Spring应用连接Kerberized Kafka时如何实现Kerberos票据自动续期？

我之前也碰到过一模一样的Kerberos票据过期导致Kafka生产者断连的问题，给你几个经过验证的可行方案和代码实现：

先理清楚问题根源 #

Kerberos的TGT（票据授予票据）默认24小时过期，而早期的Kafka SASL客户端不会自动刷新过期的TGT，一旦票据失效，后续的认证请求就会失败，直接导致连接断开。重启应用会重新从keytab获取新的TGT，所以能暂时解决，但显然不是长久之计。

方案一：配置Kafka客户端自动续期TGT #

这是最简单的解决方案，只需要在Kafka的JAAS配置中添加renewTicket=true参数，让Kerberos LoginModule自动帮我们续期TGT。

Spring Kafka Producer配置示例 #

@Bean
public ProducerFactory<String, String> kerberizedKafkaProducerFactory() {
    Map<String, Object> config = new HashMap<>();
    // 基础Kafka配置
    config.put(ProducerConfig.BOOTSTRAP_SERVERS_CONFIG, "your-kafka-brokers:9092");
    config.put(ProducerConfig.KEY_SERIALIZER_CLASS_CONFIG, StringSerializer.class);
    config.put(ProducerConfig.VALUE_SERIALIZER_CLASS_CONFIG, StringSerializer.class);
    
    // Kerberos安全配置
    config.put(CommonClientConfigs.SECURITY_PROTOCOL_CONFIG, "SASL_PLAINTEXT"); // 如果是SSL则用SASL_SSL
    config.put(SaslConfigs.SASL_MECHANISM, "GSSAPI");
    // 核心JAAS配置，关键是加入renewTicket=true
    config.put(SaslConfigs.SASL_JAAS_CONFIG, 
        "com.sun.security.auth.module.Krb5LoginModule required " +
        "useKeyTab=true " +
        "keyTab=\"/path/to/your-service.keytab\" " +
        "principal=\"your-service-principal@YOUR.REALM\" " +
        "renewTicket=true " +
        "storeKey=true;");
    
    return new DefaultKafkaProducerFactory<>(config);
}

@Bean
public KafkaTemplate<String, String> kafkaTemplate() {
    return new KafkaTemplate<>(kerberizedKafkaProducerFactory());
}

参数说明 #

• renewTicket=true：开启TGT自动续期，LoginModule会在TGT快过期时自动向KDC申请新的票据
• storeKey=true：将密钥存储在Subject中，确保后续认证能重用密钥

方案二：手动监控TGT过期时间，主动刷新Producer #

如果自动续期不生效（比如某些JDK版本或Kafka客户端版本的兼容性问题），可以手动监控TGT的过期时间，在过期前重新创建KafkaProducer实例。

1. 编写TGT过期时间获取工具类 #

import javax.security.auth.Subject;
import javax.security.auth.kerberos.KerberosTicket;
import java.security.AccessController;
import java.security.PrivilegedAction;
import java.util.Date;
import java.util.Iterator;

public class KerberosTicketHelper {
    public static Date getTgtExpirationTime() {
        return Subject.doAs(Subject.getSubject(AccessController.getContext()), (PrivilegedAction<Date>) () -> {
            Iterator<?> credentials = Subject.getSubject(AccessController.getContext())
                    .getPrivateCredentials(KerberosTicket.class)
                    .iterator();
            while (credentials.hasNext()) {
                KerberosTicket ticket = (KerberosTicket) credentials.next();
                // 筛选出当前有效的TGT（krbtgt开头的服务主体）
                if (ticket.isCurrent() && ticket.getServer().getName().contains("krbtgt")) {
                    return ticket.getEndTime();
                }
            }
            return null;
        });
    }
}

2. 定时任务刷新Producer #

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.kafka.core.KafkaTemplate;
import org.springframework.scheduling.annotation.Scheduled;
import org.springframework.stereotype.Component;
import javax.annotation.PostConstruct;
import java.util.Date;
import java.util.concurrent.TimeUnit;

@Component
public class KafkaProducerRefresher {

    @Autowired
    private ProducerFactory<String, String> kerberizedKafkaProducerFactory;
    
    private KafkaTemplate<String, String> kafkaTemplate;

    @PostConstruct
    public void init() {
        this.kafkaTemplate = new KafkaTemplate<>(kerberizedKafkaProducerFactory);
    }

    // 每天检查一次，在TGT过期前1小时重新创建Producer
    @Scheduled(fixedRate = 24 * 60 * 60 * 1000)
    public void refreshProducerBeforeTgtExpire() {
        Date tgtExpireTime = KerberosTicketHelper.getTgtExpirationTime();
        if (tgtExpireTime == null) {
            System.err.println("无法获取Kerberos TGT过期时间");
            return;
        }

        long timeLeft = tgtExpireTime.getTime() - System.currentTimeMillis();
        // 如果TGT剩余时间不足1小时，刷新Producer
        if (timeLeft < TimeUnit.HOURS.toMillis(1)) {
            // 关闭旧的Producer资源
            kafkaTemplate.destroy();
            // 创建新的Producer实例
            this.kafkaTemplate = new KafkaTemplate<>(kerberizedKafkaProducerFactory);
            System.out.println("Kerberos TGT即将过期，已重新初始化Kafka Producer");
        }
    }
}

注意：要在Spring Boot启动类上添加@EnableScheduling注解开启定时任务。

额外注意事项 #

• 确保keytab文件权限正确：设置为chmod 600，只有运行应用的用户能读取
• 建议使用JDK8u181及以上版本：旧版本JDK在Kerberos续期逻辑上存在bug
• 检查Kafka Broker的Kerberos配置：确保KDC允许TGT续期操作

内容的提问来源于stack exchange，提问作者kavehmb