Kafka Kraft配置ACL及SCRAM用户认证故障排查求助

问题背景 #

使用Kafka KRaft 3.6版本（Confluent社区版2.1）时遇到两类权限相关问题：

1. 已通过kafka-configs创建SCRAM用户testUser，但执行ACL添加命令时报错SecurityDisabledException: No Authorizer is configured
2. 集群格式化时通过kafka-storage format预创建的SCRAM用户scramUser无法查询，日志显示ACL操作使用匿名超级用户User:ANONYMOUS

问题1：配置授权器后仍无法设置ACL #

核心原因

1. 授权器未成功加载：虽配置了authorizer.class.name=org.apache.kafka.metadata.authorizer.StandardAuthorizer，但broker未重启生效，或启动时加载失败
2. ACL操作未使用认证连接：broker启用SCRAM认证后，未携带认证信息的客户端请求会以匿名身份连接，匿名用户无ACL操作权限，同时可能触发授权器未加载的误报

解决步骤

• 验证授权器加载状态：查看broker启动日志，搜索authorizer关键字，确认日志中存在Loaded authorizer org.apache.kafka.metadata.authorizer.StandardAuthorizer类的加载记录；若未找到，检查broker.properties配置文件中授权器类名拼写是否正确，重启broker生效
• 带认证执行ACL命令：执行kafka-acls时必须指定包含SCRAM认证信息的客户端配置文件，示例命令：

  /bin/kafka-acls --bootstrap-server broker:9092 --command-config /etc/kafka/client-scram.properties --add --allow-principal User:testUser --topic * --producer
  

  其中client-scram.properties内容为：

  security.protocol=SASL_PLAINTEXT
  sasl.mechanism=SCRAM-SHA-256
  sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="testUser" password="password";
  

问题2：预创建的SCRAM用户未生效，出现匿名用户 #

核心原因

1. SCRAM认证未在broker端完全启用：仅格式化时添加用户，但broker未配置SASL监听及认证参数，导致认证机制未激活
2. 客户端操作未携带认证信息：所有未指定认证配置的客户端请求会默认以匿名身份连接，因此日志显示User:ANONYMOUS
3. 用户查询需认证权限：匿名用户无权限查看SCRAM用户配置，导致预创建的scramUser无法被查询到

解决步骤

• 完善broker SASL配置：在broker.properties中添加以下配置，重启broker生效：

  listeners=SASL_PLAINTEXT://broker:9092
  advertised.listeners=SASL_PLAINTEXT://broker:9092
  security.inter.broker.protocol=SASL_PLAINTEXT
  sasl.enabled.mechanisms=SCRAM-SHA-256
  sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256
  

• 带认证查询预创建用户：使用scramUser的认证信息查询用户配置，示例命令：

  /bin/kafka-configs --bootstrap-server broker:9092 --command-config /etc/kafka/client-scram-admin.properties --describe --entity-type users --entity-name "scramUser"
  

  其中client-scram-admin.properties内容为：

  security.protocol=SASL_PLAINTEXT
  sasl.mechanism=SCRAM-SHA-256
  sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="scramUser" password="scramPass";
  

• 规范客户端操作：所有Kafka客户端命令（包括kafka-configs、kafka-acls）必须指定对应认证配置文件，避免匿名连接

内容的提问来源于stack exchange，提问作者powerfana