Keeper 错误代码 = 使用Kafka配置时无效的 ACL

Question

我正在尝试将我的 kafka 集群设置为接受SASL_SSL/SCRAM 身份验证。首先，一切都在实际工作，客户端使用SASL_SSL/ GSSAPI进行连接。我的 Zk 服务器也针对 SASL 身份验证和 TLS 进行了配置。

我为Kafka和Zk使用了融合的docker图像:

• confluent inc/cp-kafka： 6.0.1
• confluent inc/cp-zookeeper： 5.5.3-3

所以我刚刚修改了我的设置，允许在Kafka中使用SCRAM-SHA-512:Kafka_SASL_ENABLED_MECHINIMS=GSSAPI，SCRAM-SSA-512

按照这些说明，我现在想在Zk中添加用户，这就是问题开始的地方（从Kafka节点）：

[root@kafka1 [RCI] ~]# /usr/bin/podman exec kafka kafka-configs --zk-tls-config-file /etc/kafka/secrets/zk-ssl.properties --zookeeper Zk:3181 --alter --entity-type topics --entity-name test_jerome --add-config 'retention.ms=1'
Warning: --zookeeper is deprecated and will be removed in a future version of Kafka.
Use --bootstrap-server instead to specify a broker to connect to.
[2021-01-21 17:44:14,807] WARN zookeeper.ssl.keyStore.location not specified (org.apache.zookeeper.common.X509Util)
Error while executing config command with args '--zk-tls-config-file /etc/kafka/secrets/zk-ssl.properties --zookeeper Zk:3181 --alter --entity-type topics --entity-name test_jerome --add-config retention.ms=1'
org.apache.zookeeper.KeeperException$InvalidACLException: KeeperErrorCode = InvalidACL for /config/changes
    at org.apache.zookeeper.KeeperException.create(KeeperException.java:128)
    at org.apache.zookeeper.KeeperException.create(KeeperException.java:54)
    at kafka.zookeeper.AsyncResponse.maybeThrow(ZooKeeperClient.scala:564)
    at kafka.zk.KafkaZkClient.createRecursive(KafkaZkClient.scala:1646)
    at kafka.zk.KafkaZkClient.makeSurePersistentPathExists(KafkaZkClient.scala:1568)
    at kafka.zk.KafkaZkClient.createConfigChangeNotification(KafkaZkClient.scala:395)
    at kafka.zk.AdminZkClient.changeEntityConfig(AdminZkClient.scala:385)
    at kafka.zk.AdminZkClient.changeTopicConfig(AdminZkClient.scala:342)
    at kafka.zk.AdminZkClient.changeConfigs(AdminZkClient.scala:278)
    at kafka.admin.ConfigCommand$.alterConfigWithZk(ConfigCommand.scala:167)
    at kafka.admin.ConfigCommand$.processCommandWithZk(ConfigCommand.scala:118)
    at kafka.admin.ConfigCommand$.main(ConfigCommand.scala:92)
    at kafka.admin.ConfigCommand.main(ConfigCommand.scala)
Error: non zero exit code: 1: OCI runtime error

ZK日志并没有真正的帮助:

[2021-01-21 17:58:08,333] INFO Successfully authenticated client: authenticationID=admin;  authorizationID=admin. (org.apache.zookeeper.server.auth.SaslServerCallbackHandler)
[2021-01-21 17:58:08,333] INFO Successfully authenticated client: authenticationID=admin;  authorizationID=admin. (org.apache.zookeeper.server.auth.SaslServerCallbackHandler)
[2021-01-21 17:58:08,333] INFO Setting authorizedID: admin (org.apache.zookeeper.server.auth.SaslServerCallbackHandler)
[2021-01-21 17:58:08,333] INFO Setting authorizedID: admin (org.apache.zookeeper.server.auth.SaslServerCallbackHandler)
[2021-01-21 17:58:08,334] INFO adding SASL authorization for authorizationID: admin (org.apache.zookeeper.server.ZooKeeperServer)
[2021-01-21 17:58:08,334] INFO adding SASL authorization for authorizationID: admin (org.apache.zookeeper.server.ZooKeeperServer)

如您所见，SASL 身份验证有效，并且管理员用户已很好地识别。

如果我登录Zk shell（从Zk节点），你看不到acl是完全打开的：

getAcl /config/users
'world,'anyone
: cdrwa
getAcl /config
'world,'anyone
: cdrwa
getAcl /
'world,'anyone
: cdrwa

如果我在Zk shell中创建目录（从Zk节点），它可以工作：

create /config/users/topicctl
Created /config/users/topicctl

当我这样做时，Zk服务器上没有日志，因为我没有进行身份验证。

我现在花了一下午的时间在这个问题上，没有任何进展。

请问有什么问题？

Answer 1

多亏了这篇文章，我终于找到了我的问题:如果zookeeper.set.acl设置为true，Kafka不会启动

我刚刚将此信息添加到KAFKA_OPTS环境变量：“-Dzookeeper.kerberos.removeHost从原则=真 -Dzookeeper.kerberos.removeRealm从原则=true -Dzookeeper.authProvider.1=org.apache.zookeeper.server.auth.SASLAuthicationProvidicationProvider-Dzookeeper.requireClientAuthScheme=sasl”

我现在的主要问题是:为什么sasl认证在那之前是有效的！