authentication - 从客户端使用 Kafka super 用户 ACL

Question

从官方的 Kafka 文档，以及我旅行期间翻腾的大量博客来看，我似乎可以启动一个 Kafka 代理，其 server.properties 配置文件包含:

authorizer.class.name=kafka.security.auth.SimpleAclAuthorizer
super.users=User:Bob;User:Alice

这定义了两个 super 用户(Bob + Alice)，他们可以向我的代理人的主题生成消息，并从中使用消息。

但我如何从客户端利用这些用户？如果我有一个 Java 客户端需要向我的 Kafka 代理发送消息，该客户端如何“验证”自己为 ' Bob'(或'Alice'，或任何其他 super 用户)？

super 用户密码在哪里定义/使用？!？

Answer 1

我这周做了一些挖掘，看起来 Kafka 本身不支持“基本身份验证”式(用户名 + 密码)凭据。

看起来您可以设置 Kerberos 或类似的解决方案(JAAS/SASL 等)来创建与 Kafka 一起工作的票证服务，这似乎是这些 ACL 的用途。我认为要点是您首先要针对 Kerberos 进行身份验证，此时您将获得票证/ token 。然后，您将向 Kafka 出示您的用户名/原则以及您的票证，Kafka 将与 Kerberos 合作以确保票证仍然有效。我认为这就是它的工作原理，基于我能够接触到的一些晦涩/模糊的博客。

我还看到证据表明 Kafka 目前或计划对 LDAP 提供某种集成层支持，因此您可以将 Kafka 集群连接到 AD 或类似设备。

奇怪的是，管理 Kafka 身份验证的最佳方式似乎是 Yahoo! Kafka Manager工具，这似乎是一个非常受欢迎、维护良好的项目，最近有很多更新和社区支持。这可能是我将要运行的，至少目前是这样。 HTH.