【kafka系列教程47】kafka认证和acl

最新推荐文章于 2025-06-28 09:20:06 发布

原创

最新推荐文章于 2025-06-28 09:20:06 发布 · 1.3k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#kafaka #mq #java

本文介绍了Kafka的认证和ACL管理，包括如何使用命令行界面添加、删除和查询ACL，以及设置超级用户和自定义PrincipalBuilder。通过示例展示了如何为特定用户和IP地址授予或拒绝对主题和消费组的访问权限。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

认证和acl

kafka附带一个可插拔的ACL（Access Control List 访问控制列表），它使用zookeeper来存储。通过在server.properties中设置authorizer.class.name来启用：

authorizer.class.name=kafka.security.auth.SimpleAclAuthorizer

Kafka acls的格式为 "Principal P is [Allowed/Denied] Operation O From Host H On Resource R”，你可以使用Kafka authorizer CLI 来添加，删除或查询所有acl。默认情况下，如果ResourcePatterns与特定的资源R没有匹配，则除了超级用户之外，都不允许访问R。如果要更改该行为，可以在server.properties中包含以下内容。

allow.everyone.if.no.acl.found=true

你也可以在server.properties添加超级用户，像这样（注意分隔符是分号，因为SSL的用户名是逗号）。

super.users=User:Bob;User:Alice

默认情况下，SSL用户名的格式为“CN=writeuser,OU=Unknown,O=Unknown,L=Unknown,ST=Unknown,C=Unknown”。可以通过在server.properties中设置自定义的PrincipalBuilder来改变它，如下所示:

principal.builder.class=CustomizedPrincipalBuilderClass

可以通过修改server.properties中的sasl.kerberos.principal.to.local.rules自定义规则。sasl.kerberos.principal.to.local.rules的格式是一个列表，其中每个规则的工作方式与Kerberos 配置文件 (krb5.conf)中的auth_to_local相同。也支持小写规则，可通过在规则的末尾添加“/L”，强制转移全部结果为小写