从混乱到安全：Apache Pulsar SASL认证实战指南（Kerberos/PLAIN全流程）

2026-02-05 05:41:53作者：魏侃纯Zoe

在分布式系统中，消息传递的安全性是重中之重。Apache Pulsar作为一款强大的分布式发布-订阅（Pub-Sub）消息系统，提供了多种认证机制，其中SASL（Simple Authentication and Security Layer，简单认证与安全层）是企业级场景中最常用的方案之一。本文将以实战角度，详细讲解如何在Pulsar中配置SASL认证，包括Kerberos和PLAIN两种主流机制，帮助你解决集群部署中的身份验证难题。

SASL认证基础与Pulsar实现

SASL是一种框架，它定义了认证的通用流程，具体的认证机制（如Kerberos、PLAIN等）则作为插件实现。在Pulsar中，SASL认证由AuthenticationProviderSasl类主导，位于pulsar-broker-auth-sasl/src/main/java/org/apache/pulsar/broker/authentication/AuthenticationProviderSasl.java。该类实现了多阶段认证逻辑，支持复杂的身份验证流程。

Pulsar的SASL认证主要涉及以下核心组件：

JAAS配置：Java认证和授权服务（Java Authentication and Authorization Service），用于配置认证模块和相关参数。
SaslServer：服务器端SASL认证实现，处理客户端请求并完成身份验证。
认证状态管理：通过缓存机制跟踪每个连接的认证状态，确保多阶段认证的顺利进行。

环境准备与配置文件

在开始配置SASL认证前，需要确保Pulsar集群环境已正确搭建。Pulsar的SASL相关配置主要集中在 broker 配置文件 conf/broker.conf 中。以下是一些关键配置项及其说明：

配置项名称	说明
`saslJaasClientAllowedIds`	允许连接的客户端ID的正则表达式，用于限制哪些客户端可以通过SASL认证。
`saslJaasServerSectionName`	JAAS配置中服务器端部分的名称，指定使用哪个登录上下文。
`kinitCommand`	Kerberos环境下获取和更新票据的命令，通常为`kinit`。
`maxInflightSaslContext`	最大并发SASL认证上下文数量，控制同时进行的认证请求数。
`inflightSaslContextExpiryMs`	SASL认证上下文的过期时间（毫秒），超时未完成的认证将被终止。

你需要根据实际环境修改这些配置项。例如，若要启用Kerberos认证，需要正确配置JAAS登录上下文和Kerberos相关参数。

PLAIN机制配置：简单用户名密码认证

PLAIN机制是SASL中最简单的一种认证方式，它直接使用用户名和密码进行身份验证。虽然安全性较低，但配置简单，适合测试环境或对安全性要求不高的场景。

服务器端配置步骤

修改 broker.conf：在 conf/broker.conf 中添加或修改以下配置：

# 启用SASL认证
authenticationEnabled=true
# 设置认证提供者为SASL
authenticationProviders=org.apache.pulsar.broker.authentication.AuthenticationProviderSasl
# 指定SASL JAAS配置文件路径
saslJaasServerSectionName=PulsarServer
# 允许的客户端ID模式，这里允许所有ID
saslJaasClientAllowedIds=.*

创建JAAS配置文件：在Pulsar配置目录下创建 jaas.conf 文件，内容如下：
```
PulsarServer {
    org.apache.pulsar.common.sasl.plain.PlainLoginModule required
    username="admin"
    password="admin123"
    user_admin="admin123";
};
```
这里定义了一个名为 PulsarServer 的登录模块，指定了管理员用户名密码以及一个普通用户 admin 及其密码。
指定JAAS配置：在启动broker时，通过JVM参数指定JAAS配置文件路径：
```
bin/pulsar broker -Djava.security.auth.login.config=conf/jaas.conf
```

客户端配置步骤

客户端需要使用Pulsar客户端库，并配置SASL认证参数。以下是Java客户端的示例代码：

import org.apache.pulsar.client.api.PulsarClient;
import org.apache.pulsar.client.api.PulsarClientException;
import org.apache.pulsar.client.impl.auth.AuthenticationSasl;

import java.util.HashMap;
import java.util.Map;

public class SaslPlainExample {
    public static void main(String[] args) throws PulsarClientException {
        Map<String, String> saslConfig = new HashMap<>();
        // 指定SASL机制为PLAIN
        saslConfig.put("sasl.mechanism", "PLAIN");
        // JAAS配置，指定用户名密码
        saslConfig.put("jaas.config", "org.apache.pulsar.common.sasl.plain.PlainLoginModule required username=\"admin\" password=\"admin123\";");

        PulsarClient client = PulsarClient.builder()
            .serviceUrl("pulsar://localhost:6650")
            .authentication(AuthenticationSasl.class.getName(), saslConfig)
            .build();

        // 使用客户端进行生产和消费消息...
    }
}

Kerberos机制配置：企业级安全认证

Kerberos是一种网络认证协议，提供强大的身份验证和会话加密功能，适合企业级生产环境。配置Kerberos认证相对复杂，但能提供更高的安全性。

前提条件

在配置Pulsar的Kerberos认证前，需确保已满足以下条件：

已部署Kerberos KDC（Key Distribution Center）服务器。
为Pulsar broker和客户端创建了相应的Kerberos主体（Principal）。
已生成并分发了必要的keytab文件。

服务器端配置步骤

修改 broker.conf：在 conf/broker.conf 中添加或修改以下配置：

authenticationEnabled=true
authenticationProviders=org.apache.pulsar.broker.authentication.AuthenticationProviderSasl
saslJaasServerSectionName=PulsarKerberosServer
saslJaasClientAllowedIds=.*
kinitCommand=/usr/bin/kinit

配置JAAS文件：创建或修改 jaas.conf 文件，添加Kerberos登录模块配置：

PulsarKerberosServer {
    com.sun.security.auth.module.Krb5LoginModule required
    useKeyTab=true
    keyTab="/etc/pulsar/keytabs/broker.keytab"
    principal="pulsar/broker.example.com@EXAMPLE.COM"
    storeKey=true
    useTicketCache=false;
};

其中，keyTab 指定broker的keytab文件路径，principal 指定broker的Kerberos主体。

配置Kerberos环境：确保 /etc/krb5.conf 文件正确配置，指向KDC服务器。例如：

[libdefaults]
    default_realm = EXAMPLE.COM
    dns_lookup_realm = false
    dns_lookup_kdc = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true

[realms]
    EXAMPLE.COM = {
        kdc = kdc.example.com:88
        admin_server = kdc.example.com:749
        default_domain = example.com
    }

[domain_realm]
    .example.com = EXAMPLE.COM
    example.com = EXAMPLE.COM

客户端配置步骤

Kerberos客户端需要配置正确的主体和keytab文件。以下是Java客户端的示例代码：

Map<String, String> saslConfig = new HashMap<>();
saslConfig.put("sasl.mechanism", "GSSAPI");
saslConfig.put("jaas.config", "com.sun.security.auth.module.Krb5LoginModule required useKeyTab=true keyTab=\"/etc/pulsar/keytabs/client.keytab\" principal=\"client@EXAMPLE.COM\" storeKey=true useTicketCache=false;");
saslConfig.put("serviceName", "pulsar");
saslConfig.put("hostName", "broker.example.com");

PulsarClient client = PulsarClient.builder()
    .serviceUrl("pulsar://broker.example.com:6650")
    .authentication(AuthenticationSasl.class.getName(), saslConfig)
    .build();