启用SSL的本地Kafka集群生产消息至Topic时遇授权错误

看起来你在向启用SSL的Kafka集群生产Avro消息时碰到了授权错误，结合你的操作步骤，我整理了几个核心排查和解决方向：

1. 生产者命令缺少SSL必要配置 #

你的Kafka集群已经启用SSL，但当前的kafka-avro-console-producer命令完全没指定SSL相关参数，这会导致生产者无法通过集群的SSL认证，进而触发授权类错误。你需要在命令中添加SSL信任库、密钥库（如果是双向认证）的配置：

kafka-avro-console-producer \
  --broker-list localhost:9092 \
  --topic simple \
  --property value.schema='{"type":"record","name":"myrecord","fields":[{"name":"f1","type":"string"}]}' \
  --property schema.registry.url=http://localhost:8080 \
  --property ssl.truststore.location=/path/to/truststore.jks \
  --property ssl.truststore.password=your-truststore-password \
  # 如果是双向SSL认证，还要添加以下两行
  --property ssl.keystore.location=/path/to/keystore.jks \
  --property ssl.keystore.password=your-keystore-password

2. 检查主题的ACL权限是否配置正确 #

如果你的Kafka集群启用了ACL（访问控制列表），即使通过了SSL认证，当前生产者身份也可能没有向simple主题写入消息的权限。你可以用kafka-acls命令为对应的身份添加写入权限：

首先，准备一个包含SSL配置的客户端配置文件（比如client-ssl.properties）：

ssl.truststore.location=/path/to/truststore.jks
ssl.truststore.password=your-truststore-password
ssl.keystore.location=/path/to/keystore.jks
ssl.keystore.password=your-keystore-password
security.protocol=SSL

然后执行ACL添加命令：

kafka-acls --bootstrap-server localhost:9092 \
  --command-config client-ssl.properties \
  --add --allow-principal User:CN=your-producer-cert-cn \
  --operation Write \
  --topic simple

注意：User:CN=your-producer-cert-cn中的CN要替换成你生产者证书的通用名称（Common Name），如果是用SASL_SSL，这里的Principal格式会不同（比如User:your-username）。

3. 验证Schema Registry的访问配置 #

如果你的Schema Registry也启用了SSL加密，那你当前指定的http://localhost:8080就无法正常访问，需要改成HTTPS并添加对应的SSL配置：

kafka-avro-console-producer \
  --broker-list localhost:9092 \
  --topic simple \
  --property value.schema='{"type":"record","name":"myrecord","fields":[{"name":"f1","type":"string"}]}' \
  --property schema.registry.url=https://localhost:8080 \
  --property ssl.truststore.location=/path/to/truststore.jks \
  --property ssl.truststore.password=your-truststore-password \
  --property schema.registry.ssl.truststore.location=/path/to/truststore.jks \
  --property schema.registry.ssl.truststore.password=your-truststore-password

4. 确认SSL证书的有效性 #

有时候证书验证失败会被误报为授权错误，你需要确保生产者的信任库中包含Kafka Broker和Schema Registry的CA证书，并且证书没有过期、域名匹配正确。

你可以用以下命令测试SSL连接是否正常：

openssl s_client -connect localhost:9092

如果连接成功，会返回证书信息；如果失败，根据错误提示修复证书问题。

内容的提问来源于stack exchange，提问作者Joe