Kafka Connect使用文件掩码密码时如何正确指定文件路径

不同路径写法的生效规则 #

KIP-297实现的FileConfigProvider读取凭证文件的路径，基于Kafka Connect进程的运行时工作目录，而非connect-distributed.properties配置文件所在目录，不同写法的适用场景如下：

• 写完整绝对路径（如你提到的/kafka/confluent-5.4.1/etc/kafka/login）：兼容性最高、出错概率最低，只要运行Connect进程的操作系统用户对该文件有读权限即可正常加载，不受进程工作目录影响，优先推荐这种写法。
• 仅填写文件名login：仅当启动Connect进程时的工作目录和login文件所在目录完全一致时生效。例如你在/kafka/confluent-5.4.1/bin目录下执行启动命令，那么只有把login文件放到bin目录下，仅写文件名才能正常读取。
• 填写/login：读取系统根目录下的login文件，除非你刻意将凭证文件存放在根目录，否则不会生效，不推荐该写法。

额外排查建议 #

1. 首先确保你已经在connect-distributed.properties中完成了ConfigProvider的注册：

config.providers=file
config.providers.file.class=org.apache.kafka.common.config.provider.FileConfigProvider

2. 连接器配置中的凭证引用格式要正确，示例如下：

connection.user=${file:/kafka/confluent-5.4.1/etc/kafka/login:your_username_key}
connection.password=${file:/kafka/confluent-5.4.1/etc/kafka/login:your_password_key}

其中your_username_key、your_password_key需要和login文件中定义的key完全一致。
3. 若路径配置正确仍报错ORA-01017，检查login文件编码为UTF-8无BOM格式，每行key=value末尾不要有多余的空格、换行符，避免解析出的凭证内容和实际值不一致。
4. 确保运行Connect进程的用户对login文件有至少400的读权限。

内容的提问来源于stack exchange，提问作者Bünyamin Şentürk