Kafkatool.exe не удалось создать новый KafkaAdminClient SASL_PLAINTEXT

Содержание

Вопрос или проблема
Ответ или решение
Теория
Пример
Применение
Заключение

Вопрос или проблема

Я создал керберизированный кластер Kafka. Он работает нормально, и я могу производить и потреблять сообщения. Теперь я хочу использовать программное обеспечение kafkatool2, и я запускаю программу через cmd с этой командой:

kafkatool.exe -J-Djava.security.auth.login.config=d:\client_jaas.conf

Но после заполнения пустых полей я получаю эту ошибку:

ERROR Kafkatool.exe – SASL_PLAINTEXT

Это мой файл JAAS:

Server {
  com.sun.security.auth.module.Krb5LoginModule required
  useKeyTab=true
  keyTab="D:\kafkaadmin.keytab"
  storeKey=true
  useTicketCache=false
  principal="admin/[email protected]";
};

KafkaServer {
  com.sun.security.auth.module.Krb5LoginModule required debug=true
  useKeyTab=true
  storeKey=true
  keyTab="D:\kafkaadmin.keytab"
  principal="admin/[email protected]";
};

// Для клиента Zookeeper
Client {
  com.sun.security.auth.module.Krb5LoginModule required debug=true
  useKeyTab=true
  storeKey=true
  keyTab="D:\kafkaadmin.keytab"
  principal="admin/[email protected]";
};

KafkaClient {
  com.sun.security.auth.module.Krb5LoginModule required debug=true
  useKeyTab=true
  storeKey=true
  keyTab="D:\kafkaadmin.keytab"
  principal="admin/[email protected]";
};

Что я должен был упустить?

ОС кластера Kafka: Ubuntu 14.04
ОС пользователя: Windows 10 Enterprise

Я столкнулся с подобной проблемой на моей виртуальной машине, когда пытался посмотреть сообщения в керберизированной среде Kafka. Попробуйте установить serviceName=”kafka” в вашей конфигурации KafkaClient.

Также убедитесь, что вы запускаете kafkatool, передавая -J-Djava.security.auth.login.config в качестве аргумента.

Пример конфигурации клиента JAAS:

KafkaClient {
  com.sun.security.auth.module.Krb5LoginModule required
  serviceName="kafka"
  useKeyTab=true
  keyTab="<path_to>/user.keytab"
  principal="user@domain";
};

Я использовал инструмент в среде Linux, но думаю, что это также решит проблему для Windows.

Ответ или решение

Для решения проблемы с ошибкой Kafkatool.exe при попытке создания нового KafkaAdminClient с использованием механизма SASL_PLAINTEXT в керберизированном окружении, необходимо рассмотреть несколько аспектов. Давайте подробно проанализируем теорию, приведем примеры и применим решения на практике.

Теория

Kerberos — это протокол аутентификации, широко используемый для обеспечения безопасности в корпоративных сетях, включая Apache Kafka, где требуется проверка подлинности пользователей и услуг. В контексте Apache Kafka, механизм SASL/GSSAPI, который основан на Kerberos, обеспечивает безопасную аутентификацию клиентов серверами.

Когда речь идет о настройке Kerberos с Kafka, конфигурация JAAS-файла является ключевой, поскольку она определяет, как клиент или сервер будет аутентифицироваться через Kerberos. Каждое приложение или инструмент, взаимодействующий с Kafka, использует конфигурированный JAAS-файл для установления аутентифицированного соединения с кластером.

Пример

В вашем описании проблемы вы предоставили пример конфигурации JAAS-файла. Вот пример правильной конфигурации для клиента Kafka, которая должна помочь решить вашу ошибку:

KafkaClient {
  com.sun.security.auth.module.Krb5LoginModule required
  debug=true
  useKeyTab=true
  keyTab="D:\kafkaadmin.keytab"
  principal="admin/[email protected]"
  serviceName="kafka";
};

Обратите внимание на добавление параметра serviceName="kafka". Этот параметр важен, поскольку он указывает, какое имя сервиса использовать в процессе аутентификации против Kerberos. В Apache Kafka часто используется значение "kafka" по умолчанию, если не указано иное.

Применение

Проверка конфигурации JAAS: Убедитесь, что ваш JAAS-файл точно соответствует требованиям вашего Kerberos-окружения. Значение principal должно быть правильным и точно соотноситься с конфигурированным Kerberos-сервисом.
Корректный запуск Kafkatool: Следуйте примеру команды, чтобы загрузить ваш JAAS-файл:
```
kafkatool.exe -J-Djava.security.auth.login.config=d:\client_jaas.conf
```
Убедитесь, что путь к файлу client_jaas.conf указан правильно.
Настройка Krb5.conf (если необходимо): Обычно в Windows путь к файлу krb5.conf указывается через системные переменные окружения. Убедитесь, что у вас настроена переменная KRB5_CONFIG, указывающая на правильную конфигурацию вашего Kerberos-ключа.
Диагностика и отладка: Включите отладку (debug=true) в вашем JAAS-файле, чтобы получить подробные журналы операций аутентификации. Это может помочь в диагностике, если аутентификация не проходит, предоставляя информацию, которую можно использовать для устранения неполадок.
Перепроверка KeyTab и Principal: Убедитесь, что файл KeyTab содержит корректные учетные данные для principal, указанных в файле JAAS. Совпадение principal в KeyTab и JAAS должно быть точным.
Сетевая доступность: Убедитесь, что ваш клиентский компьютер может связаться с Kerberos KDC и что реальный DNS и IP-адреса всех узлов правильно разрешаются. Неправильная конфигурация сети может вызвать проблемы с аутентификацией.

Заключение

Сложности с конфигурацией Kerberos и SASL/PALINTEXT в Kafka могут быть вызваны разными причинами, от синтаксических ошибок в файлах конфигурации до неверно настроенного окружения. Следуя вышеуказанным шагам, вы сможете диагностировать и исправить большинство распространенных ошибок. Убедитесь, что ваша конфигурация соответствует всем требованиям вашего окружения и правил Kerberos, и при необходимости используйте отладочные сообщения для дополнительной информации.