- **create_topic** — Создание топика
- **modify_topic** — Модификация топика
- **delete_topic** — Удаление топика
---
## 2. Параметры создания топика
Ниже перечислены параметры, которые необходимо указать при создании нового топика:
* **Имя топика**
Название топика.
Должно быть уникальным в пределах кластера.
Пример: `orders-events`.
* **Партиции**
Количество партиций топика.
Рекомендуется выбирать с учётом уровня параллелизма потребителей и предполагаемой нагрузки.
Пример: `6`. Здесь важно рассказать о том как происходит расчет оптимального количества
Обратите внимание: уменьшить количество партиций после создания невозможно, поэтому лучше закладывать небольшой запас на будущий рост нагрузки.
* **Реплики**
Количество реплик для каждой партиции.
Обычно равно количеству доступных брокеров или меньше.
Пример: `3`.
---
## 4. Параметры модификации топика
Для уже существующих топиков можно изменять параметры. Все параметры являются опциональными:
* **Имя топика**
Название топика.
Пример: `orders-events`.
* **Партиции**
Новое количество партиций.
Пример: `12`.
* **Реплики**
Новое количество реплик.
Пример: `2`.
---
## 5. Рекомендации
* Планируйте количество партиций с запасом — уменьшение их числа невозможно.
* Количество реплик должно соответствовать требуемому уровню отказоустойчивости, но не превышать количество брокеров.
* Изменение параметров топика в рабочем окружении может временно влиять на производительность. Рекомендуется проводить крупные изменения в периоды минимальной нагрузки.
--- |
| `create_user` | `subresource` | `create` | `user` | `168` | username, nameTopic, operations, group, accessHosts | # Инструкция по управлению пользователями Apache Kafka.
---
## 1. Общая информация
Пользователи в Apache Kafka используются для аутентификации и авторизации при подключении к кластеру.
Платформа позволяет создавать, удалять и изменять пользователей без прямого доступа к брокерам, а также настраивать права доступа к топикам и группам.
Это обеспечивает централизованное и безопасное управление доступом к ресурсам Kafka.
---
## Доступные операции
- **create_user** — Создание пользователя
- **modify_user** — Модификация пользователя
- **delete_user** — Удаление пользователя
---
## 2. Параметры создания пользователя
Ниже перечислены параметры, которые необходимо указать при создании нового пользователя:
* **Имя пользователя**
Имя создаваемого пользователя. Используется для подключения к Kafka и настройки прав.
Пример: `username-admin`
* **Топик**
Название топика, к которому будут назначены права для данного пользователя.
Пример: `orders-events`.
Использовать маску нельзя (`orders*`), только полное название или `*`.
* **Операции**
Список разрешённых операций на указанном топике.
Пример: `Describe, Read, Write`
* **Группа**
Имя группы, которой разрешён доступ. Используется при настройке консюмер-групп.
Пример: `order-consumers`.
* **Разрешённые хосты**
Список хостов или подсетей, с которых разрешено подключение пользователя.
Пример: `192.168.1.0/24` или `*`.
---
## 3. Параметры модификации пользователя
Ниже перечислены параметры, которые необходимо указать при модификации пользователя:
* **Имя пользователя**
Имя создаваемого пользователя. Используется для подключения к Kafka и настройки прав.
Пример: `username-admin`
* **Топик**
Название топика, к которому будут назначены права для данного пользователя.
Пример: `orders-events`.
Использовать маску нельзя (`orders*`), только полное название или `*`.
* **Операции**
Список разрешённых операций на указанном топике.
Пример: `Describe, Read, Write`
* **Группа**
Имя группы, которой разрешён доступ. Используется при настройке консюмер-групп.
Пример: `order-consumers`.
* **Разрешённые хосты**
Список хостов или подсетей, с которых разрешено подключение пользователя.
Пример: `192.168.1.0/24` или `*`.
---
## 4. Параметры удалении пользователя
Ниже перечислены параметры, которые необходимо указать при удалении пользователя:
* **Имя пользователя**
Имя удаляемого пользователя.
Пример: `username-admin`
## 5. Выходные параметры
После успешного создания пользователя платформа возвращает параметры, необходимые для подключения:
* **ca.crt**
Корневой сертификат (Certificate Authority), используемый для проверки подлинности сервера при TLS-подключении.
