密码文件而不是kafka ssl设置中的纯文本密码答案

【问题标题】：Password file instead plain text password in kafka ssl setup密码文件而不是kafka ssl设置中的纯文本密码
【发布时间】：2021-04-18 06:53:32
【问题描述】：

如果系统为每个主机生成密码和密钥并将它们复制（大约有 50 台具有不同密码的主机）到每个主机上的指定位置

i.e. on host host1

/a/b/c/xyj_host1.p12
/a/b/c/xyj_host1.p12.pwd

在 kafka 的 server.properties 文件中我想为 kafka 指定文件位置而不是普通密码（原因：我使用 Ansible 及其安全性部署在这 50 多台服务器上如果我必须在部署时指定密码，则漏洞）

ssl.truststore.location=/a/b/c/xyj_host1.p12
# instead of passoword I want to specify the file which contains password
ssl.truststore.password=/a/b/c/xyj_host1.p12.pwd

我怎样才能实现上述目标？

【问题讨论】：

标签： security ssl apache-kafka

【解决方案1】：

Kafka Connect 可以将机密外部化到文件中，但代理不能

如果您想保护 Ansible 中的机密，那么 Ansible Vault 似乎是那里的解决方案，就代理而言，将文件权限限制为服务器属性

还有其他解决方案可以将 Hashicorp Vault 与模板属性文件 (consul-template) 结合起来，但你仍然会有一个纯文本的 Vault 令牌浮动，所以真的取决于你想要混淆你的安全性的程度

【讨论】：