Apache ZooKeeper 4lw（四字母命令）是否支持搭配mTLS使用？

4lw命令在mTLS场景的支持情况 #

ZooKeeper原生四字命令（4lw）默认基于明文TCP端口设计，本身不支持直接在启用了mTLS的加密端口上传输调用，该场景原生不被支持，调试失败属于预期结果。

主流替代方案 #

• AdminServer（官方首推方案）：ZooKeeper 3.5.0及以上版本默认集成AdminServer组件，原生支持HTTPS+mTLS配置，所有4lw命令对应的功能都可以通过HTTPS接口实现，返回结果与原4lw命令完全一致，同时额外支持JSON格式化输出，更适配自动化运维场景。
• 官方zkCli命令行客户端：可通过配置JVM参数加载mTLS客户端证书，连接到启用mTLS的ZooKeeper集群后，在交互界面或通过非交互参数直接执行对应查询命令，适合临时调试、脚本化批量调用的场景。
• 封装mTLS能力的自研/第三方SDK：如果有定制化运维需求，可以基于支持mTLS的ZooKeeper SDK封装调用逻辑，适配自定义的运维平台规则。

AdminServer配置及使用注意事项 #

• 启用HTTPS及mTLS需要在zoo.cfg中添加如下核心配置：

  admin.server.secure=true
  admin.server.port=8081
  admin.secure.keyStore.location=/path/to/keystore.jks
  admin.secure.keyStore.password=your_keystore_pass
  admin.secure.trustStore.location=/path/to/truststore.jks
  admin.secure.trustStore.password=your_truststore_pass
  admin.secure.clientAuth=need
  

• 原4lw命令白名单配置4lw.commands.whitelist对AdminServer同样生效，需提前将需要用到的命令加入白名单，否则接口会返回403拒绝访问。
• 可通过curl等工具直接调用接口，示例命令如下：

  curl --cert ./client.crt --key ./client.key --cacert ./ca.crt https://<zk-node-ip>:8081/commands/srvr
  

内容的提问来源于stack exchange，提问作者Cedric