K8s部署KRaft模式Kafka配置CONTROLLER监听器SASL_PLAINTEXT启动报错

根因 #

报错No serviceName defined in either JAAS or Kafka config的核心原因是KRaft模式下控制器quorum内部通信的SASL配置独立于Broker间通信配置，未显式指定控制器通信的SASL机制时，Kafka默认使用GSSAPI（Kerberos）机制建立Raft通道，Kerberos认证要求必须配置serviceName参数，和实际使用的PLAIN认证机制完全不匹配，因此抛出异常。

现有配置的具体问题 #

• 缺失关键配置项sasl.mechanism.controller.protocol：KRaft模式不会复用sasl.mechanism.inter.broker.protocol的配置，未显式指定时默认值为GSSAPI，是触发Kerberos相关报错的直接原因。
• CONTROLLER监听器的JAAS配置不完整：当前配置仅指定了客户端连接使用的用户名密码，未配置服务端侧校验用的用户条目，即使解决机制配置问题，也会出现认证失败。
• 其余INTERNAL、EXTERNAL、CLUSTER监听器未配置对应listener级别的JAAS规则，启动后对应端口的SASL认证会失效。

修复步骤 #

1. 在server.properties中新增控制器quorum通信的SASL机制指定配置，强制使用PLAIN机制：

sasl.mechanism.controller.protocol=PLAIN

2. 补全所有SASL_PLAINTEXT监听器的JAAS配置，每个listener的配置前缀必须将监听器名转为全小写，JAAS块中同时包含客户端连接凭证和服务端用户校验条目。
3. 若同时使用外部server_jaas.conf加载配置，建议删除listener级别的重复JAAS配置，避免配置优先级冲突；优先使用listener级别动态配置，维护成本更低。

修复后核心配置参考 #

listeners=INTERNAL://:9093,EXTERNAL://:9092,CLUSTER://:9094,CONTROLLER://:9095
advertised.listeners=INTERNAL://${POD_IP}:9093,EXTERNAL://my-kafka1.com:3200${HOSTNAME##*-},CLUSTER://:9094

listener.security.protocol.map=INTERNAL:SASL_PLAINTEXT,EXTERNAL:SASL_PLAINTEXT,CLUSTER:SASL_PLAINTEXT,CONTROLLER:SASL_PLAINTEXT
inter.broker.listener.name=INTERNAL
node.id=0
process.roles=broker,controller
controller.listener.names=CONTROLLER
controller.quorum.voters=0@kafka-0.kafka.kafka.svc:9095,1@kafka-1.kafka.kafka.svc:9095,2@kafka-2.kafka.kafka.svc:9095

sasl.enabled.mechanisms=PLAIN
sasl.mechanism.inter.broker.protocol=PLAIN
sasl.mechanism.controller.protocol=PLAIN

super.users=User:username
listener.name.internal.plain.sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="username" password="password" user_username="password";
listener.name.external.plain.sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="username" password="password" user_username="password";
listener.name.cluster.plain.sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="username" password="password" user_username="password";
listener.name.controller.plain.sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="username" password="password" user_username="password";

验证标准 #

• 重启Kafka进程后，日志中不再出现Kerberos相关的serviceName报错
• 控制器完成选举，Broker成功注册到控制器
• 各SASL端口可正常通过PLAIN机制完成认证，生产、消费请求无异常

内容的提问来源于stack exchange，提问作者karolke