Файл содержит публичный ключ удостоверяющего центра, которому доверяют брокеры и клиенты. Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.crt
```
* **ca.p12**
PKCS#12-хранилище с корневым сертификатом (Certificate Authority), используемое для проверки подлинности сервера при TLS-подключении.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.p12
```
* **ca.password**
Пароль для доступа к хранилищу `ca.p12`. Выдаеться в чистом виде. Раскодировать не нужно.
* **user.crt**
Клиентский сертификат, подтверждающий личность пользователя при подключении к Kafka.
Используется совместно с приватным ключом `user.key` для аутентификации.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.crt
```
* **user.key**
Приватный ключ пользователя, применяемый для установления защищённого TLS-соединения и подтверждения подлинности.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.key
```
* **user.p12**
PKCS#12-хранилище с клиентским сертификатом и приватным ключом, предназначенное для аутентификации пользователя в Kafka.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo "<содержание поля>" | base64 -d > <название>.p12
```
* **user.password**
Пароль для доступа к хранилищу `user.p12`. Выдаеться в чистом виде. Раскодировать не нужно.
Эти параметры используются для настройки TLS-подключения.
---
## 6. Пример конфигурации клиента внутри кластера
Пример пода:
```yaml
apiVersion: v1
kind: Pod
metadata:
name: kafka-4
spec:
volumes:
- name: work
emptyDir: {}
containers:
- name: kcat
image: quay.io/strimzi/kafka:latest-kafka-4.0.0
command: ["sleep", "5600"]
volumeMounts:
- name: work
mountPath: /work
restartPolicy: Never
```
Создаём под и сохраняем сертификаты:
```bash
kubectl cp user.p12 kafka-4:/work/
kubectl cp ca.p12 kafka-4:/work/
```
Создаём файлы конфигурации:
```bash
cat > /work/user-read.properties <<'EOF'
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/work/user.p12
ssl.keystore.password=<user.password>
ssl.truststore.type=PKCS12
ssl.truststore.location=/work/ca.p12
ssl.truststore.password=<ca.password>
EOF
```
```bash
cat > /work/user-write.properties <<'EOF'
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/work/user-write.p12
ssl.keystore.password=<user.password>
ssl.truststore.type=PKCS12
ssl.truststore.location=/work/ca.p12
ssl.truststore.password=<ca.password>
EOF
```
Листинг доступных топиков:
```bash
/opt/kafka/bin/kafka-topics.sh \
--bootstrap-server kafkak8s-bootstrap-external:9093 \
--command-config /work/user-read.properties \
--list
```
Запись сообщений:
```bash
/opt/kafka/bin/kafka-console-producer.sh \
--bootstrap-server <адрес сервис брокера>:9093 \
--topic <topic> \
--producer.config /work/user-write.properties
```
Чтение сообщений:
```bash
/opt/kafka/bin/kafka-console-consumer.sh \
--bootstrap-server <адрес сервис брокера>:9093 \
--topic <topic> \
--from-beginning \
--group <group> \
--consumer.config /work/user-read.properties \
--max-messages 50
```
---
## 7. Пример внешнего подключения с использованием **kcat**
**Листинг топиков**
```bash
kcat -b <externalConnect.bootstrap.fqdn>:9093 \
-L \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-read.crt \
-X ssl.key.location=./user-read.key \
-X ssl.endpoint.identification.algorithm=none
```
**Запись сообщения**
```bash
echo "hello from kcat" | kcat -P \
-b <externalConnect.bootstrap.fqdn>:9093 \
-t write-test \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-write.crt \
-X ssl.key.location=./user-write.key \
-X ssl.endpoint.identification.algorithm=none
```
**Чтение сообщений**
```bash
kcat -C \
-b <externalConnect.bootstrap.fqdn>:9093 \
-t write-test \
-o beginning \
-q \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-read.crt \
-X ssl.key.location=./user-read.key \
-X ssl.endpoint.identification.algorithm=none
```
---
## 9. Рекомендации
* Минимизируйте набор разрешённых операций для повышения безопасности.
* Используйте отдельные учётные записи для продюсеров, консюмеров и системных сервисов.
* Ограничивайте доступ по IP или подсетям с помощью параметра **Разрешённые хосты**.
* После изменения прав или групп пользователя рекомендуется проверить подключение и доступ к топикам.
