配置Kafka加密时遇Invalid PEM keystore configs错误求助

报错信息 #

org.apache.kafka.common.errors.InvalidConfigurationException: Invalid PEM keystore configs
Caused by: java.io.IOException: overrun, bytes = 1196
at javax.crypto.EncryptedPrivateKeyInfo.<init>(EncryptedPrivateKeyInfo.java:98) ~[?:?]
at org.apache.kafka.common.security.ssl.DefaultSslEngineFactory$PemStore.privateKey(DefaultSslEngineFactory.java:512) ~[kafka-clients-3.0.0.jar:?]

当前配置文件 #

# TODO: update protocol after first full-deployment of a new Kafka version
inter.broker.protocol.version=2.8
listener.security.protocol.map =PLAINTEXT:PLAINTEXT,SSL:SSL,SASL_PLAINTEXT:SASL_PLAINTEXT,SASL_SSL:SASL_SSL
listeners=PLAINTEXT://:9092,SSL://:9093
advertised.listeners=PLAINTEXT://:9092,SSL:// kafka-beta.internal-hostname.com:9093
security.protocol=SSL
ssl.keystore.type=PEM
ssl.truststore.type=PEM
ssl.keystore.key=-----BEGIN PRIVATE KEY-----
MsBasd
-----END PRIVATE KEY-----
ssl.key.password=null
ssl.keystore.certificate.chain=-----BEGIN CERTIFICATE-----
MkydTbn
-----END CERTIFICATE-----
ssl.truststore.certificates=-----BEGIN CERTIFICATE-----
MPMd=
-----END CERTIFICATE-----

解决思路 #

• 校验私钥格式：报错核心是私钥解析字节溢出，优先确认ssl.keystore.key中的私钥为未加密PKCS#8格式。Kafka 3.0对PEM私钥格式要求严格，若私钥是PKCS#1格式，可通过openssl pkcs8 -topk8 -inform PEM -in 原私钥文件 -out 转换后文件 -nocrypt转换为标准格式。
• 清理配置内容冗余：确保证书、私钥的BEGIN/END标签前后无多余缩进、空格，Base64内容完整无截断（示例中为简化内容，实际需保证是完整证书串）。
• 修正ssl.key.password配置：若私钥未加密，直接删除该配置项；若私钥加密，需填写正确密码，不能设为null——设为null会让Kafka误判为加密私钥并尝试解析，触发错误。
• 修复advertised.listeners格式：配置中SSL:// kafka-beta.internal-hostname.com:9093存在多余空格，需改为SSL://kafka-beta.internal-hostname.com:9093，空格会导致监听器解析异常。
• 确认证书链完整性：ssl.keystore.certificate.chain需包含完整证书链，顺序为服务器证书在前，中间CA证书（若有）在后，每个证书单独用BEGIN/END标签包裹。

内容的提问来源于stack exchange，提问作者Sourabh Mokhasi