认证与访问控制

分布式消息服务Kafka支持CTIAM身份认证和多种访问控制，多维度保障您数据的安全。

身份认证

CTIAM

统一身份认证（Identity and Access Management，简称：CTIAM）是提供用户进行权限管理的基础服务，可以帮助您安全的控制天翼云服务和资源的访问及操作权限，包括：用户身份认证、权限分配、访问控制等功能。具体介绍请参考统一身份认证-产品介绍。

您可以创建IAM用户，并为其设置关联分布式消息服务Kafka实例权限，该用户就可以通过用户名和密码访问授权的实例资源。具体请参见统一身份认证-快速入门-创建IAM用户。

访问控制

权限控制

购买分布式消息服务Kafka实例之后，您可以使用CTIAM为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，通过CTIAM进行精细的权限管理。

VPC****和子网

虚拟私有云（Virtual Private Cloud，VPC）为分布式消息服务Kafka构建隔离、私密的虚拟网络环境，提升数据库的安全性，并简化用户的网络部署。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。通过子网与其他网络隔离，独享网络资源，提高网络安全性。具体内容请参见虚拟私有云-用户指南-创建虚拟私有云和子网。安全组

安全组是一个逻辑上的分组，可以为同一个虚拟私有云内具有相同安全保护需求并相互信任的Kafka实例提供相同的访问策略。您可以通过为数据库实例设置安全组，开通需访问Kafka实例的IP地址和端口，来保证保障其运行环境的安全性和稳定性。具体请参见配置安全组

数据保护技术

天翼云分布式消息服务Kafka通过多种数据保护手段和措施，保障您在Kafka实例上的数据的安全性。

容灾

根据数据和服务的不同可靠性需求，您有多种选择。您可以选择在一个可用区（即单个机房）内部署Kafka实例，或者选择跨多个可用区（即同城灾备）进行部署。具体请参考容灾策略。

副本冗余

通过配置适当数量的副本和分布在不同的节点上，Kafka可以提供高可用性和数据冗余，以保护数据免受节点故障的影响。同时，副本机制还可以提高读取性能，因为客户端可以从就近的副本中读取数据，而不必从远程节点获取数据。

数据持久化

Kafka中数据的持久化是通过将消息写入磁盘上的日志文件来实现的。这种设计使得Kafka能够提供高吞吐量和持久性，即使在发生故障或重启时也能够保留数据。此外，Kafka还提供了数据复制和故障转移机制，以确保数据的可用性和可靠性。

审计与日志

分布式消息服务Kafka提供对各种资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景。

主题管理日志

主题管理日志记录 Kafka 主题元数据变更内容，用于追踪关于主题的创建、删除以及分区的增加、减少等操作，帮助了解主题的变更历史，进行故障排查和监控。

订阅组日志

订阅组日志是 Kafka 中用于监控消费者组操作行为的重要组成部分，记录了有关消费者组的重要操作和状态变化。这些日志可用于监控、故障排除和维护消费者组。

消费重置日志

Kafka 消费者组中的偏移量可能会被重置，消费重置日志对于监视和调试 Kafka 消费者组的行为非常重要，可以帮助追踪偏移量的变化，及时发现和解决潜在的问题。

应用用户日志

Kafka 应用用户日志主要用于记录与 Kafka 应用相关的用户操作和事件。这些日志可用于跟踪应用的运行状态、故障排除以及性能监控。

Broker 管理日志

Broker 管理日志主要记录了 Kafka Broker 的管理操作和事件，这些日志对于监控和维护 Kafka 集群至关重要。帮助管理员了解 Kafka 集群的运行状态，监控关键事件，及时发现和解决问题，确保 Kafka 集群的可靠性和稳定性

服务韧性

Kafka服务的韧性是指其在面对各种故障和异常情况时能够保持可用性和可靠性的能力。以下是保障Kafka服务韧性的关键方面：

跨AZ容灾

根据数据和服务的不同可靠性需求，您有多种选择。您可以选择在一个可用区（即单个机房）内部署Kafka实例，或者选择跨多个可用区（即同城灾备）进行部署。

AZ内实例容灾

Kafka的AZ内实例容灾可以通过部署多个Broker节点，以及实施监控和自动化措施来实现。这样可以提高Kafka集群的可用性和容灾能力，确保数据的可靠性和业务的连续性。

数据容灾

Kafka使用副本机制来提供数据的冗余备份和故障转移。每个分区可以配置多个副本，其中一个副本作为领导者处理读写请求，其他副本作为追随者复制数据。当领导者副本发生故障时，Kafka会自动选举一个新的领导者副本来接管分区，从而实现故障转移。

监控安全风险

分布式消息服务Kafka提供资源和操作监控能力，可以对每个消息实例实时监控、告警和通知操作。用户可以实时掌握实例、主题、消费组的生产消费情况，包括流量、堆积量、重平衡次数等关键信息。

分布式消息服务Kafka支持的监控指标等内容，参考监控信息。