30 октября 2026 года AWS объявила поддержку TLS 1.3 и именованных политик безопасности в Amazon MSK Provisioned. Они определяют допустимые версии протокола и наборы шифров. Для действующих кластеров ничего не меняется, пока администратор не применит политику. Mentoring.digital разбирает порядок перехода и проверку совместимости Kafka-клиентов.
Какие варианты появились
Наряду с прежним режимом TLS 1.2 доступны смешанная политика TLS 1.2/1.3 и строгая политика только TLS 1.3. В смешанном режиме соединение выбирает наибольшую поддерживаемую версию. Строгий режим отклоняет клиентов, которые не могут согласовать TLS 1.3.
Функция относится к MSK Provisioned с Apache Kafka 3.6 или новее. На MSK Serverless её переносить нельзя. Политика охватывает управляемые MSK зашифрованные соединения, включая внутренние связи кластера.
Почему существующему кластеру нужны два шага
С прежней политики TLS 1.2 нельзя сразу перейти в режим только TLS 1.3. Сначала применяется смешанный вариант, затем нужно дождаться завершения обновления и только после этого включать строгий. Обратное изменение также выполняется по соседним ступеням. Для нового кластера строгую политику разрешено выбрать сразу.
Есть важная тонкость: смешанный режим не исправляет несовместимую реализацию TLS 1.3. Если клиент объявляет поддержку этой версии, но согласование соединения завершается ошибкой, автоматического возврата к TLS 1.2 не будет. Поэтому одного названия версии в настройке клиента недостаточно.
Что включить в проверку перед переходом
- Составить список производителей, потребителей сообщений и служебных инструментов, которые подключаются к кластеру.
- В тестовом окружении проверить соединение, отправку и получение сообщений для каждого типа клиента.
- Учесть TLS-библиотеки, прокси и средства анализа трафика между приложением и брокерами.
- Сохранить текущую конфигурацию целиком: новая ревизия не должна потерять остальные параметры.
Применение политики сопровождается последовательным перезапуском брокеров. Это повод отдельно проверить переподключение и повтор запросов, а не считать смену параметра мгновенной операцией без последствий. План выше является рекомендацией для приёмки, а не результатом испытаний конкретного кластера.
Разобрать такую миграцию вместе с настройками приложения можно с наставником по облачной инфраструктуре и DevOps. Решение о строгом режиме стоит принимать после проверки всех клиентов, включая редко запускаемые служебные задания.
