Apache Kafka密钥库能否存储两份证书以支持mTLS场景？

Apache Kafka支持在单个keystore中存放多份证书，用于同时满足服务端（extendedKeyUsage=serverAuth）和客户端（extendedKeyUsage=clientAuth）的认证需求，即使没有类似JBOSS Wildfly那样专门指定密钥别名的配置项。

具体实现方式如下：

• 确保你的keystore中包含两份完整证书链：一份带有serverAuth扩展字段，一份带有clientAuth扩展字段，且两份证书都关联对应的私钥。
• 在Kafka Broker配置中，无需额外指定密钥别名，Kafka的SSL层会自动根据当前通信角色选择匹配的证书：
  • 当Broker作为服务端监听外部连接时，自动选用带serverAuth扩展的证书；
  • 当Broker作为客户端连接其他Broker节点时，自动选用带clientAuth扩展的证书。

需要注意的配置细节：

• 确保keystore类型（如PKCS12或JKS）支持多密钥条目，推荐使用PKCS12格式，兼容性更强。
• 仅需配置ssl.keystore.location和ssl.keystore.password指向包含双证书的keystore即可，无需额外别名参数。

内容的提问来源于stack exchange，提问作者mr.wolle