如何使用Java通过SASL/SCRAM协议连接AWS MSK集群实现Kafka生产者？

解决方案 #

你不需要生成本地JAAS和truststore文件，直接在现有Properties中追加以下配置即可，完全支持通过环境变量传递username和password参数，无需写入本地磁盘，适配通用Docker镜像的部署要求：

// 追加配置开始
// 配置传输协议为SASL+SSL
props.put("security.protocol", "SASL_SSL");
// 配置SCRAM认证算法，和MSK集群开启的类型保持一致即可，可选SCRAM-SHA-256/SCRAM-SHA-512
props.put("sasl.mechanism", "SCRAM-SHA-512");
// 内嵌JAAS认证配置，无需单独生成jaas.conf文件
String jaasConfig = String.format("org.apache.kafka.common.security.scram.ScramLoginModule required username=\"%s\" password=\"%s\";",
    username, password);
props.put("sasl.jaas.config", jaasConfig);
// 复用JDK默认根证书库，无需自定义truststore文件
props.put("ssl.truststore.type", "JKS");
props.put("ssl.truststore.location", System.getProperty("java.home") + "/lib/security/cacerts");
// JDK默认cacerts的固定密码为changeit
props.put("ssl.truststore.password", "changeit");
// 开启SSL主机名校验，防中间人攻击，默认开启可保留
props.put("ssl.endpoint.identification.algorithm", "https");
// 追加配置结束

producer = new KafkaProducer<>(props);

配置说明 #

• 认证逻辑全部通过内置配置实现，没有任何本地文件依赖，你只需要在容器启动时从AWS Secrets Manager拉取账号密码赋值给对应的变量即可，无需修改镜像结构
• AWS MSK使用公共CA签发证书，JDK默认根证书库已经包含对应信任根，不需要额外导入证书生成自定义truststore
• 如果你使用的JDK基础镜像裁剪了默认cacerts库，只需在Dockerfile构建阶段预装公共根证书即可，不影响运行时的配置逻辑

内容的提问来源于stack exchange，提问作者eof