--- |
| `delete` | `instance` | `delete` | `` | `149` | | |
| `delete_topic` | `subresource` | `delete` | `topic` | `167` | nameTopic | |
| `delete_user` | `subresource` | `delete` | `user` | `170` | username | # Инструкция по управлению пользователями Apache Kafka.
---
## 1. Общая информация
Пользователи в Apache Kafka используются для аутентификации и авторизации при подключении к кластеру.
Платформа позволяет создавать, удалять и изменять пользователей без прямого доступа к брокерам, а также настраивать права доступа к топикам и группам.
Это обеспечивает централизованное и безопасное управление доступом к ресурсам Kafka.
---
## Доступные операции
- **create_user** — Создание пользователя
- **modify_user** — Модификация пользователя
- **delete_user** — Удаление пользователя
---
## 2. Параметры создания пользователя
Ниже перечислены параметры, которые необходимо указать при создании нового пользователя:
* **Имя пользователя**
Имя создаваемого пользователя. Используется для подключения к Kafka и настройки прав.
Пример: `username-admin`
* **Топик**
Название топика, к которому будут назначены права для данного пользователя.
Пример: `orders-events`.
Использовать маску нельзя (`orders*`), только полное название или `*`.
* **Операции**
Список разрешённых операций на указанном топике.
Пример: `Describe, Read, Write`
* **Группа**
Имя группы, которой разрешён доступ. Используется при настройке консюмер-групп.
Пример: `order-consumers`.
* **Разрешённые хосты**
Список хостов или подсетей, с которых разрешено подключение пользователя.
Пример: `192.168.1.0/24` или `*`.
---
## 3. Параметры модификации пользователя
Ниже перечислены параметры, которые необходимо указать при модификации пользователя:
* **Имя пользователя**
Имя создаваемого пользователя. Используется для подключения к Kafka и настройки прав.
Пример: `username-admin`
* **Топик**
Название топика, к которому будут назначены права для данного пользователя.
Пример: `orders-events`.
Использовать маску нельзя (`orders*`), только полное название или `*`.
* **Операции**
Список разрешённых операций на указанном топике.
Пример: `Describe, Read, Write`
* **Группа**
Имя группы, которой разрешён доступ. Используется при настройке консюмер-групп.
Пример: `order-consumers`.
* **Разрешённые хосты**
Список хостов или подсетей, с которых разрешено подключение пользователя.
Пример: `192.168.1.0/24` или `*`.
---
## 4. Параметры удалении пользователя
Ниже перечислены параметры, которые необходимо указать при удалении пользователя:
* **Имя пользователя**
Имя удаляемого пользователя.
Пример: `username-admin`
## 5. Выходные параметры
После успешного создания пользователя платформа возвращает параметры, необходимые для подключения:
* **ca.crt**
Корневой сертификат (Certificate Authority), используемый для проверки подлинности сервера при TLS-подключении.
Файл содержит публичный ключ удостоверяющего центра, которому доверяют брокеры и клиенты. Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.crt
```
* **ca.p12**
PKCS#12-хранилище с корневым сертификатом (Certificate Authority), используемое для проверки подлинности сервера при TLS-подключении.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.p12
```
* **ca.password**
Пароль для доступа к хранилищу `ca.p12`. Выдаеться в чистом виде. Раскодировать не нужно.
* **user.crt**
Клиентский сертификат, подтверждающий личность пользователя при подключении к Kafka.
Используется совместно с приватным ключом `user.key` для аутентификации.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.crt
```
* **user.key**
Приватный ключ пользователя, применяемый для установления защищённого TLS-соединения и подтверждения подлинности.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.key
```
* **user.p12**
PKCS#12-хранилище с клиентским сертификатом и приватным ключом, предназначенное для аутентификации пользователя в Kafka.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo "<содержание поля>" | base64 -d > <название>.p12
```
* **user.password**
Пароль для доступа к хранилищу `user.p12`. Выдаеться в чистом виде. Раскодировать не нужно.
Эти параметры используются для настройки TLS-подключения.
