Alpine环境下Golang+librdkafka客户端Kerberos认证失败排查

我有一个基于Golang、使用librdkafka并通过SASL-GSSAPI+Kerberos认证的Kafka客户端，在Debian镜像中运行正常，但切换到Alpine镜像后无法完成认证。

Alpine Dockerfile相关片段 #

FROM golang:1.17.11-alpine3.16 AS go_kafka_base
RUN apk update && apk add --no-cache git bash alpine-sdk linux-headers musl-dev g++ 
RUN apk add --no-cache bsd-compat-headers cyrus-sasl
RUN apk add --no-cache openssl krb5 cyrus-sasl-dev cyrus-sasl-gssapiv2

RUN git clone https://github.com/edenhill/librdkafka.git && cd librdkafka && git checkout v2.2.0 && ./configure --prefix /usr --install-deps && make && make install
# second stage
FROM go_kafka_base as builder
WORKDIR /app
#some parts are absent
RUN make build-app -W build-deps GOOS=linux GOENVS="CGO_ENABLED=1" BUILDFLAGS="${BUILDFLAGS}" LDFLAGS="${LDFLAGS}" TAGS='dynamic'
#other parts not shown here

错误日志信息 #

客户端报错 #

LIBSASL|rdkafka#producer-1| [thrd:sasl_ssl://kafka-1:19092/bootstrap]: sasl_ssl://kafka-1:19092/bootstrap: GSSAPI Error: Miscellaneous failure (see text) (Matching credential (kafka/kafka-1@mydomain.com) not found)

Kerberos KDC日志 #

Oct 06 11:50:45 kerberos krb5kdc[16](info): TGS_REQ (6 etypes {18 17 20 19 16 23}) 172.28.0.5: LOOKING_UP_SERVER: authtime 0,  principal@mydomain.com for kafka/kafka-1@mydomain.com, Server not found in Kerberos database

Kafka Broker关键日志片段 #

2023-10-05 15:24:54 [2023-10-05 13:24:54,695] DEBUG Creating SaslServer for kafka/kafka-1.m_net@mydomain.com with mechanism GSSAPI (org.apache.kafka.common.security.authenticator.SaslServerAuthenticator)
2023-10-05 15:24:54 [2023-10-05 13:24:54,698] DEBUG [SocketServer listenerType=ZK_BROKER, nodeId=1] Connection with /172.28.0.5 disconnected (org.apache.kafka.common.network.Selector)
2023-10-05 15:24:54 java.io.EOFException

问题定位 #

对比Debian环境，Alpine下客户端请求的SPN为kafka/kafka-1@mydomain.com，缺失了正确的m_net域名后缀（正确SPN应为kafka/kafka-1.m_net@mydomain.com）。已尝试在krb5.conf中设置dns_canonicalize_hostname=false或fallback，但无效。

核心差异来自Alpine使用的musl libc与Debian使用的glibc在DNS解析行为上的不同：

1. glibc自动补全搜索域名：当使用短域名kafka-1时，glibc会依据/etc/resolv.conf的search配置自动补全为完整域名kafka-1.m_net，因此librdkafka能生成正确的SPN。
2. musl libc解析行为更严格：musl在调用getaddrinfo等函数时，不会自动将搜索域名补全到主机名本身（仅在解析IP时使用search域），导致librdkafka获取到的是未补全的短域名，进而生成错误的SPN。
3. krb5.conf参数失效原因：dns_canonicalize_hostname仅控制Kerberos库是否对主机名做DNS规范解析，但前提是客户端拿到的主机名已是完整域名。由于musl未补全短域名，该参数无法发挥作用。

有三种可行的修复方式：

• 直接使用完整域名连接：将客户端bootstrap servers配置为kafka-1.m_net:19092而非短域名，从根源避免域名补全问题。
• 调整librdkafka编译参数：编译librdkafka时，添加--enable-sasl-gssapi明确依赖krb5库，同时在configure阶段加入CFLAGS="-D_GNU_SOURCE"，强制librdkafka使用完整域名生成SPN。
• 修改Alpine本地DNS映射：在容器中添加/etc/hosts映射172.28.0.4 kafka-1.m_net kafka-1，或通过HOSTALIASES环境变量指定包含短域名与完整域名映射的文件，让客户端获取到完整主机名。

内容的提问来源于stack exchange，提问作者brienze