如何为debezium/connect:1.7配置SSL/SASL连接Kafka集群

你遇到的核心问题是环境变量命名错误——Debezium Connect镜像的Worker配置环境变量不需要额外加KAFKA_前缀，直接使用对应Kafka客户端配置的转换规则即可。以下是完整的配置步骤和注意事项：

1. 正确的环境变量命名规则 #

Debezium Connect会将环境变量转换为Kafka Connect Worker配置参数，转换逻辑是：

• 移除前缀CONNECT_
• 将下划线替换为点
• 转为小写

比如：

• CONNECT_SECURITY_PROTOCOL → security.protocol（对应Kafka客户端配置）
• 错误写法：CONNECT_KAFKA_SECURITY_PROTOCOL（多了KAFKA_前缀，会被解析为无效配置）

2. 完整SSL/SASL配置示例（.env文件） #

根据你的Kafka集群认证类型，选择对应的配置。以下是SASL_SSL + PLAIN机制的典型配置：

# Kafka集群地址（SSL端口，通常是9093）
CONNECT_BOOTSTRAP_SERVERS=kafka-broker-0:9093,kafka-broker-1:9093
# 安全协议
CONNECT_SECURITY_PROTOCOL=SASL_SSL
# SASL认证机制
CONNECT_SASL_MECHANISM=PLAIN
# JAAS配置（替换为你的用户名和密码）
CONNECT_SASL_JAAS_CONFIG="org.apache.kafka.common.security.plain.PlainLoginModule required username='kafka-connect-user' password='connect-passwd123';"
# SSL信任库配置（如果集群用自定义CA证书）
CONNECT_SSL_TRUSTSTORE_LOCATION=/kafka/secrets/kafka.truststore.jks
CONNECT_SSL_TRUSTSTORE_PASSWORD=truststore-passwd

如果你的集群用的是其他SASL机制（比如SCRAM-SHA-256），只需调整CONNECT_SASL_MECHANISM和CONNECT_SASL_JAAS_CONFIG：

CONNECT_SASL_MECHANISM=SCRAM-SHA-256
CONNECT_SASL_JAAS_CONFIG="org.apache.kafka.common.security.scram.ScramLoginModule required username='kafka-connect-user' password='connect-passwd123';"

3. 挂载SSL证书文件到容器 #

如果使用了自定义的truststore/keystore，必须将本地证书文件挂载到容器内的对应路径。以Docker Compose为例：

services:
  debezium-connect:
    image: debezium/connect:1.7
    env_file: .env
    volumes:
      # 本地证书目录挂载到容器内的指定路径
      - ./kafka-secrets:/kafka/secrets
    ports:
      - "8083:8083"

确保本地./kafka-secrets目录下存放了kafka.truststore.jks文件，且容器内路径和CONNECT_SSL_TRUSTSTORE_LOCATION完全一致。

4. 验证配置生效 #

启动容器后，通过以下方式确认配置是否正确加载：

1. 查看容器日志，搜索security.protocol、sasl.mechanism关键词，确认这些参数出现在Kafka客户端初始化日志中
2. 如果REST端点恢复正常，调用接口查看Worker配置：

curl http://localhost:8083/admin/config

返回结果中应包含security.protocol、sasl.mechanism等配置项。

5. 常见排查点 #

• 环境变量前缀错误：务必去掉KAFKA_前缀，比如不要用CONNECT_KAFKA_SECURITY_PROTOCOL
• JAAS配置引号：.env文件中JAAS字符串必须用双引号包裹，避免解析时丢失部分配置
• 文件权限：确保容器内的kafka用户（镜像默认用户）能读取挂载的证书文件，可临时用user: root测试（生产环境不推荐）
• 端口错误：确认使用的是Kafka的SSL端口（通常9093），而非普通端口9092

内容的提问来源于stack exchange，提问作者Régis Faria