Kafka SASL权限认证需先配置SASL身份认证再叠加ACL访问控制：服务端启用SCRAM-SHA-256或PLAIN机制并配SSL加密，客户端匹配机制提供凭据，最后用kafka-acls.sh设置用户对topic的读写等细粒度权限。

Kafka 配置 SASL 权限认证，核心是先完成身份认证（SASL），再叠加访问控制（ACL），两者配合才能真正保障通信安全。单纯开启 SASL 只能验证“你是谁”，而 ACL 才决定“你能做什么”。下面分三块讲清楚关键配置点：

SASL 认证机制选型与服务端配置

SASL 本身不加密，需搭配 security.protocol 使用。生产环境推荐 SCRAM-SHA-256（动态加用户、不重启 Broker）或 PLAIN（简单，但必须配 SSL 加密通道）。

Broker 端需在 server.properties 中设置：

• sasl.enabled.mechanisms=SCRAM-SHA-256（或 PLAIN）
• security.inter.broker.protocol=SASL_SSL（Broker 间也走认证+加密）
• sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256
• listeners=SASL_SSL://:9093（暴露带认证的监听地址）
• listener.security.protocol.map=SASL_SSL:SASL_SSL

同时指定 JAAS 文件路径（如 kafka_server_jaas.conf），内容示例（SCRAM）：

KafkaServer {
  org.apache.kafka.common.security.scram.ScramLoginModule required;
};

启动前通过 kafka-configs.sh 添加用户（无需重启）：

js2java

JavaScript 到 Java 全栈翻译助手，专为前端开发者学习 Java 或快速实现后端业务逻辑而设计。当用户提到以下场景时必须使用此技能： - "帮我把这段 JS 代码转成 Java" - "用 Java 怎么写这个逻辑" - "我习惯用 JS 写，想翻译成 Java" - "教我 Java，我要写后端接...

下载

bin/kafka-configs.sh --bootstrap-server localhost:9093 \
  --alter --add-config 'SCRAM-SHA-256=[password=alice123]' \
  --entity-type users --entity-name alice

客户端连接配置（Producer/Consumer）

客户端必须匹配服务端机制，并提供凭据：

• security.protocol=SASL_SSL
• sasl.mechanism=SCRAM-SHA-256
• sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="alice" password="alice123";
• ssl.truststore.location=/path/to/kafka.client.truststore.jks（SSL 必须配信任库）

若用 PLAIN，sasl.jaas.config 写法类似，但绝不可用于明文协议（SASL_PLAINTEXT）——否则密码裸奔。

ACL 权限控制绑定用户

认证通过后，靠 ACL 限定操作范围。例如：

• 允许用户 alice 对 topic orders 有读写权限：

  bin/kafka-acls.sh --bootstrap-server localhost:9093 \
    --add --allow-principal "User:alice" \
    --operation Read --operation Write \
    --topic orders

• 拒绝所有用户对内部 topic 的访问：

  bin/kafka-acls.sh --bootstrap-server localhost:9093 \
    --add --deny-principal "User:*" \
    --operation All --topic __consumer_offsets

  ACL 规则按“精确匹配 > 前缀匹配 > 默认规则”生效，建议显式拒绝敏感操作。

不复杂但容易忽略