Apache Kafka / المتقدم: المعالجة الذرية وتصميم التعافي / الدرس 16
المستمعون والمصادقة والتفويض
فصل قابلية الوصول الشبكي والهوية المصادق عليها وصلاحيات الموارد عند مراجعة الوصول.
في هذه الصفحة
أهداف الدرس
- شرح اكتشاف التمهيد وعناوين المستمعين المعلنة.
- تمييز مسؤوليات TLS وSASL وقوائم الوصول.
التمهيد أول اتصال
يوفر bootstrap.servers عناوين أولية يحصل منها العميل على بيانات العنقود الوصفية. تستخدم الاتصالات اللاحقة عناوين الوسطاء المعلنة للمستمع المختار. لا يثبت الوصول إلى التمهيد إمكان الوصول إلى كل قائد. قد تفشل أسماء حاويات داخلية أو منافذ خاطئة أو خلط مستمع داخلي وخارجي بعد الاكتشاف. راجع المسار من بيئة العميل الفعلية، بما فيه DNS وأسماء الشهادات. ليس عنوان الربط لكل الواجهات اسماً معلناً صالحاً بالضرورة. افصل مستمع المتحكم عن حركة المنتج والمستهلك في تصميم KRaft.
تجيب طبقات الأمان عن أسئلة مختلفة
يحمي TLS قناة النقل ويتحقق من الأطراف وفق الشهادات وإعداد العميل. توفر آليات SASL المصادقة وفق إعدادها، ويضبط التفويض بقوائم ACL عمليات الموارد عند تهيئة المفوض. لا يمنح التشفير وحده صلاحيات الموضوع، ولا تعني المصادقة الناجحة أن الهوية تستطيع قراءة مجموعة محددة. راجع الثقة وهوية الخادم وربط هوية التطبيق منفصلة. لا تعطل التحقق من اسم المضيف ولا توسع الصلاحيات كلها لمجرد نجاح الاتصال؛ فذلك يغير عقد الأمان بدلاً من تشخيصه.
استخدام جزء الأمان للمراجعة
يسمي الجزء نقطة TLS اصطناعية ويطلب SASL فوق TLS باستخدام SCRAM. لا يضم كلمة مرور أو مسار مخزن ثقة أو مادة مصادقة كاملة، لذا ليس قابلاً للتنفيذ. تعتمد الثقة وتوفير الاعتماد على النشر ومساره المعتمد للأسرار. قد تدعم خدمة مدارة آلية مختلفة وتقيد الإدارة. سجل الهوية المتوقعة بعد المصادقة بدلاً من استنتاجها من اسم عرض التطبيق. يجب أن تراعي خطة التدوير تداخل إصدارات العملاء وإعادة الاتصال المحدودة دون نشر بيانات الاعتماد في السجلات أو الأمثلة.
bootstrap.servers=broker.training.invalid:9093
security.protocol=SASL_SSL
sasl.mechanism=SCRAM-SHA-512يجعل نطاق invalid المحجوز وغياب الاعتماد الجزء غير قابل للتنفيذ؛ وتبقى الثقة والهوية خاصة بالنشر.
نمذجة قرار صلاحية محدود
تسمح مجموعة الصلاحيات المحلية لهوية اصطناعية بقراءة موضوع واحد ولا تسمح بالكتابة. المثال فحص عضوية تطبيقي وليس مقيّم ACL في Kafka. يشمل التفويض الفعلي أنواع موارد ودلالات عمليات وأنماطاً وسياسة نشر، فارجع لوثائقه. يحتاج المستهلك عادة صلاحيات الموضوع والمجموعة، ويضيف المنتج المعاملي اعتبارات معرف المعاملة. ابن مصفوفة من عمليات التطبيق الفعلية وأدرج حالات المنع. لا ينبغي أن تعني قراءة مصرح بها إمكان إنشاء الموضوعات أو تغيير إعداد العنقود عرضاً.
allowed = {('reader-a', 'read', 'lab-parcels')}
assert ('reader-a', 'read', 'lab-parcels') in allowed
assert ('reader-a', 'write', 'lab-parcels') not in allowed
print('read allowed; write denied')read allowed; write deniedهذا فحص عضوية فقط ولا ينفذ قواعد تفويض Kafka.
تحديد الطبقة الفاشلة بأدلة محددة
تحتاج مهلة الاتصال تحقيقاً مختلفاً عن فشل الشهادة أو مصادقة SASL أو تفويض الموضوع. احفظ فئة الخطأ الدقيقة ونقطة النهاية بعد تنقيحها، وقارن العناوين والشهادات والهوية والمورد المطلوب. تجنب تخمين الاعتمادات المتكرر أو المسح الشبكي؛ غالباً تفيد مراجعة محدودة للإعداد والسجلات أكثر. احصر التغيير في عدم التطابق المكتشف وتحقق من المسموح والممنوع في بيئة مصرح بها. لا يتصل الدرس بنقطة نهاية ولا يقرأ أسراراً ولا يعدل ACL ولا يجري مسحاً أمنياً.
الأخطاء الشائعة وإصلاحها
نجاح التمهيد وانتهاء مهلة الجلب من القائد.
- لماذا يحدث؟
- احتمال تعذر الوصول للعناوين المعلنة من شبكة العميل.
- كيف تصلحه؟
- راجع عناوين المستمع المختار ومسار شبكة العميل.
- كيف تتجنب تكراره؟
- تحقق من الاكتشاف والوصول اللاحق للقائد منفصلين.
نجاح TLS ورفض الوصول للموضوع.
- لماذا يحدث؟
- الخلط بين أمان النقل وتفويض المورد.
- كيف تصلحه؟
- افحص الهوية والعمليات المحدودة المطلوبة.
- كيف تتجنب تكراره؟
- احتفظ بمصفوفة صلاحيات صريحة للتطبيق.
إخفاء خطأ شهادة بتعطيل تحقق اسم المضيف.
- لماذا يحدث؟
- إزالة ضابط أمان بدلاً من إصلاح تطابق الهوية.
- كيف تصلحه؟
- صحح الأسماء أو تغطية الشهادة أو الثقة بالمسار المعتمد.
- كيف تتجنب تكراره؟
- اختبر هوية الشهادة أثناء التدوير المخطط.
اختبر فهمك
1. لماذا لا يثبت اتصال TCP ناجح للتمهيد قراءة كل قسم؟
اعرض الحل المشروح
يتعلم العميل عناوين الوسطاء ثم يتصل بالقادة المعنيين. قد تختلف خصائص DNS والتوجيه والجدار والشهادة عن التمهيد. راجع المسار المكتشف وسياق التفويض كاملين بدلاً من تغيير العنوان الأول وحده مراراً.
2. هل يمنح القارئ صلاحيات إدارة العنقود لعلاج رفض موضوع؟
اعرض الحل المشروح
لا يثبت الخطأ حاجة عامة لذلك. حدد الهوية والمورد والعملية وطبق السياسة المحدودة عبر مسار مصرح. أدرج حالة رفض كتابة أو إدارة للتحقق، كي لا يوسع الإصلاح دور التطبيق بصمت.
أهم ما تعلمته
- الاكتشاف والثقة والمصادقة والتفويض فحوص منفصلة.
- أصلح عدم التطابق مع الحفاظ على حدود الوصول المقصودة.