debian kafka如何开认证

在 Debian 上部署的 Kafka（通常指 Apache Kafka），开启**认证（Authentication）**一般是通过 SASL 来实现的。常见方式有三种：

SASL/PLAIN（用户名密码，最简单）
SASL/SCRAM（更安全，推荐）
SASL/SSL / SASL/GSSAPI（Kerberos）（企业级）

下面以 Debian + Kafka 3.x 为例，讲最常见的两种：SASL/PLAIN 和 SASL/SCRAM。

一、环境假设

Kafka 安装目录：/opt/kafka
配置文件目录：/opt/kafka/config
Kafka 版本：3.x
监听端口：9092

二、SASL/PLAIN 认证（最简单）

1. 创建 JAAS 文件

sudo vi /opt/kafka/config/kafka_server_jaas.conf

内容：

KafkaServer {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="admin"
    password="admin-secret"
    user_admin="admin-secret"
    user_test="test-secret";
};

说明：

admin / admin-secret 是 broker 之间通信账号
test / test-secret 是客户端账号

2. 修改 server.properties

sudo vi /opt/kafka/config/server.properties

添加或修改：

listeners=SASL_PLAINTEXT://:9092
advertised.listeners=SASL_PLAINTEXT://your-host:9092

security.inter.broker.protocol=SASL_PLAINTEXT
sasl.mechanism.inter.broker.protocol=PLAIN
sasl.enabled.mechanisms=PLAIN

authorizer.class.name=kafka.security.authorizer.AclAuthorizer
allow.everyone.if.no.acl.found=false

3. 配置启动参数

编辑 Kafka 启动脚本或 systemd：

export KAFKA_OPTS="-Djava.security.auth.login.config=/opt/kafka/config/kafka_server_jaas.conf"

systemd 示例：

[Service]
Environment="KAFKA_OPTS=-Djava.security.auth.login.config=/opt/kafka/config/kafka_server_jaas.conf"

4. 客户端配置

vi /opt/kafka/config/client.properties

security.protocol=SASL_PLAINTEXT
sasl.mechanism=PLAIN
sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required \
  username="test" \
  password="test-secret";

测试：

/opt/kafka/bin/kafka-console-producer.sh \
  --bootstrap-server localhost:9092 \
  --topic test \
  --producer.config /opt/kafka/config/client.properties

三、SASL/SCRAM（推荐）

1. 先启用 PLAINTEXT 或 SSL

先启动一个普通 Kafka（或用 SASL/PLAIN 临时）。

2. 创建 SCRAM 用户

/opt/kafka/bin/kafka-configs.sh \
  --bootstrap-server localhost:9092 \
  --alter --add-config 'SCRAM-SHA-256=[iterations=8192,password=test-secret]' \
  --entity-type users --entity-name test

3. 修改 server.properties

listeners=SASL_PLAINTEXT://:9092
security.inter.broker.protocol=SASL_PLAINTEXT
sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256
sasl.enabled.mechanisms=SCRAM-SHA-256

4. JAAS 文件

KafkaServer {
    org.apache.kafka.common.security.scram.ScramLoginModule required
    username="admin"
    password="admin-secret";
};

四、是否要加 SSL？

方式	安全性
SASL_PLAINTEXT	账号认证，明文传输
SASL_SSL	认证 + 加密（生产推荐）

生产环境建议：

listeners=SASL_SSL://:9092

五、常见问题

启动报错 JAAS：检查 KAFKA_OPTS 是否生效
客户端连不上：确认 sasl.mechanism 一致
ACL 拒绝：先设 allow.everyone.if.no.acl.found=true 排错

如果你愿意，我可以：

给你 完整 Debian systemd 配置
帮你做 Kafka + SSL + SASL
按 Docker / 集群 场景写配置

你现在是 单机还是集群？PLAIN 还是 SCRAM？