---
## 6. Пример конфигурации клиента внутри кластера
Пример пода:
```yaml
apiVersion: v1
kind: Pod
metadata:
name: kafka-4
spec:
volumes:
- name: work
emptyDir: {}
containers:
- name: kcat
image: quay.io/strimzi/kafka:latest-kafka-4.0.0
command: ["sleep", "5600"]
volumeMounts:
- name: work
mountPath: /work
restartPolicy: Never
```
Создаём под и сохраняем сертификаты:
```bash
kubectl cp user.p12 kafka-4:/work/
kubectl cp ca.p12 kafka-4:/work/
```
Создаём файлы конфигурации:
```bash
cat > /work/user-read.properties <<'EOF'
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/work/user.p12
ssl.keystore.password=<user.password>
ssl.truststore.type=PKCS12
ssl.truststore.location=/work/ca.p12
ssl.truststore.password=<ca.password>
EOF
```
```bash
cat > /work/user-write.properties <<'EOF'
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/work/user-write.p12
ssl.keystore.password=<user.password>
ssl.truststore.type=PKCS12
ssl.truststore.location=/work/ca.p12
ssl.truststore.password=<ca.password>
EOF
```
Листинг доступных топиков:
```bash
/opt/kafka/bin/kafka-topics.sh \
--bootstrap-server kafkak8s-bootstrap-external:9093 \
--command-config /work/user-read.properties \
--list
```
Запись сообщений:
```bash
/opt/kafka/bin/kafka-console-producer.sh \
--bootstrap-server <адрес сервис брокера>:9093 \
--topic <topic> \
--producer.config /work/user-write.properties
```
Чтение сообщений:
```bash
/opt/kafka/bin/kafka-console-consumer.sh \
--bootstrap-server <адрес сервис брокера>:9093 \
--topic <topic> \
--from-beginning \
--group <group> \
--consumer.config /work/user-read.properties \
--max-messages 50
```
---
## 7. Пример внешнего подключения с использованием **kcat**
**Листинг топиков**
```bash
kcat -b <externalConnect.bootstrap.fqdn>:9093 \
-L \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-read.crt \
-X ssl.key.location=./user-read.key \
-X ssl.endpoint.identification.algorithm=none
```
**Запись сообщения**
```bash
echo "hello from kcat" | kcat -P \
-b <externalConnect.bootstrap.fqdn>:9093 \
-t write-test \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-write.crt \
-X ssl.key.location=./user-write.key \
-X ssl.endpoint.identification.algorithm=none
```
**Чтение сообщений**
```bash
kcat -C \
-b <externalConnect.bootstrap.fqdn>:9093 \
-t write-test \
-o beginning \
-q \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-read.crt \
-X ssl.key.location=./user-read.key \
-X ssl.endpoint.identification.algorithm=none
```
---
## 9. Рекомендации
* Минимизируйте набор разрешённых операций для повышения безопасности.
* Используйте отдельные учётные записи для продюсеров, консюмеров и системных сервисов.
* Ограничивайте доступ по IP или подсетям с помощью параметра **Разрешённые хосты**.
* После изменения прав или групп пользователя рекомендуется проверить подключение и доступ к топикам.
--- |
| `modify` | `instance` | `modify` | `` | `162` | resourceInstances, resourceMemory, resourceCPU, resourceDisk, needExternalAddressMaster, ipSpaceNameMaster | |
| `modify_topic` | `subresource` | `modify` | `topic` | `166` | nameTopic, partitions, replicas | # Инструкция по управлению топиками Apache Kafka через платформу
## 1. Общая информация
---
Топик — это основная сущность в Apache Kafka, предназначенная для приёма сообщений от продюсеров и передачи их консюмерам.
Платформа позволяет создавать, удалять и изменять параметры топиков без прямого доступа к брокерам, обеспечивая удобное управление через интерфейс или API.
---
## Доступные операции
- **create_topic** — Создание топика
- **modify_topic** — Модификация топика
- **delete_topic** — Удаление топика
---
## 2. Параметры создания топика
Ниже перечислены параметры, которые необходимо указать при создании нового топика:
* **Имя топика**
Название топика.
Должно быть уникальным в пределах кластера.
Пример: `orders-events`.
* **Партиции**
Количество партиций топика.
Рекомендуется выбирать с учётом уровня параллелизма потребителей и предполагаемой нагрузки.
Пример: `6`. Здесь важно рассказать о том как происходит расчет оптимального количества
Обратите внимание: уменьшить количество партиций после создания невозможно, поэтому лучше закладывать небольшой запас на будущий рост нагрузки.
