kafka在ubuntu如何确保安全

作者：袖梨 2026-07-25

在 Ubuntu 上保障 Kafka 安全的实用方案

一安全架构与最小原则

采用“加密传输 + 强认证 + 细粒度授权 + 网络最小暴露”的组合：优先使用 SASL/SCRAM 或 SASL/SSL 做认证，配合 ACL 做授权，仅开放必要端口，并限制来源网段与访问主体。
如仍使用 Zookeeper，建议为其启用 SASL，避免明文凭据在内部网络裸奔；Kafka 与客户端、以及 Broker 之间的通信都走认证通道。
从 Kafka 2.8 起可禁用 PLAINTEXT 端口，仅保留 SASL/SSL，显著降低误用风险。

二传输加密与认证配置

方案A SASL/SCRAM（推荐，动态用户管理）

生成 JAAS 配置（示例：/opt/kafka/conf/kafka_server_jaas.conf）

KafkaServer {org.apache.kafka.common.security.scram.ScramLoginModule requiredusername="admin"password="Admin@Sec2025"user_admin="Admin@Sec2025"user_producer="Prod@Sec2025"user_consumer="Cons@Sec2025";};

server.properties 关键项

listeners=SASL_PLAINTEXT://:9092advertised.listeners=SASL_PLAINTEXT://<your-hostname-or-ip>:9092security.inter.broker.protocol=SASL_PLAINTEXTsasl.enabled.mechanisms=SCRAM-SHA-256sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256listener.name.sasl_plaintext.scram-sha-256.sasl.jaas.config=file:/opt/kafka/conf/kafka_server_jaas.conf

创建 SCRAM 用户（Kafka 2.x 使用 Zookeeper；Kafka 3.x 使用 --bootstrap-server）

# Kafka 2.xbin/kafka-configs.sh --zookeeper localhost:2181 --alter --add-config 'SCRAM-SHA-256=[password=Prod@Sec2025]' --entity-type users --entity-name producerbin/kafka-configs.sh --zookeeper localhost:2181 --alter --add-config 'SCRAM-SHA-256=[password=Cons@Sec2025]' --entity-type users --entity-name consumer# Kafka 3.xbin/kafka-configs.sh --bootstrap-server localhost:9092 --alter --add-config 'SCRAM-SHA-256=[password=Prod@Sec2025]' --entity-type users --entity-name producerbin/kafka-configs.sh --bootstrap-server localhost:9092 --alter --add-config 'SCRAM-SHA-256=[password=Cons@Sec2025]' --entity-type users --entity-name consumer

客户端示例（生产/消费）

bin/kafka-console-producer.sh --bootstrap-server <host>:9092 --topic test-topic --producer-property security.protocol=SASL_PLAINTEXT --producer-property sasl.mechanism=SCRAM-SHA-256 --producer-property sasl.jaas.config='org.apache.kafka.common.security.scram.ScramLoginModule required username="producer" password="Prod@Sec2025";'bin/kafka-console-consumer.sh --bootstrap-server <host>:9092 --topic test-topic --from-beginning --consumer-property security.protocol=SASL_PLAINTEXT --consumer-property sasl.mechanism=SCRAM-SHA-256 --consumer-property sasl.jaas.config='org.apache.kafka.common.security.scram.ScramLoginModule required username="consumer" password="Cons@Sec2025";'

方案B SSL/TLS 加密（与 SASL 组合为 SASL_SSL 更佳）

生成密钥库与信任库（JKS，示例）

keytool -genkey -alias kafka -keyalg RSA -keystore kafka.server.keystore.jks -validity 3650keytool -export-alias kafka -file kafka.server.crt -keystore kafka.server.keystore.jkskeytool -import-alias kafka -file kafka.server.crt -keystore kafka.client.truststore.jks

server.properties 关键项（与 SASL 组合）

listeners=SASL_SSL://:9093advertised.listeners=SASL_SSL://<your-hostname-or-ip>:9093security.inter.broker.protocol=SASL_SSLsasl.enabled.mechanisms=SCRAM-SHA-256sasl.mechanism.inter.broker.protocol=SCRAM-SHA-256listener.name.sasl_ssl.scram-sha-256.sasl.jaas.config=file:/opt/kafka/conf/kafka_server_jaas.confssl.keystore.location=/opt/kafka/security/kafka.server.keystore.jksssl.keystore.password=<keystore-pass>ssl.key.password=<key-pass>ssl.truststore.location=/opt/kafka/security/kafka.client.truststore.jksssl.truststore.password=<truststore-pass>

客户端需设置：security.protocol=SASL_SSL、sasl.mechanism=SCRAM-SHA-256 与对应 JAAS/用户名密码。

三授权与访问控制

启用 ACL（示例）

# 创建主题bin/kafka-topics.sh --create --topic sensitive-data --bootstrap-server <host>:9092 --partitions 3 --replication-factor 1# 授予生产者写权限（Kafka 2.x 使用 --zookeeper；3.x 使用 --bootstrap-server）bin/kafka-acls.sh --bootstrap-server <host>:9092 --add --allow-principal User:producer --operation Write --operation Create --topic sensitive-data# 授予消费者组读权限bin/kafka-acls.sh --bootstrap-server <host>:9092 --add --allow-principal User:consumer --operation Read --operation Describe --group console-consumer# 查看 ACLbin/kafka-acls.sh --bootstrap-server <host>:9092 --list --topic sensitive-data

原则：按“最小权限”分配，区分 Topic/Group/Cluster 操作，定期审计 ACL 变更。

四网络安全与系统加固

防火墙与网络分段

仅开放必要端口（如 9092/9093），并限制来源网段；在云环境配合安全组/VPC 做白名单。

sudo ufw allow from <app-subnet> to any port 9093 proto tcpsudo ufw deny 9092/tcp # 禁用明文端口sudo ufw enable && sudo ufw status verbose

操作系统与进程安全
- 以非 root专用用户运行 Kafka，限制目录权限（如 log.dirs、配置目录仅属 kafka:kafka）。
- 开启日志审计（访问日志、错误日志），并接入 SIEM 进行实时监控与告警。
- 定期更新补丁与依赖，设置资源限制（如 systemd 的 CPU/内存/文件句柄），并进行定期备份。

五快速核查清单