如何在Kafka Connect配置文件中加密SQL密码？

下面是几种Linux环境下规避明文密码的实用方案：

方法一：通过环境变量传递密码 #

• 临时设置环境变量（重启终端后失效）：

  export SQL_SERVER_PWD="你的SQL Server密码"
  

  若需长期生效，可将该命令添加到Kafka Connect运行用户的~/.bashrc或~/.profile文件；如果Connect以系统服务运行，需在systemd服务配置文件（如kafka-connect.service）中加入：

  Environment="SQL_SERVER_PWD=你的SQL Server密码"
  

• 修改Connector配置文件，将明文密码替换为环境变量引用：

  connection.password=${SQL_SERVER_PWD}
  

方法二：使用Confluent Secret Registry（适用于Confluent Platform） #

如果你的Kafka Connect基于Confluent Platform，可利用内置的Secret Registry管理敏感信息：

1. 初始化Secret Registry：

   confluent secret registry init --config-file /path/to/connect-distributed.properties
   

2. 将SQL Server密码存入Secret Registry：

   confluent secret registry put sqlserver.db.pwd --value "你的SQL Server密码"
   

3. 修改Connector配置文件，替换密码字段：

   connection.password=${secret:sqlserver.db.pwd}
   

4. 确保Connect主配置文件中开启Secret Registry配置提供者：

   config.providers=secret
   config.providers.secret.class=io.confluent.connect.secretregistry.rbac.config.provider.InternalSecretConfigProvider
   

方法三：加密存储密码+脚本解密注入 #

通过openssl加密密码并存储，启动Connect前解密注入配置：

1. 加密密码并保存到文件：

   echo "你的SQL Server密码" | openssl enc -aes-256-cbc -salt -out /etc/kafka/sqlserver_pwd.enc -k "你的加密密钥"
   

   注意：加密密钥建议通过环境变量传递，避免硬编码在脚本中。
2. 创建启动脚本（如start-connect.sh），解密密码并更新配置：

   #!/bin/bash
   # 从环境变量获取加密密钥
   ENC_KEY=${SQL_ENC_KEY}
   # 解密密码
   DECRYPTED_PWD=$(openssl enc -aes-256-cbc -d -in /etc/kafka/sqlserver_pwd.enc -k "${ENC_KEY}")
   # 更新Connector配置中的密码字段
   sed -i "s/connection.password = .*/connection.password = ${DECRYPTED_PWD}/" /path/to/your-connector-config.properties
   # 启动Kafka Connect
   /opt/kafka/bin/connect-distributed.sh /path/to/connect-distributed.properties
   

3. 严格限制文件权限：

   chmod 600 /etc/kafka/sqlserver_pwd.enc
   chmod 700 start-connect.sh
   

通用注意事项 #

• 所有包含敏感信息的文件（配置、加密文件、密钥）都要设置严格的权限，仅允许Kafka Connect运行用户读取。
• 避免将加密密钥、环境变量配置提交到版本控制系统中。

内容的提问来源于stack exchange，提问作者Vishal