* **Реплики**
Количество реплик для каждой партиции.
Обычно равно количеству доступных брокеров или меньше.
Пример: `3`.
---
## 4. Параметры модификации топика
Для уже существующих топиков можно изменять параметры. Все параметры являются опциональными:
* **Имя топика**
Название топика.
Пример: `orders-events`.
* **Партиции**
Новое количество партиций.
Пример: `12`.
* **Реплики**
Новое количество реплик.
Пример: `2`.
---
## 5. Рекомендации
* Планируйте количество партиций с запасом — уменьшение их числа невозможно.
* Количество реплик должно соответствовать требуемому уровню отказоустойчивости, но не превышать количество брокеров.
* Изменение параметров топика в рабочем окружении может временно влиять на производительность. Рекомендуется проводить крупные изменения в периоды минимальной нагрузки.
--- |
| `modify_user` | `subresource` | `modify` | `user` | `169` | nameTopic, operations, group, accessHosts, username | # Инструкция по управлению пользователями Apache Kafka.
---
## 1. Общая информация
Пользователи в Apache Kafka используются для аутентификации и авторизации при подключении к кластеру.
Платформа позволяет создавать, удалять и изменять пользователей без прямого доступа к брокерам, а также настраивать права доступа к топикам и группам.
Это обеспечивает централизованное и безопасное управление доступом к ресурсам Kafka.
---
## Доступные операции
- **create_user** — Создание пользователя
- **modify_user** — Модификация пользователя
- **delete_user** — Удаление пользователя
---
## 2. Параметры создания пользователя
Ниже перечислены параметры, которые необходимо указать при создании нового пользователя:
* **Имя пользователя**
Имя создаваемого пользователя. Используется для подключения к Kafka и настройки прав.
Пример: `username-admin`
* **Топик**
Название топика, к которому будут назначены права для данного пользователя.
Пример: `orders-events`.
Использовать маску нельзя (`orders*`), только полное название или `*`.
* **Операции**
Список разрешённых операций на указанном топике.
Пример: `Describe, Read, Write`
* **Группа**
Имя группы, которой разрешён доступ. Используется при настройке консюмер-групп.
Пример: `order-consumers`.
* **Разрешённые хосты**
Список хостов или подсетей, с которых разрешено подключение пользователя.
Пример: `192.168.1.0/24` или `*`.
---
## 3. Параметры модификации пользователя
Ниже перечислены параметры, которые необходимо указать при модификации пользователя:
* **Имя пользователя**
Имя создаваемого пользователя. Используется для подключения к Kafka и настройки прав.
Пример: `username-admin`
* **Топик**
Название топика, к которому будут назначены права для данного пользователя.
Пример: `orders-events`.
Использовать маску нельзя (`orders*`), только полное название или `*`.
* **Операции**
Список разрешённых операций на указанном топике.
Пример: `Describe, Read, Write`
* **Группа**
Имя группы, которой разрешён доступ. Используется при настройке консюмер-групп.
Пример: `order-consumers`.
* **Разрешённые хосты**
Список хостов или подсетей, с которых разрешено подключение пользователя.
Пример: `192.168.1.0/24` или `*`.
---
## 4. Параметры удалении пользователя
Ниже перечислены параметры, которые необходимо указать при удалении пользователя:
* **Имя пользователя**
Имя удаляемого пользователя.
Пример: `username-admin`
## 5. Выходные параметры
После успешного создания пользователя платформа возвращает параметры, необходимые для подключения:
* **ca.crt**
Корневой сертификат (Certificate Authority), используемый для проверки подлинности сервера при TLS-подключении.
Файл содержит публичный ключ удостоверяющего центра, которому доверяют брокеры и клиенты. Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.crt
```
* **ca.p12**
PKCS#12-хранилище с корневым сертификатом (Certificate Authority), используемое для проверки подлинности сервера при TLS-подключении.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.p12
```
* **ca.password**
Пароль для доступа к хранилищу `ca.p12`. Выдаеться в чистом виде. Раскодировать не нужно.
* **user.crt**
Клиентский сертификат, подтверждающий личность пользователя при подключении к Kafka.
Используется совместно с приватным ключом `user.key` для аутентификации.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.crt
```
* **user.key**
Приватный ключ пользователя, применяемый для установления защищённого TLS-соединения и подтверждения подлинности.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo '<содержание поля>' | base64 -d > <название>.key
```
* **user.p12**
PKCS#12-хранилище с клиентским сертификатом и приватным ключом, предназначенное для аутентификации пользователя в Kafka.
