执行kafka-topics.sh时BCFKS类型密钥库加载失败求助

1. 检查BouncyCastle FIPS jar包的类路径配置 #

• 确认bc-fips-*.jar和bcpkix-fips-*.jar已放入Kafka客户端的类路径中：
  • 最简单的方式是将jar包复制到Kafka安装目录下的libs文件夹；
  • 或者执行命令前显式导出CLASSPATH：

    export CLASSPATH=/path/to/bc-fips.jar:/path/to/bcpkix-fips.jar:$CLASSPATH
    

  之后重新运行kafka-topics.sh命令。

2. 验证java.security中安全提供者的配置 #

• 打开java.security文件，确保BouncyCastle FIPS提供者优先加载，配置格式如下：

  security.provider.1=org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider
  security.provider.2=sun.security.provider.Sun
  ...
  

  注意序号需在默认Sun提供者之前，避免默认提供者优先加载导致无法识别BCFKS类型；
• 检查类名拼写，FIPS版本的提供者类是BouncyCastleFipsProvider，不要和非FIPS版本的BouncyCastleProvider混淆。

3. 核对client.properties的密钥库配置细节 #

• 明确指定密钥库类型为BCFKS：

  ssl.keystore.type=BCFKS
  ssl.truststore.type=BCFKS
  

• 检查密钥库/信任库的路径是否正确，文件是否存在且kafka用户有读取权限：

  ssl.keystore.location=/path/to/valid/keystore.bcfks
  ssl.truststore.location=/path/to/valid/truststore.bcfks
  

• 确认密码配置无拼写错误：ssl.keystore.password、ssl.truststore.password的参数名和值都要准确。

4. 修正命令格式并强制指定JVM安全提供者参数 #

• 原命令缺少--bootstrap-server参数名，先修正命令格式；
• 执行命令时添加JVM参数强制指定安全提供者：

  KAFKA_OPTS="-Djava.security.provider=org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider" kafka-topics.sh --bootstrap-server :9098 --describe --topic __consumer_offsets --command-config /etc/client.properties
  

5. 确认BouncyCastle FIPS与Kafka版本兼容性 #

不同版本的Kafka对BouncyCastle版本有要求，例如Kafka 2.8+推荐使用BC FIPS 1.0.2及以上版本，避免版本不兼容导致密钥库加载失败。

内容的提问来源于stack exchange，提问作者Subba Reddy Alamur