Strimzi Kafka SSL握手失败 AWS MSK SSL正常连接问题咨询

你遇到的SSL handshake failed报错本质是证书信任链问题：AWS MSK使用的是受公共信任根CA签发的证书，默认在操作系统、Node.js运行时的内置信任列表中，因此仅配置ssl: true即可完成TLS握手；而Strimzi Kafka默认自动生成自签名的集群CA证书，该证书不在默认信任列表中，TLS校验时会直接被拒绝。

你不需要修改KafkaJS的业务代码配置，只需要把Strimzi的集群CA加入运行环境的默认信任链即可，操作步骤如下：

方案1：将Strimzi集群CA导入系统/Node.js默认信任库（最贴合你当前使用MSK的配置习惯） #

1. 从Kubernetes集群中提取Strimzi自动生成的集群CA证书
   Strimzi会把集群CA存放在名为<你的Kafka集群名称>-cluster-ca-cert的Secret中，执行以下命令即可导出PEM格式的CA证书：

   kubectl get secret <你的Kafka集群名称>-cluster-ca-cert -o jsonpath='{.data.ca\.crt}' | base64 -d > strimzi-cluster-ca.crt
   

2. 将导出的CA证书加入运行环境的信任存储
   根据你的Node.js应用、kafka-ui的运行基础镜像选择对应操作：
   • Debian/Ubuntu系镜像：将strimzi-cluster-ca.crt复制到容器内/usr/local/share/ca-certificates/目录，执行update-ca-certificates更新系统信任列表
   • RHEL/CentOS系镜像：将证书复制到/etc/pki/ca-trust/source/anchors/目录，执行update-ca-trust extract更新信任列表
   • Alpine镜像：将证书复制到/usr/local/share/ca-certificates/目录，执行update-ca-certificates
   • 如果你通过Node.js的NODE_EXTRA_CA_CERTS环境变量自定义了额外信任的CA列表，直接把Strimzi CA的内容追加到该变量指向的证书文件末尾即可
3. 重启应用进程，此时Node.js会自动加载更新后的系统信任链，KafkaJS中仅配置ssl: true即可正常连接，和之前连接AWS MSK的配置完全一致，kafka-ui做相同配置后也能正常连通。

方案2：配置Strimzi使用公共信任CA签发监听器证书（和MSK证书机制完全一致） #

如果你不想维护自定义CA信任列表，可以修改Strimzi Kafka的自定义资源配置，为外部监听器绑定由公共信任CA（比如Let's Encrypt、企业内部统一根CA）签发的服务端证书。这类证书默认存在于所有操作系统、运行时的内置信任列表中，部署完成后直接配置ssl: true即可连接，不需要做任何证书导入操作。

• 不要通过配置ssl: { rejectUnauthorized: false }跳过TLS证书校验来解决问题，该配置会关闭服务端身份验证，存在严重的中间人攻击风险。
• Strimzi默认生成的集群CA有效期为10年，且默认开启自动续期，如果采用方案1，建议配置CA自动同步逻辑，避免CA轮换后出现连接失败。

内容的提问来源于stack exchange，提问作者yershalom