Выдаеться в формате base64 для получения файла сертификата использовать команду
```bash
echo "<содержание поля>" | base64 -d > <название>.p12
```
* **user.password**
Пароль для доступа к хранилищу `user.p12`. Выдаеться в чистом виде. Раскодировать не нужно.
Эти параметры используются для настройки TLS-подключения.
---
## 6. Пример конфигурации клиента внутри кластера
Пример пода:
```yaml
apiVersion: v1
kind: Pod
metadata:
name: kafka-4
spec:
volumes:
- name: work
emptyDir: {}
containers:
- name: kcat
image: quay.io/strimzi/kafka:latest-kafka-4.0.0
command: ["sleep", "5600"]
volumeMounts:
- name: work
mountPath: /work
restartPolicy: Never
```
Создаём под и сохраняем сертификаты:
```bash
kubectl cp user.p12 kafka-4:/work/
kubectl cp ca.p12 kafka-4:/work/
```
Создаём файлы конфигурации:
```bash
cat > /work/user-read.properties <<'EOF'
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/work/user.p12
ssl.keystore.password=<user.password>
ssl.truststore.type=PKCS12
ssl.truststore.location=/work/ca.p12
ssl.truststore.password=<ca.password>
EOF
```
```bash
cat > /work/user-write.properties <<'EOF'
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/work/user-write.p12
ssl.keystore.password=<user.password>
ssl.truststore.type=PKCS12
ssl.truststore.location=/work/ca.p12
ssl.truststore.password=<ca.password>
EOF
```
Листинг доступных топиков:
```bash
/opt/kafka/bin/kafka-topics.sh \
--bootstrap-server kafkak8s-bootstrap-external:9093 \
--command-config /work/user-read.properties \
--list
```
Запись сообщений:
```bash
/opt/kafka/bin/kafka-console-producer.sh \
--bootstrap-server <адрес сервис брокера>:9093 \
--topic <topic> \
--producer.config /work/user-write.properties
```
Чтение сообщений:
```bash
/opt/kafka/bin/kafka-console-consumer.sh \
--bootstrap-server <адрес сервис брокера>:9093 \
--topic <topic> \
--from-beginning \
--group <group> \
--consumer.config /work/user-read.properties \
--max-messages 50
```
---
## 7. Пример внешнего подключения с использованием **kcat**
**Листинг топиков**
```bash
kcat -b <externalConnect.bootstrap.fqdn>:9093 \
-L \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-read.crt \
-X ssl.key.location=./user-read.key \
-X ssl.endpoint.identification.algorithm=none
```
**Запись сообщения**
```bash
echo "hello from kcat" | kcat -P \
-b <externalConnect.bootstrap.fqdn>:9093 \
-t write-test \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-write.crt \
-X ssl.key.location=./user-write.key \
-X ssl.endpoint.identification.algorithm=none
```
**Чтение сообщений**
```bash
kcat -C \
-b <externalConnect.bootstrap.fqdn>:9093 \
-t write-test \
-o beginning \
-q \
-X security.protocol=SSL \
-X ssl.ca.location=./ca.crt \
-X ssl.certificate.location=./user-read.crt \
-X ssl.key.location=./user-read.key \
-X ssl.endpoint.identification.algorithm=none
```
---
## 9. Рекомендации
* Минимизируйте набор разрешённых операций для повышения безопасности.
* Используйте отдельные учётные записи для продюсеров, консюмеров и системных сервисов.
* Ограничивайте доступ по IP или подсетям с помощью параметра **Разрешённые хосты**.
* После изменения прав или групп пользователя рекомендуется проверить подключение и доступ к топикам.
