Kafka 安全指南：SASL、SSL 与 ACL

Mon, 17 Aug 2026 10:00:00 +0800

Apache Kafka 的默认安装配置以开箱即用和高性能为首要目标，安全机制在初始状态下是关闭的。这意味着任何人只要能访问 Kafka 的监听端口，就可以创建 Topic、发送消息、消费任意数据。在早期阶段的测试环境或内网隔离场景中，这种设计可以接受；但在生产环境中，数据涉及商业机密、用户隐私或金融交易时，无防护的 Kafka 集群等同于将核心数据资产暴露给所有内部人员甚至外部攻击者。

Kafka 的安全体系围绕三个核心维度构建：认证（Authentication），确认"你是谁"；加密（Encryption），确保"传输不会被窃听"；授权（Authorization），决定"你能做什么"。这三个维度分别对应 SASL 认证协议、SSL/TLS 传输层加密和 ACL 访问控制列表。本文将系统性地拆解 Kafka 安全加固的完整路径，从安全架构设计到各种 SASL 机制的对比选择，从 SSL 证书链的配置实战到 ACL 规则矩阵的管理，再结合数据脱敏策略，为生产级 Kafka 集群构建纵深防御体系。

SASL on PlumePHP

Kafka 安全指南：SASL、SSL 与 ACL