双向 TLS（mTLS）身份验证

双向 TLS（mTLS）对 Kafka 连接的双方进行身份验证。客户端验证 AutoMQ Server Certificate，AutoMQ 验证由可信客户端 CA 签发的 Client Certificate。AutoMQ 将证书身份映射到 Kafka ACL 用户，并执行 ACL 授权。

证书责任

Server Certificate 责任取决于创建实例时选择的 DNS Zone 模式。在两种模式下，用户都需要提供客户端 CA，并为每个客户端身份签发独立的 Client Certificate。

DNS Zone 模式	Server Certificate	Client Certificate
AutoMQ Managed Public DNS Zone	AutoMQ 提供、安装并续期 Server 权威证书。不要上传用户签发的 Server Certificate 或 Private Key。	用户提供 Client CA Certificate，并使用 Client CA Private Key 签发 Client Certificate。
用户管理的 Private DNS Zone	用户提供并轮转 Server CA、Server Certificate 和 Private Key。Server Certificate SAN 必须与私有接入域名匹配。	用户提供 Client CA，并使用其 Private Key 签发 Client Certificate。如果 Server 与 Client 使用不同 CA，需要将二者的公共证书合并为一个 CA Bundle 后上传。

创建实例时需要选择 DNS Zone 模式并启用 mTLS。现有实例不能从未加密 Listener 变更为 mTLS。

配置流程

请按以下顺序完成配置：

创建或选择 Client CA，并签发 Client Certificate。两种 DNS Zone 模式都必须完成此步骤。
准备服务端身份。Public DNS Zone 由 AutoMQ 管理；Private DNS Zone 由用户提供。
配置 AutoMQ 实例。
配置 Kafka 客户端。

步骤 1：创建 Client CA 和 Client Certificate

两种 DNS Zone 模式都需要 Client CA 和 Client Certificate。优先使用组织的证书管理系统。如果需要自行创建和维护私有 Client CA，可参考以下步骤。

请按照组织的密钥管理要求保护 client-ca.key 和 client.key。客户端身份验证只需上传 client-ca.crt，不要上传 Client CA Private Key 或 Client Private Key。用户管理的 Private DNS Zone 还需要上传步骤 3 中说明的服务端材料。

创建 Client CA

创建 client-ca.cnf，执行命令前替换证书主题信息。

[ req ]
prompt = no
distinguished_name = distinguished_name
x509_extensions = extensions

[ distinguished_name ]
organizationName = <organization-name>
commonName = <client-ca-common-name>

[ extensions ]
basicConstraints = critical,CA:true,pathlen:1
keyUsage = critical,keyCertSign,cRLSign
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer

生成 Client CA Private Key 和 Client CA Certificate：

openssl genrsa -out client-ca.key 2048
chmod 400 client-ca.key
openssl req -new -x509 \
  -config client-ca.cnf \
  -key client-ca.key \
  -days 3650 \
  -out client-ca.crt

签发 Client Certificate

签发 Client Certificate 前，先创建对应的 Kafka ACL 用户。除非配置了其他 Principal Mapping Rule，否则将证书 Common Name（CN）设置为 ACL 用户名。默认 Principal Mapping Rule 从 Client Certificate 中提取 CN：

RULE:.*CN=([^,]+).*/$1/

例如，包含 CN=user01 的证书映射到 ACL 用户 user01。创建 client.cnf：

[ req ]
prompt = no
distinguished_name = distinguished_name
req_extensions = extensions

[ distinguished_name ]
organizationName = <organization-name>
commonName = <kafka-acl-username>

[ extensions ]
basicConstraints = critical,CA:false
keyUsage = critical,digitalSignature,keyEncipherment
extendedKeyUsage = clientAuth

生成 Client Private Key 和 CSR，然后使用 Client CA 签发 Client Certificate：

openssl genrsa -out client.key 2048
chmod 400 client.key
openssl req -new \
  -config client.cnf \
  -key client.key \
  -out client.csr
openssl x509 -req \
  -in client.csr \
  -CA client-ca.crt \
  -CAkey client-ca.key \
  -CAcreateserial \
  -days 365 \
  -extfile client.cnf \
  -extensions extensions \
  -out client.crt

检查证书身份、用途和有效期：

openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage

步骤 2：准备服务端身份

AutoMQ Managed Public DNS Zone

用户无需执行服务端证书操作。AutoMQ 提供、安装并续期 Server 权威证书。不要创建或上传 Server Certificate 和 Server Private Key。

用户管理的 Private DNS Zone

用户必须提供 Subject Alternative Name（SAN）覆盖 AutoMQ Private DNS Zone 私有接入域名的 Server Certificate。优先使用组织证书颁发机构签发的证书。以下参考步骤使用步骤 1 创建的 Client CA 签发 Server Certificate。如果组织要求分别使用 Server CA 和 Client CA，请使用 Server CA 签发 Server Certificate，并保留两个 CA 的公共证书，用于步骤 3 的 CA Bundle。创建 server.cnf。请根据实例接入地址使用准确域名或所需的通配符域名，不要依赖 Common Name 完成主机名验证。

[ req ]
prompt = no
distinguished_name = distinguished_name
req_extensions = extensions

[ distinguished_name ]
organizationName = <organization-name>
commonName = <server-common-name>