--- |
| `resume` | `instance` | `resume` | `` | `161` | | |
| `suspend` | `instance` | `suspend` | `` | `160` | | |
## Operation: create
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `resourceInstances` | `integer > 0` | `ДА` | `` | Пример: `2` | | minvalue=1; value_list=1, 2, 3, 4, 5 | `461` |
| `resourceMemory` | `integer > 0` | `ДА` | `` | Пример: `2048` | | minvalue=1000 | `462` |
| `resourceCPU` | `integer > 0` | `ДА` | `` | Пример: `2000` | | minvalue=1000 | `463` |
| `resourceDisk` | `integer > 0` | `ДА` | `` | Пример: `20` | | | `464` |
| `needExternalAddressMaster` | `boolean` | `ДА` | `false` | Флаг, определяющий, нужно ли выделять внешний IP для доступа к master-брокеру. Пример: `true` или `false` | | value_list=false, true | `465` |
| `ipSpaceNameMaster` | `string` | `НЕТ` | `` | Если включен предыдущий параметр, то поле необходимо заполнить. Пример: `internet-no-antiddos-v1` | | | `466` |
| `resourceRealm` | `string` | `ДА` | `` | Выбрать платформу из списка | | func=getAvailableResourceRealms | `469` |
## Operation: create_topic
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `nameTopic` | `string` | `ДА` | `` | Пример: `orders-events` | | | `523` |
| `partitions` | `integer > 0` | `ДА` | `` | Число партиций можно увеличить, но уменьшить их нельзя. | | | `524` |
| `replicas` | `integer > 0` | `ДА` | `` | Количество реплик не может привышать количество реплик брокера | | | `525` |
## Operation: create_user
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `username` | `string` | `ДА` | `` | Пример: `username-admin` | | | `530` |
| `nameTopic` | `string` | `ДА` | `` | Пример: `orders-events`. Использовать маску нельзя(`orders*`), только полное название или `*` | | | `531` |
| `operations` | `string` | `ДА` | `` | Пример: `Create, Describe, Read, Write` | | | `532` |
| `group` | `string` | `ДА` | `` | Пример: `order-consumers` или `*` | | | `533` |
| `accessHosts` | `string` | `ДА` | `` | Пример: `192.168.1.0/24` или `*` | | | `534` |
## Operation: delete
None.
## Operation: delete_topic
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `nameTopic` | `string` | `ДА` | `` | Необходимо выбрать топик, который необходимо удалить | | | `529` |
## Operation: delete_user
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `username` | `string` | `ДА` | `` | Пример: `username-admin` | | | `540` |
## Operation: modify
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `resourceInstances` | `integer > 0` | `НЕТ` | `` | Пример: `2` | | value_list=1, 2, 3, 4, 5 | `501` |
| `resourceMemory` | `integer > 0` | `НЕТ` | `` | Пример: `2048` | | minvalue=1000 | `502` |
| `resourceCPU` | `` | `НЕТ` | `` | Пример: `2000` | | minvalue=1000 | `503` |
| `resourceDisk` | `integer > 0` | `НЕТ` | `` | Пример: `20` | | | `504` |
| `needExternalAddressMaster` | `boolean` | `НЕТ` | `false` | Флаг, определяющий, нужно ли выделять внешний IP для доступа к master-брокеру. Пример: `true` или `false` | | value_list=false, true | `505` |
| `ipSpaceNameMaster` | `string` | `НЕТ` | `` | Если включен предыдущий параметр, то поле необходимо заполнить. Пример: `internet-no-antiddos-v1` | | | `506` |
## Operation: modify_topic
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `nameTopic` | `string` | `ДА` | `` | Пример: `orders-events` | | | `526` |
| `partitions` | `` | `НЕТ` | `` | Число партиций на кластер ≤ 100 × (число брокеров) × (фактор репликации). Пример `50` | | | `527` |
| `replicas` | `` | `НЕТ` | `` | Количество партиций ≤ (число брокеров). Пример `2` | | | `528` |
## Operation: modify_user
| Code | Type | Required | Default | Description | Man | Constraints | ID |
|---|---|---|---|---|---|---|---|
| `nameTopic` | `string` | `НЕТ` | `` | Пример: `orders-events`. Использовать маску нельзя(`orders*`), только полное название или `*` | | | `535` |
| `operations` | `string` | `НЕТ` | `` | Пример: `Create, Describe, Read, Write` | | | `536` |
| `group` | `string` | `НЕТ` | `` | Пример: `order-consumers` или `*` | | | `537` |
| `accessHosts` | `string` | `НЕТ` | `` | Пример: `192.168.1.0/24` или `*` | | | `538` |
| `username` | `string` | `ДА` | `` | Пример: `username-admin` | | | `539` |
## Operation: resume
None.
## Operation: suspend
None.