Kafka KRaft模式配置SASL_PLAINTEXT+SCRAM-SHA-256认证失败求助

针对你遇到的KRaft控制器节点SCRAM认证失败问题，结合Kafka 3.6的特性，以下是排查和解决方向：

1. 修正JAAS配置的用户名与格式问题 #

你当前的JAAS配置存在两个潜在问题：

• 用户名不匹配节点ID：每个控制器节点的JAAS配置必须使用自身的节点ID作为用户名，比如ID为1000的节点，配置应为：

  listener.name.controller.scram-sha-256.sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="1000" password="你的对应密码";
  

  不能所有节点都复用1001的用户名，否则认证时会使用错误的身份请求验证。
• 转义字符错误：配置中使用的"是HTML转义字符，实际配置文件中需直接使用双引号"，否则Kafka会将用户名解析为"1001"而非1001，导致找不到对应凭证。

2. 补充服务器端SCRAM回调处理器配置 #

显式指定服务器端的SCRAM认证回调处理器，确保控制器能正确读取集群元数据中的用户凭证：

sasl.server.callback.handler.class=org.apache.kafka.common.security.scram.ScramServerCallbackHandler

3. 验证用户凭证的正确性 #

重新确认用户创建命令的正确性，确保每个控制器节点ID对应的SCRAM凭证已正确写入集群元数据：

kafka-configs.sh --bootstrap-server <你的普通broker地址:端口> --alter --add-config 'SCRAM-SHA-256=[password=你的密码]' --entity-type users --entity-name 1000
kafka-configs.sh --bootstrap-server <你的普通broker地址:端口> --alter --add-config 'SCRAM-SHA-256=[password=你的密码]' --entity-type users --entity-name 1001
kafka-configs.sh --bootstrap-server <你的普通broker地址:端口> --alter --add-config 'SCRAM-SHA-256=[password=你的密码]' --entity-type users --entity-name 1002

执行后可通过以下命令验证：

kafka-configs.sh --bootstrap-server <你的普通broker地址:端口> --describe --entity-type users --entity-name 1000

4. 检查控制器启动参数 #

确保启动控制器时指定了修改后的配置文件，例如：

kafka-storage.sh format -t <你的集群ID> -c ./controller.properties
kafka-server-start.sh ./controller.properties

5. 查看详细日志定位问题 #

查看控制器节点的日志文件（默认路径logs/server.log），搜索更详细的错误信息，比如是否存在User 1001 does not exist或Invalid password等提示，进一步缩小问题范围。

完整的控制器配置示例（针对ID为1000的节点） #

listeners=CONTROLLER://:9093
controller.listener.names=CONTROLLER
listener.security.protocol.map=CONTROLLER:SASL_PLAINTEXT

security.inter.broker.protocol=SASL_PLAINTEXT
sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256
sasl.mechanism.controller.protocol=SCRAM-SHA-256
sasl.enabled.mechanisms=SCRAM-SHA-256

listener.name.controller.sasl.enabled.mechanisms=SCRAM-SHA-256
listener.name.controller.scram-sha-256.sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="1000" password="你的密码";
sasl.server.callback.handler.class=org.apache.kafka.common.security.scram.ScramServerCallbackHandler

内容的提问来源于stack exchange，提问作者jcea