使用SASL进行Kafka身份验证-重复的管理员用户？

Question

我运行的是一个分布式Kafka Broker，其中使用SASL/SSL设置了代理间通信。为此，我修改了这里给出的JAAS配置。完成的文件如下所示：

KafkaServer {
  org.apache.kafka.common.security.plain.PlainLoginModule required
  username="admin"
  password="admin-secret"
  user_admin="admin-secret"
  user_alice="alice-secret"
  security.protocol=SASL_PLAINTEXT
  sasl.mechanism=PLAIN;

  org.apache.kafka.common.security.scram.ScramLoginModule required;
};

Client {
  org.apache.kafka.common.security.plain.PlainLoginModule required
  username="admin"
  password="admin-secret";
};

我注意到“KafkaServer”部分有两个管理员用户。我也艰难地了解到我需要两者，但为什么会这样？我有一种感觉，几个月前我已经读过（但忘记了）原因，但我似乎再也找不到了。

Answer 1

根据Apache Kafka文档，KafkaServer部分用于配置从该代理到其他代理的身份验证，以及为连接到此代理的客户端和其他代理进行身份验证。Client部分用于连接Zookeeper。

由于您的问题是关于< code>KafkaServer部分，并且您正在配置SASL/普通身份验证机制，请参考Apache Kafka文档的这一部分:

此配置定义了两个用户（admin和alice）。broker使用KafkaServer部分中的属性用户名和 >来启动与其他broker的连接。在本例中，admin是代理间通信的用户。属性集 user_userName定义连接到代理的所有用户的密码，代理使用这些属性验证所有客户端连接，包括来自其他代理的连接。

换句话说，这里配置了两种不同的情况:

• 当此代理连接到其他代理时，它将使用用户名和密码中定义的用户名和密码。
• 当客户端和其他代理连接到该代理时，user_userName条目用于验证这些连接，其中用户名是user_userName键的用户名部分，密码是值。

因此，在您的示例中，此代理将使用用户名admin和密码admin secret>连接到其他代理，因为有以下两行：

username="admin"
password="admin-secret"

此外，客户和其他代理可以使用用户名和密码组合< code > admin /< code > admin-secret 或< code > Alice /< code > Alice-secret 连接到该代理，因为这两行:

user_admin="admin-secret"
user_alice="alice-secret"

如果您只接受来自其他代理的连接以在此侦听器上进行代理间通信，则它们可能正在使用配置的user_admin=“管理员机密”部分，并且user_alice=“alice-secret”可能是多余的。