Kafka安全配置是否支持使用PEM格式证书？

当然可以！虽然早期Kafka安全文档重点推荐JKS格式的密钥库/信任库，但现在官方已经原生支持PEM格式的证书用于SSL/TLS和SASL_SSL配置了，尤其是在较新版本的Kafka中（比如2.3及以上）。

下面具体拆解你的疑问：

核心结论 #

你完全可以使用PEM格式的证书替代JKS，无需格式转换，只要在Kafka broker和客户端的配置中指定正确的PEM相关参数即可。

具体配置示例 #

Broker端SSL配置（PEM格式） #

# 指定密钥库类型为PEM
ssl.keystore.type=PEM
# 证书链文件路径
ssl.certificate.chain=/path/to/server.crt
# 私钥文件路径
ssl.key=/path/to/server.key
# 如果私钥有密码，需填写
ssl.key.password=your-key-password

# 指定信任库类型为PEM
ssl.truststore.type=PEM
# CA证书文件路径（用于验证客户端证书）
ssl.truststore.certificates=/path/to/ca.crt

客户端端SSL配置（PEM格式） #

ssl.truststore.type=PEM
ssl.truststore.certificates=/path/to/ca.crt

# 如果需要客户端证书认证，添加以下配置
ssl.keystore.type=PEM
ssl.certificate.chain=/path/to/client.crt
ssl.key=/path/to/client.key
ssl.key.password=your-key-password

关于文档提到JKS的说明 #

JKS是Java生态传统的密钥存储格式，Kafka作为Java编写的系统，早期默认采用JKS是顺理成章的。但随着云原生场景的普及，PEM格式（更通用、跨平台）的需求越来越高，官方逐步在新版本中添加了PEM的原生支持。文档可能存在一定的滞后性，但现在的官方文档其实也已经更新了PEM配置的相关内容。

注意事项 #

• 版本兼容性：如果你的Kafka版本低于2.3，可能需要将PEM转换成JKS格式（可以用keytool结合openssl工具完成转换）；2.3及以上版本则可以直接使用PEM。
• 私钥安全性：确保PEM格式的私钥文件权限设置严格（比如仅所有者可读），避免泄露。
• 配置验证：修改配置后，建议用Kafka自带的客户端工具（如kafka-console-producer.sh/kafka-console-consumer.sh）测试连接，同时查看broker日志确认SSL握手是否成功。

内容的提问来源于stack exchange，提问作者Yash