| 加密 | SSL/TLS（keystore/truststore） |
|---|---|
| 认证 | SASL 机制：SCRAM、GSSAPI、PLAIN（仅限内层加密） |
| 授权 | ACL 控制主题/组/集群操作权限 |
服务端与客户端配置片段
服务端与客户端配置片段
# 服务端
listeners=SASL_SSL://0.0.0.0:9093
sasl.enabled.mechanisms=SCRAM-SHA-512
ssl.keystore.location=/etc/kafka/ssl/kafka.keystore.jks
# 客户端
security.protocol=SASL_SSL
sasl.mechanism=SCRAM-SHA-512
sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required \
username="app-order" password="******";开启认证/授权是分步迁移：先启用认证，再按客户端逐步启用 ACL，避免一次性全部拒绝造成业务中断。