是否可以在不启用纯文本的情况下通过 SASL、kafka 代理及其客户端通过 SSL 连接 zookeeper 和 kafka？答案

【问题标题】：Is it possible to connect zookeeper and kafka via SASL , kafka broker and its clients via SSL without enabling plain text?是否可以在不启用纯文本的情况下通过 SASL、kafka 代理及其客户端通过 SSL 连接 zookeeper 和 kafka？
【发布时间】：2018-04-05 09:26:27
【问题描述】：

我使用的是 Kafka 版本 0.10.1。我通过 SSL 连接了 Kafka 代理及其客户端，并且工作正常。现在我有一个有一些限制的查询。我的局限是

不允许纯文本通信
Kafka-brokers 与其客户端之间的连接是 SSL。
Kafka-brokers 和 zookeeper 之间通过 SASL 连接（因为 zookeeper 不支持 SSL）。

由于所有代理间通信都设置为 SSL。我有一个疑问，如果不在 Kafka-Broker 中启用明文，Zookeeper 和 Kafka-Broker 之间的 SASL 连接是否可行。提前致谢。

【问题讨论】：

标签： apache-kafka apache-zookeeper

【解决方案1】：

是的，可以使用 Zookeeper 设置一个 Kafka 集群，满足您列出的所有要求。

您的 Kafka 配置中需要有 2 个侦听器 SSL 和 SASL_SSL（没有 PLAINTEXT）：

listeners=SASL_SSL://host.name:port,SSL://host.name:port

将中间代理设置为SSL

security.inter.broker.protocol=SSL

我建议您查看 Kafka 文档中的安全部分，以了解您需要做什么才能使其正常工作，包括如何配置客户端以便它们通过 SASL_SSL:http://kafka.apache.org/documentation/#security 进行连接

它还包含有关保护 Zookeeper 的部分： http://kafka.apache.org/documentation/#zk_authz

【讨论】：

这里的“SASL_SSL”表示仅 SASL 连接或带有 SSL 的 SASL 连接。
还有一个。所以我需要在 Kafka 代理中同时配置 SASL 和 SSL 连接？
SASL_SSL 表示通过 SSL 连接的 SASL。 SASL_PLAINTEXT 也存在，但它用于纯文本连接，因此不安全。是的，您需要同时配置 SASL 和 SSL。