关于指定Kafka SASL_SSL连接参数的三类技术疑问

security.protocol=SASL_SSL
ssl.truststore.location=/etc/kafka/secrets/kafka.client.truststore.jks
ssl.truststore.password=abcd
ssl.keystore.location=/etc/kafka/secrets/kafka.client.keystore.jks
ssl.keystore.password=abcd
ssl.key.password=abcd
ssl.endpoint.identification.algorithm=
sasl.mechanism=PLAIN
sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="someuser" password="someuserspassword";

1. 该配置是否采用mutual TLS？ #

你的推测正确。配置里同时指定了ssl.truststore.location（客户端用来验证Kafka broker的服务器证书，确保连接的是合法服务器）和ssl.keystore.location（客户端向broker提供自身证书，让broker验证客户端身份），完全符合mutual TLS（双向TLS）的特征——通信双方互相验证对方身份。

2. 传输机制是明文还是TLS加密？ #

传输是TLS加密的。

• security.protocol=SASL_SSL明确要求传输层使用SSL/TLS加密，同时在加密通道之上执行SASL认证。
• sasl.mechanism=PLAIN仅指SASL认证采用明文格式的用户名密码，但这些凭证是在TLS加密通道内传输的，不会暴露在明文网络中，整个通信过程是加密状态。

3. username和password的作用是什么？ #

这两个参数是SASL PLAIN认证机制的身份凭证，用于在TLS加密通道建立完成后，向Kafka broker证明客户端的合法身份。
SASL认证和mutual TLS认证是两层独立的校验：TLS层面验证的是双方证书的合法性，而此处的用户名密码是应用层的用户身份校验，Kafka broker会依据自身配置的认证规则（比如内置用户列表、LDAP服务等）校验该凭证有效性，通过后客户端才能正常进行消息收发操作。

内容的提问来源于stack exchange，提问作者so-random-dude