Docker Compose部署Kafka UI遇JAAS配置错误：登录模块控制标志未指定

错误分析 #

从报错日志的核心栈信息可以明确两个问题：

1. java.lang.IllegalArgumentException: Login module control flag not specified in JAAS config：JAAS配置字符串格式错误，Docker环境变量中多余的引号导致Kafka客户端无法正确解析登录模块配置。
2. 由于Kafka开启了KAFKA_SSL_CLIENT_AUTH=required，Kafka UI缺少SSL信任库配置，后续会触发SSL握手失败（当前JAAS配置错误先触发报错）。

解决方案 #

步骤1：修复JAAS配置格式 #

移除Kafka UI环境变量中SASL_JAAS_CONFIG的外层单引号，Docker环境变量会自动解析字符串内容，额外的引号会被当成配置的一部分，导致解析失败。

步骤2：添加SSL信任库配置 #

将Kafka的kafka.truststore.jks证书文件挂载到Kafka UI容器中，并添加对应的SSL配置参数，确保客户端能信任Kafka的SSL证书。

修改后的kafka-ui完整配置 #

kafka-ui:
  container_name: kafka-ui
  image: provectuslabs/kafka-ui:latest
  ports:
    - 8080:8080
  depends_on:
    - kafka-0
  environment:
    - KAFKA_CLUSTERS_0_NAME=local
    - KAFKA_CLUSTERS_0_BOOTSTRAPSERVERS=kafka-0:29092
    - KAFKA_CLUSTERS_0_PROPERTIES_SECURITY_PROTOCOL=SASL_SSL
    - KAFKA_CLUSTERS_0_PROPERTIES_SASL_MECHANISM=PLAIN
    - KAFKA_CLUSTERS_0_PROPERTIES_CLIENT_DNS_LOOKUP=use_all_dns_ips
    # 修复JAAS配置，移除外层单引号
    - KAFKA_CLUSTERS_0_PROPERTIES_SASL_JAAS_CONFIG=org.apache.kafka.common.security.plain.PlainLoginModule required username="kafka-client" password="AS1ISO76cF6gtMBqTvjbYMnEfzkf9q8k";
    # 添加SSL信任库配置
    - KAFKA_CLUSTERS_0_PROPERTIES_SSL_TRUSTSTORE_LOCATION=/opt/kafka/certs/kafka.truststore.jks
    - KAFKA_CLUSTERS_0_PROPERTIES_SSL_TRUSTSTORE_PASSWORD=secret
  volumes:
    # 挂载Kafka的信任库证书到UI容器
    - './_config/kafka/certs/kafka.truststore.jks:/opt/kafka/certs/kafka.truststore.jks:ro'
  networks:
    - kafka-tools

验证步骤 #

1. 停止并删除现有容器：docker-compose down
2. 重新启动服务：docker-compose up -d
3. 查看Kafka UI日志：docker logs kafka-ui，确认不再出现JAAS配置错误和SSL相关报错
4. 访问http://localhost:8080，验证是否能正常连接Kafka集群

内容的提问来源于stack exchange，提问作者Nightt