Kafka配置求助：同时启用OAUTHBEARER与PLAIN认证报错

你遇到的错误是因为将PLAIN和OAUTHBEARER的LoginModule放在了同一个KafkaServer JAAS配置块中，导致OAUTHBEARER的验证回调处理器收到了多个配置，而它只期望处理单一机制的配置。下面是实现你需求的正确配置方案：

核心解决思路 #

Kafka支持为不同的SASL机制单独指定JAAS配置，我们需要将PLAIN（Broker间认证）和OAUTHBEARER（客户端-Broker认证）的配置分离，避免回调处理器混淆。

方案一：直接在server.properties中配置多机制JAAS #

这种方式无需修改原JAAS文件（除了保留Client块用于ZooKeeper认证），直接在server.properties中通过sasl.jaas.config为每个机制单独定义LoginModule：

# 启用两种SASL机制
sasl.enabled.mechanisms=PLAIN,OAUTHBEARER
# Broker间通信使用PLAIN认证
sasl.mechanism.inter.broker.protocol=PLAIN

# 为PLAIN和OAUTHBEARER分别配置JAAS
sasl.jaas.config=PLAIN: \
  org.apache.kafka.common.security.plain.PlainLoginModule required \
  username="inter" password="inter-secret" \
  user_inter="inter-secret" \
  user_admin="YvNzcbmqhA0DfxjP"; \
OAUTHBEARER: \
  org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required;

# 指定OAUTHBEARER的自定义认证回调处理器
sasl.server.callback.handler.class=br.com.jairsjunior.security.oauthbearer.OauthAuthenticateValidatorCallbackHandler

原JAAS文件只需保留Client块：

{
  Client {
    org.apache.zookeeper.server.auth.DigestLoginModule required
      username="zookeeper" password="zookeeper-secret";
  };
}

方案二：拆分JAAS文件中的KafkaServer配置 #

如果你更倾向于在JAAS文件中管理配置，可以将KafkaServer拆分为两个独立的配置块，然后在server.properties中引用它们：

修改后的JAAS文件：

{
  KafkaServerPLAIN {
    org.apache.kafka.common.security.plain.PlainLoginModule required
      username="inter" password="inter-secret"
      user_inter="inter-secret"
      user_admin="YvNzcbmqhA0DfxjP";
  };
  KafkaServerOAUTH {
    org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required;
  };
  Client {
    org.apache.zookeeper.server.auth.DigestLoginModule required
      username="zookeeper" password="zookeeper-secret";
  };
}

然后在server.properties中配置：

sasl.enabled.mechanisms=PLAIN,OAUTHBEARER
sasl.mechanism.inter.broker.protocol=PLAIN

# 引用JAAS文件中的两个配置块
sasl.jaas.config=PLAIN: org.apache.kafka.common.security.plain.PlainLoginModule required configRef=KafkaServerPLAIN; \
OAUTHBEARER: org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required configRef=KafkaServerOAUTH;

sasl.server.callback.handler.class=br.com.jairsjunior.security.oauthbearer.OauthAuthenticateValidatorCallbackHandler

关键说明 #

• 错误根源：OAuthBearer的验证回调处理器（OAuthBearerUnsecuredValidatorCallbackHandler）只接受对应自身机制的单一JAAS配置，将多个LoginModule放在同一个KafkaServer块会导致它收到非预期的多配置。
• 自定义回调处理器：确保你的OauthAuthenticateValidatorCallbackHandler正确实现了AuthenticateCallbackHandler接口，并且仅处理OAUTHBEARER相关的认证逻辑，避免与PLAIN机制的处理冲突。

内容的提问来源于stack exchange，提问作者Tushar H