配置AWS MSK Connect时Kafka Connector报元数据拉取超时错误

核心报错信息 #

INFO [AdminClient clientId=adminclient-1] Metadata update failed (org.apache.kafka.clients.admin.internals.AdminMetadataManager:235)
[Worker-02003b81ffe0ee9c3] [2022-06-02 14:26:40,955] INFO [AdminClient clientId=adminclient-1] Metadata update failed (org.apache.kafka.clients.admin.internals.AdminMetadataManager:235)
[Worker-02003b81ffe0ee9c3] org.apache.kafka.common.errors.TimeoutException: Call(callName=fetchMetadata, deadlineMs=1654180000954, tries=1, nextAllowedTryMs=1654180001055) timed out at 1654180000955 after 1 attempt(s)

在已完成官方文档基础流量配置、同子网EC2可telnet连通MSK Broker、集群开启plaintext无认证、IAM角色权限校验通过的前提下，按以下优先级排查根因： #

排查项1：接入地址与端口配置校验 #

• 禁止使用ZooKeeper连接串作为MSK Connect的集群接入地址，必须使用MSK控制台/aws kafka get-bootstrap-brokers命令输出的Plaintext模式私有bootstrap地址列表
• 核对端口匹配关系：无认证plaintext模式Broker默认监听9092端口，若误填TLS模式9094端口、IAM认证模式9098端口，会直接触发元数据拉取超时
• 不要手动拼接单台Broker地址作为bootstrap串，必须使用AWS输出的完整Broker地址列表，避免漏配节点导致元数据轮询失败

排查项2：安全组自引用规则校验 #

这是同安全组部署场景下的最高频触发原因：

• AWS安全组默认不允许同安全组内的资源互通，即使配置了0.0.0.0/0全放行规则也不例外
• 必须在当前共用的安全组入站规则中显式添加自引用规则：来源选择当前安全组ID，协议为TCP，端口放通9092（临时验证可放通全端口），否则Broker和Connect Worker之间的流量会被安全组拦截
• 补充校验：不要给MSK集群配置多个安全组导致规则优先级冲突，保证入站规则明确放通Connect所在网段/安全组的9092访问权限

排查项3：Connect配置与版本兼容性校验 #

• 版本差校验：MSK Connect内置的Kafka客户端版本，和MSK集群的Kafka版本差不能超过1个大版本，否则会因元数据请求协议不兼容触发超时。比如MSK集群为2.8.x版本时，不要使用3.3.x及以上版本的Connect Worker
• 协议配置校验：如果集群是无认证plaintext模式，必须保证Connect Worker配置中没有误加security.protocol=SSL/SASL_*类认证参数，错误的协议配置会导致连接握手阶段直接卡住超时
• 超时参数临时调整：在Worker配置中添加request.timeout.ms=30000、retry.backoff.ms=1000，排除默认超时阈值过短导致的偶发失败

排查项4：网络ACL与路由校验 #

• 同子网EC2 telnet能通仅代表TCP三次握手能成功，需校验子网关联的网络ACL规则：必须双向放通1024-65535临时端口段流量，Broker回元数据响应时会使用随机临时端口，若NACL仅放通9092端口、拦截临时端口，会出现建连成功但业务请求无响应的现象
• 检查子网路由表：确认MSK Broker所属IP段的流量没有被错误转发到NAT网关、中转网关等其他网关，避免流量绕路丢包
• 检查VPC端点策略：如果子网配置了Kafka相关VPC端点，确认策略没有限制MSK Connect关联角色的访问权限

快速验证方法 #

在同子网、同安全组的测试EC2上，安装和MSK Connect版本完全一致的Kafka客户端，执行以下命令直接拉取集群元数据：

# 替换为实际的plaintext bootstrap地址
kafka-topics.sh --bootstrap-server <your-plaintext-bootstrap-servers>:9092 --list

• 如果命令执行成功返回Topic列表，说明集群侧网络、配置无问题，故障点在MSK Connect自身配置
• 如果命令同样卡住超时，说明网络层规则仍有遗漏，回到安全组、NACL配置项重新核对

内容的提问来源于stack exchange，提问作者Vishnu