Ssl 创建主题时Kafka中的ClusterAuthorizationException

我们的合流卡夫卡安装在AWS EC2上。我们使用SASL/SSL安全协议和LDAP进行用户身份验证

尝试创建主题时发生以下异常：

ERROR [KafkaApi-0] Error when handling request: clientId=2, correlationId=0, api=UPDATE_METADATA, body={controller_id=2,controller_epoch=1,broker_epoch=8589934650,topic_states=[],live_brokers=[{id=2,end_points=[{port=9092,host=dfdp-080060041.dfdp.com,listener_name=PLAINTEXT,security_protocol_type=0},{port=9093,host=dfdp-080060041.dfdp.com,listener_name=SASL_SSL,security_protocol_type=3}],rack=null},{id=1,end_points=[{port=9092,host=dfdp-080060025.dfdp.com,listener_name=PLAINTEXT,security_protocol_type=0},{port=9093,host=dfdp-080060025.dfdp.com,listener_name=SASL_SSL,security_protocol_type=3}],rack=null},{id=0,end_points=[{port=9092,host=dfdp-080060013.dfdp.com,listener_name=PLAINTEXT,security_protocol_type=0},{port=9093,host=dfdp-080060013.dfdp.com,listener_name=SASL_SSL,security_protocol_type=3}],rack=null}]} (kafka.server.KafkaApis)
org.apache.kafka.common.errors.ClusterAuthorizationException: Request Request(processor=3, connectionId=10.80.60.13:9093-10.80.60.41:53554-0, session=Session(User:$BEB000-DRJTO9PK3C7L,dfdp-080060041.dfdp.com/10.80.60.41), listenerName=ListenerName(SASL_SSL), securityProtocol=SASL_SSL, buffer=null) is not authorized

---

顺便说一句，“融合的卡夫卡”不是一件事。。所有文档都显示“Confluent Platform”@aniket saha您是否设置了卡夫卡ACL？对于“未经授权”的用户，什么是有效的ACL？@cricket-007我猜中“confluent kafka”标签的存在使术语的使用合法化：）@mazaneicha我们正在尝试使用根用户创建主题…..是的，我们已经设置了kafka ACL……#ACL properties authorizer.class.name=kafka.security.auth.SimpleClauthorizerLocal root在某些节点上对具有SASL_SSL安全性的kafka没有特殊意义。您的错误表明代理试图授权用户：$BEB000-DRJTO9PK3C7L，dfdp-080060041.dfdp.com/10.80.60.41（这是用户、主机名/hostIP格式）。所以，如果您正在为SASL使用Kerberos，那么您可能忘记了使用kinit了。顺便说一句，“合流卡夫卡”不是一件事。。所有文档都显示“Confluent Platform”@aniket saha您是否设置了卡夫卡ACL？对于“未经授权”的用户，什么是有效的ACL？@cricket-007我猜中“confluent kafka”标签的存在使术语的使用合法化：）@mazaneicha我们正在尝试使用根用户创建主题…..是的，我们已经设置了kafka ACL……#ACL properties authorizer.class.name=kafka.security.auth.SimpleClauthorizerLocal root在某些节点上对具有SASL_SSL安全性的kafka没有特殊意义。您的错误表明代理试图授权用户：$BEB000-DRJTO9PK3C7L，dfdp-080060041.dfdp.com/10.80.60.41（这是用户、主机名/hostIP格式）。所以，如果您将Kerberos用于SASL，您可能忘记了使用kinit？