[ extensions ]
basicConstraints = critical,CA:false
keyUsage = critical,digitalSignature,keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = <private-endpoint-dns-name-or-wildcard>

生成 Server Private Key 和 CSR，然后使用 CA 签发 Server Certificate：

openssl genrsa -out server.key 2048
chmod 400 server.key
openssl req -new \
  -config server.cnf \
  -key server.key \
  -out server.csr
openssl x509 -req \
  -in server.csr \
  -CA client-ca.crt \
  -CAkey client-ca.key \
  -CAserial client-ca.srl \
  -days 365 \
  -extfile server.cnf \
  -extensions extensions \
  -out server.crt

检查证书 SAN、用途和有效期：

openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName,extendedKeyUsage

步骤 3：配置 AutoMQ

AutoMQ Managed Public DNS Zone

创建实例时选择 Public DNS Zone 和 AutoMQ Managed 模式。
启用 mTLS Listener。
将 client-ca.crt 作为 Client CA Certificate 上传。
不要上传 Server Certificate 或 Server Private Key。
创建与 Client Certificate 身份匹配的 ACL 用户，并仅授予所需的 Topic 和 Consumer Group 权限。

用户管理的 Private DNS Zone

创建实例时选择用户管理的 Private DNS Zone，并启用 mTLS Listener。
上传同时包含 Client CA 和 Server CA 公共证书的 PEM CA Bundle。如果像本示例一样使用同一个 CA 签发两类证书，只需上传一次 client-ca.crt。
将 server.crt 作为 Server Certificate、server.key 作为 Server Private Key 上传。
创建与 Client Certificate 身份匹配的 ACL 用户，并仅授予所需的 Topic 和 Consumer Group 权限。

步骤 4：配置 Kafka 客户端

将 Client Certificate 和 Client Private Key 转换为 PKCS#12 Keystore：

openssl pkcs12 -export \
  -in client.crt \
  -inkey client.key \
  -certfile client-ca.crt \
  -out client.p12 \
  -name automq-client \
  -password pass:<keystore-password>

配置 Kafka 客户端：

bootstrap.servers=<mtls-bootstrap-server>
security.protocol=SSL
ssl.keystore.type=PKCS12
ssl.keystore.location=/path/to/client.p12
ssl.keystore.password=<keystore-password>
ssl.key.password=<keystore-password>

使用 AutoMQ Managed Public DNS Zone 时，客户端通常通过操作系统或 Java 运行时信任公共 Server Certificate。除非组织安全策略另有要求，否则无需配置自定义 Server Truststore。使用用户管理的 Private DNS Zone 且客户端默认不信任 Server CA 时，将 Server CA Certificate 导入客户端 Truststore。在上述单 CA 示例中，使用 client-ca.crt 作为 Server CA Certificate。

keytool -importcert \
  -alias automq-server-ca \
  -file <server-ca-certificate>.crt \
  -keystore truststore.jks \
  -storepass <truststore-password>

在客户端配置中添加 Truststore 参数：

ssl.truststore.type=JKS
ssl.truststore.location=/path/to/truststore.jks
ssl.truststore.password=<truststore-password>

证书过期责任

AutoMQ Managed Public DNS Zone： AutoMQ 监控并续期 Server Certificate；用户监控并轮转 Client CA 和所有 Client Certificate。
用户管理的 Private DNS Zone： 用户监控并轮转 Server CA、Server Certificate、Client CA 和 Client Certificate。

服务端通过 kafka_stream_cert_expiry_timestamp_milliseconds 和 kafka_stream_cert_days_remaining 暴露已安装 Server Certificate 的有效期。采集方法请参见 Prometheus 监控与告警。Client Certificate 有效期需要纳入用户自己的证书管理流程。

产品介绍

快速开始

AutoMQ on Kubernetes

订阅和计费

管理环境

管理账号成员

管理 AutoMQ

迁移到 AutoMQ

安全配置

Kafka Connect

监控报警

Table Topic

最佳实践

消除跨可用区数据传输

版本记录

服务支持

附录

证书责任

配置流程

步骤 1：创建 Client CA 和 Client Certificate

创建 Client CA

签发 Client Certificate

步骤 2：准备服务端身份

AutoMQ Managed Public DNS Zone

用户管理的 Private DNS Zone

步骤 3：配置 AutoMQ

AutoMQ Managed Public DNS Zone

用户管理的 Private DNS Zone

步骤 4：配置 Kafka 客户端

证书过期责任

​证书责任

​配置流程

​步骤 1：创建 Client CA 和 Client Certificate

​创建 Client CA

​签发 Client Certificate

​步骤 2：准备服务端身份

​AutoMQ Managed Public DNS Zone

​用户管理的 Private DNS Zone

​步骤 3：配置 AutoMQ

​AutoMQ Managed Public DNS Zone

​用户管理的 Private DNS Zone

​步骤 4：配置 Kafka 客户端

​证书过期责任

证书责任

配置流程

步骤 1：创建 Client CA 和 Client Certificate

创建 Client CA

签发 Client Certificate

步骤 2：准备服务端身份

AutoMQ Managed Public DNS Zone

用户管理的 Private DNS Zone

步骤 3：配置 AutoMQ

AutoMQ Managed Public DNS Zone

用户管理的 Private DNS Zone

步骤 4：配置 Kafka 客户端

证书过期责任