Kafka使用sasl配置jaas。贾斯。库伯内特斯上的配置

Question

我用的是这个舵图：https://github.com/helm/charts/tree/master/incubator/kafka

并且这些覆盖在值中。亚马尔

configurationOverrides:
  advertised.listeners: |-
    EXTERNAL://kafka-${KAFKA_BROKER_ID}.host-removed:$((31090 + ${KAFKA_BROKER_ID}))
  listener.security.protocol.map: |-
    PLAINTEXT:SASL_PLAINTEXT,EXTERNAL:SASL_PLAINTEXT
  sasl.enabled.mechanisms: SCRAM-SHA-256
  auto.create.topics.enable: false
  inter.broker.listener.name: PLAINTEXT
  sasl.mechanism.inter.broker.protocol: SCRAM-SHA-256
  listener.name.EXTERNAL.scram-sha-256.sasl.jaas.config: org.apache.kafka.common.security.scram.ScramLoginModule required username="user" password="password";

基于此留档：https://kafka.apache.org/documentation/#security_jaas_broker

（快速总结）

Brokers may also configure JAAS using the broker configuration property sasl.jaas.config. The property name must be prefixed with the listener prefix including the SASL mechanism, i.e. listener.name.{listenerName}.{saslMechanism}.sasl.jaas.config. Only one login module may be specified in the config value. If multiple mechanisms are configured on a listener, configs must be provided for each mechanism using the listener and mechanism prefix

listener.name.sasl_ssl.scram-sha-256.sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required \
    username="admin" \
    password="admin-secret";

问题是，当我启动Kafka时，会出现以下错误：

java.lang.IllegalArgumentException: Could not find a 'KafkaServer' or 'plaintext.KafkaServer' entry in the JAAS configuration. System property 'java.security.auth.login.config' is not set

根据优先顺序，如果未设置上述配置，则应使用静态jass文件。

If JAAS configuration is defined at different levels, the order of precedence used is:

• 代理配置属性侦听器。名称{listenerName}。{saslMechanism}。萨斯勒。贾斯。配置
• {listenerName}。静态JAAS配置的KafkaServer部分
• 静态JAAS配置的KafkaServer部分

helm图表不支持配置此jaas文件的方法，因此使用此属性似乎是理想的方法，我只是不知道哪些配置不正确。

注意：如果我禁用所有的SASL并且只使用纯文本，群集可以正常工作，但是在真实环境中这并不好。

Answer 1

我们定义了两个侦听器：PLAINTEXT和EXTERNAL。您已经将两者映射到SASL_PLAINTEXT。

这真的是你想做的吗？或者您希望纯文本不需要SASL而只是纯文本？

>

listener.name.EXTERNAL.scram-sha-256.sasl.jaas.config: org.apache.kafka.common.security.scram.ScramLoginModule required username="user" password="password";

由于您已经将明文映射到SASL_明文，因此还需要JAAS配置。您可以使用以下命令指定它，例如：

 listener.name.PLAINTEXT.scram-sha-256.sasl.jaas.config: org.apache.kafka.common.security.scram.ScramLoginModule required username="user" password="password";

如果您希望您的PLAINTEXT侦听器实际上是没有SASL的纯文本，那么您需要更新侦听器映射：

listener.security.protocol.map: |-
  PLAINTEXT:PLAINTEXT,EXTERNAL:SASL_PLAINTEXT