Kafka SASL_PLAINTEXT与 GSSAPI for kerberos

Question

我正在尝试使用明文SASL和GSSAPI运行单个kafka服务器，但出现以下错误。

[2018-10-03 16:08:54,220]错误 [控制器 id=0，目标BrokerId=0] 评估从 Kafka 代理收到的 SASL 令牌时，发生了到节点 0 的连接失败身份验证，原因如下：（java.security.特权操作异常：javax.security.sasl.Sasl异常：GSS 启动失败 [由 GSS 异常导致：未提供有效的凭据]）。Kafka客户端将进入AUTHENTICATION_FAILED状态。（org.apache.kafka.clients.NetworkClient）

在 服务器 中，属性更改包括：

listeners=SASL_PLAINTEXT://kafka.example.com:9095
security.inter.broker.protocol=SASL_PLAINTEXT
sasl.mechanism.inter.broker.protocol=GSSAPI
advertised.listeners=SASL_PLAINTEXT://kafka.example.com:9095
sasl.enabled.mechanism=GSSAPI
sasl.kerberos.service.name=HTTP

这是我的 jaas 配置：

KafkaServer {
    com.sun.security.auth.module.Krb5LoginModule required
    useKeyTab=true
    useTicketCache=true
    storeKey=true
    keyTab="/home/kafka/kafka_server.keytab"
    principal="HTTP/[e-mail]";
};

有解决这个问题的线索吗？

Answer 1

首先，使用KeyTab（useKeyTab=true）或使用TicketCache（useTicketCache=true）。不要同时使用两者。这可能会导致冲突。

如果你有自己的路缘石，为Kafka制定原则

sudo /usr/sbin/kadmin.local-q'addprinc-randkey kafka/{主机名}@{REALM}'sudo /usr/sbin/kadmin.local-q"ktadd-k /etc/security/keytabs/{keytabname}. keytab kafka/{主机名}@{REALM}"

使用

sasl.kerberos.service.name=“kafka”

设置JVM参数

export KAFKA_OPTS=“-Djava.security.auth.login.config=/path/path/to/jaas.conf -Djava.security.krb5.conf=/etc/etc/krb5.conf -Dsun.security.krb5.debug=true”

希望这能有所帮助。