KafkaAdminClient JAAS配置报错：Login module control flag不可用的原因及解决方法

问题场景 #

KafkaAdminClient配置参数 #

client-config {
  bootstrap.servers = ${bootstrap.servers}
  schema.registry.url = ${schema.registry.url}
  security.protocol=SASL_PLAINTEXT
  sasl.oauthbearer.token.endpoint.url=“url”
  sasl.mechanism="OAUTHBEARER"
  sasl.login.callback.handler.class="org.apache.kafka.common.security.oauthbearer.secured.OAuthBearerLoginCallbackHandler"
  sasl.jaas.config = "file:absolute/path/to/file”
}

JAAS配置文件内容 #

KafkaClient {
    org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required
    oauth.client.id="uid"
    oauth.client.secret="secret"
    oauth.scope="scope";
};

运行错误 #

Caused by: java.lang.IllegalArgumentException: Login module control flag is not available in the JAAS config

错误原因 #

1. sasl.jaas.config格式错误：使用file:前缀加载外部JAAS文件时，Kafka要求配置值仅为纯路径格式，不能用引号包裹。当前配置给路径加了双引号，导致Kafka解析时把引号当作路径的一部分，无法正确读取JAAS文件内容，进而识别不到登录模块的控制标记（即配置里的required）。
2. 全角引号混用：部分参数使用了中文全角引号（如sasl.oauthbearer.token.endpoint.url=“url”），会导致配置解析异常。

解决步骤 #

1. 修正sasl.jaas.config格式：去掉路径两端的双引号，正确格式如下：

   sasl.jaas.config = file:absolute/path/to/file
   

2. 统一替换全角引号为半角引号：将所有配置中的中文全角引号（“”）替换为英文半角引号（""），例如：

   sasl.oauthbearer.token.endpoint.url="url"
   

3. 验证文件路径与权限：确保absolute/path/to/file是JAAS配置文件的正确绝对路径，且Kafka客户端进程拥有该文件的读取权限。

修正后的完整配置 #

KafkaAdminClient配置 #

client-config {
  bootstrap.servers = ${bootstrap.servers}
  schema.registry.url = ${schema.registry.url}
  security.protocol=SASL_PLAINTEXT
  sasl.oauthbearer.token.endpoint.url="url"
  sasl.mechanism="OAUTHBEARER"
  sasl.login.callback.handler.class="org.apache.kafka.common.security.oauthbearer.secured.OAuthBearerLoginCallbackHandler"
  sasl.jaas.config = file:absolute/path/to/file
}

JAAS配置文件（保持原内容即可，确保参数引号为半角格式） #

KafkaClient {
    org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required
    oauth.client.id="uid"
    oauth.client.secret="secret"
    oauth.scope="scope";
};

内容的提问来源于stack exchange，提问作者A. Vasyukhin