ssl - Kafka，为什么在使用 kafka-console-producer(或 Kafkcat)进行测试时需要通过证书链而不仅仅是根 ca

Question

我有一个 Kafka 集群，配置为在端口 9093 上通过 ssl 使用。

为了在端口 9093 上成功发送数据，我需要通过证书链(中间 + 根 CA)(所有这些都是自签名的东西)

echo "Hello" | kafkacat -P -b localhost:9095 -t my-topic \
    -X security.protocol=ssl \
    -X ssl.key.location=cert-key.pem \
    -X ssl.ca.location=chain.crt

(chain.crt 是一个包含 rootCA 和中间证书的文件)

我的问题是为什么我需要在 ssl.ca.location 参数中颁发完整的链而不仅仅是根 CA？

Answer 1

ssl.key.location 是客户端用于向代理进行身份验证的证书。ssl.ca.location 由客户端用来验证代理的证书。