KAFKA：连接到节点的身份验证失败，原因是：由于使用 SASL 机制 SCRAM-SHA-256 的凭据无效，身份验证失败答案

【问题标题】：KAFKA: Connection to node failed authentication due to: Authentication failed due to invalid credentials with SASL mechanism SCRAM-SHA-256KAFKA：连接到节点的身份验证失败，原因是：由于使用 SASL 机制 SCRAM-SHA-256 的凭据无效，身份验证失败
【发布时间】：2018-11-14 01:03:38
【问题描述】：

一段时间以来，我一直在尝试使用 SASL_PLAINTEXT SCRAM-SHA-256 向我的 Kafka Brokers 添加 SASL 身份验证，但没有任何成功。我在 Kafka 的日志文件中不断收到以下错误。

ERROR [Controller id=0, targetBrokerId=0] 连接到节点 0 失败身份验证原因：身份验证因无效而失败具有 SASL 机制 SCRAM-SHA-256 的凭据 (org.apache.kafka.clients.NetworkClient)。

但我一直在关注 SCRAM Config 上的 Kafka 文档，但并没有成功实现这一目标。

我使用 kafka-configs.sh 在 Zookeeper 上注册了一个管理员用户，如下所示：

bin/kafka-configs.sh --zookeeper localhost:2181 --alter --add-config 'SCRAM-SHA-256=[password=admin-secret],SCRAM-SHA-512=[password=admin-secret]' --entity-type users --entity-name admin

这是我配置 SCRAM-SHA-256 的 server.properties 的一部分。

broker.id=50
sasl.enabled.mechanisms=SCRAM-SHA-256
sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256
security.inter.broker.protocol=SASL_PLAINTEXT
listeners=SASL_PLAINTEXT://172.16.3.21:9092
advertised.listeners=SASL_PLAINTEXT://172.16.3.21:9092
listener.name.sasl_plaintext.scram-sha-256.sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required \
    username="admin" \
    password="admin-secret";

【问题讨论】：

我遇到了同样的问题。运气好吗？

标签： apache-kafka properties apache-zookeeper sasl-scram

【解决方案1】：

在一个节点上生成 CA 并将其复制到其他节点手动为我工作

第 1 步- 在每个节点上运行它

keytool -keystore server.keystore.jks -alias kafka -dname "cn=kafka, ou=it, o=stackoverflow, l=alpha, st=beta, c=IN" -storepass test123 -validity 365 -keyalg RSA -genkey -ext SAN=DNS:kafka-host1,DNS:kafka-host2,DNS:kafka-host3,DNS:localhost,DNS:kafka

第 2 步 - 验证证书

keytool -list -v -keystore server.keystore.jks

第 3 步 - 在单个节点上生成一次，然后复制到其他节点。

openssl req -new -x509 -keyout ca-key -out ca-cert -days 365 -subj "/C=IN/ST=beta/O=stackoverflow/OU=it/L=alpha/CN=kafka"

需要在每个节点上运行以下剩余步骤

keytool -keystore server.truststore.jks -alias CARoot -import -file ca-cert -storepass test123 -noprompt

keytool -keystore client.truststore.jks -alias CARoot -import -file ca-cert -storepass test123 -noprompt

keytool -keystore server.keystore.jks -alias kafka -certreq -file cert-file -storepass test123

openssl x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out cert-signed -days 3650 -CAcreateserial -passin pass:test123

keytool -keystore server.keystore.jks -alias CARoot -import -file ca-cert -storepass test123 -noprompt

keytool -keystore server.keystore.jks -alias kafka -import -file cert-signed -storepass test123 -noprompt

【讨论】：