Hazelcast客户端身份认证与安全方法咨询 适用k8s开源5.0版本

• 用户名密码认证
  • 是开源版本默认支持的轻量认证方案，配置成本低，适合小规模集群使用
  • 服务端可直接在yaml配置文件中定义固定的用户名和密码，k8s环境下建议将账号密码存入Secret资源，再通过环境变量或者挂载文件的方式注入到Hazelcast Pod中
  • 客户端连接时传入对应账号密码即可完成认证，示例代码片段：HazelcastClient.newHazelcastClient(new ClientConfig().setSecurityConfig(new ClientSecurityConfig().setUsernamePassword("user", "pass")))
• JAAS插件化认证
  • 支持基于JAAS标准实现自定义身份校验逻辑，也可使用内置的JAAS模块对接LDAP等外部身份源
  • k8s环境下可将JAAS配置文件存入ConfigMap，挂载到Hazelcast服务端Pod读取使用
• 双向TLS认证
  • 通过校验客户端X.509证书的合法性完成身份认证，同时可加密全链路传输数据，适合对安全要求较高的生产环境使用
  • k8s环境下可将服务端、客户端的证书及密钥存入Secret资源，分别挂载到对应Pod的指定路径即可启用
• Kubernetes ServiceAccount认证
  • 针对k8s环境专属的认证方式，服务端会校验客户端提供的ServiceAccount Token的合法性，无需额外维护独立的账号体系
  • 仅适合客户端和Hazelcast集群部署在同一k8s集群内的场景使用

注意：Hazelcast企业版提供的Kerberos、OIDC、SAML等高级认证能力，开源版本不包含，选择方案时请结合自身版本许可及安全需求评估。

内容的提问来源于stack exchange，提问作者DungLe