bitnami kafka 4.0.0 kraft并开启scram-sha-256有认证开启sasl/scram，使用kraft，不用zookeeper docker-compose启动三个节点的集群，请给出具体的步骤及配置

<think>我们正在配置一个三节点的Kafka KRaft集群，使用SCRAM-SHA-256认证。KRaft模式是Kafka去除了ZooKeeper依赖的新模式。 步骤： 1. 生成SCRAM凭证：为每个节点（broker）和客户端用户生成SCRAM凭证。 2. 创建Docker Compose文件：定义三个Kafka服务，配置KRaft模式以及SASL/SCRAM认证。 3. 配置Kafka节点：每个节点需要配置KRaft角色（broker和controller）以及SASL认证。 4. 配置集群元数据：使用kafka-storage工具格式化存储目录（在Docker中通常通过初始化脚本完成）。 5. 启动集群：使用docker-compose启动集群。 详细步骤： 步骤1：生成SCRAM凭证 我们需要为每个broker节点和客户端用户生成SCRAM凭证。可以使用以下命令（在主机上生成，然后将凭证文件挂载到容器中）： openssl rand -base64 16 > /path/to/kafka/secrets/kafka_server_jass.conf 但是，更常见的做法是使用Kafka内部的kafka-configs.sh工具来创建用户。不过，在集群启动前，我们需要先为broker节点创建凭证并配置JAAS文件。 这里，我们为每个broker节点创建一个用户（如kafka1, kafka2, kafka3），并为客户端创建一个用户（如client）。我们还需要为控制器用户（在KRaft模式下，控制器和broker之间需要认证）创建用户。 我们可以在每个节点的JAAS配置文件中指定这些凭证。但是，为了简化，我们使用相同的JAAS文件（包含所有broker用户）挂载到每个节点。 步骤2：编写Docker Compose文件 我们将创建三个服务：kafka1, kafka2, kafka3。每个服务使用Bitnami Kafka 4.0.0镜像。 步骤3：配置KRaft和SASL 每个节点需要配置： - 节点ID（通过KAFKA_CFG_NODE_ID设置） - 角色（通过KAFKA_CFG_PROCESS_ROLES设置，如broker,controller） - 监听地址（包括SASL_PLAINTEXT） - 控制器列表（KAFKA_CFG_CONTROLLER_QUORUM_VOTERS） - 认证方式（SASL/SCRAM-SHA-256） - JAAS配置文件（通过环境变量KAFKA_OPTS指定） 步骤4：初始化集群 在启动第一个节点之前，需要格式化存储目录。我们可以通过在一个节点上执行kafka-storage.sh format命令来完成。但是，Bitnami镜像提供了环境变量KAFKA_CFG_NODE_ID和KAFKA_CFG_CONTROLLER_QUORUM_VOTERS，并且当KAFKA_CFG_PROCESS_ROLES包含controller时，会自动格式化存储（如果尚未格式化）。因此，我们只需确保第一个控制器节点先启动。 然而，为了安全起见，我们可以在Docker Compose中设置依赖顺序，确保第一个节点（kafka1）先启动，并且执行初始化。 步骤5：创建客户端用户 集群启动后，我们需要创建客户端用户。这可以通过在其中一个节点上执行kafka-configs.sh命令来完成。 具体配置： 1. 创建JAAS配置文件（kafka_server_jaas.conf）： KafkaServer { org.apache.kafka.common.security.scram.ScramLoginModule required username="kafka" # 这里我们使用一个统一的broker间通信用户，或者为每个broker单独配置？但SCRAM允许每个节点有自己的用户。 password="kafka-password"; user_kafka="kafka-password"; # 这里我们为每个broker使用相同的用户和密码，但实际生产环境应该每个broker不同。 user_client="client-password"; user_controller="controller-password"; # 用于控制器通信 }; 注意：在KRaft模式下，控制器和broker之间也需要认证，因此我们需要为控制器通信设置用户。但是，在Kafka中，控制器也是broker节点，所以我们可以使用同一个JAAS文件，并在配置中指定控制器用户。 但是，根据Kafka文档，在KRaft模式下，每个节点都需要配置一个监听器用于控制器通信，并且该监听器使用SASL_PLAINTEXT（或SSL）时，需要配置JAAS。同时，节点需要配置sasl.jaas.config（或者通过JAAS文件）来提供控制器用户的凭证。 然而，Bitnami镜像使用环境变量来配置，我们可以通过环境变量设置JAAS文件的位置。 2. Docker Compose文件示例（docker-compose.yml）： 注意：由于配置复杂，我们只展示关键部分。 首先，我们创建网络和共享卷（如果需要持久化数据）。 然后，为每个节点配置环境变量和挂载。 由于篇幅限制，这里只展示kafka1服务的配置，kafka2和kafka3类似（修改节点ID、端口和角色）。 注意：在KRaft模式下，每个节点可以同时是broker和controller（通过设置process.roles=broker,controller）。但是，在三个节点的集群中，我们通常让所有节点都同时是broker和controller，这样每个节点都可以参与元数据投票。 环境变量配置（以kafka1为例）： environment: - KAFKA_CFG_NODE_ID=1 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_LISTENERS=SASL_PLAINTEXT://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL_PLAINTEXT://kafka1:9092 - KAFKA_CFG_LISTENER_SECURITY_PROTOCOL_MAP=CONTROLLER:SASL_PLAINTEXT,SASL_PLAINTEXT:SASL_PLAINTEXT - KAFKA_CFG_INTER_BROKER_LISTENER_NAME=SASL_PLAINTEXT - KAFKA_CFG_CONTROLLER_LISTENER_NAMES=CONTROLLER - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_SASL_ENABLED_MECHANISMS=SCRAM-SHA-256 - KAFKA_CFG_SASL_MECHANISM_INTER_BROKER_PROTOCOL=SCRAM-SHA-256 - KAFKA_CFG_AUTHORIZER_CLASS_NAME=kafka.security.authorizer.AclAuthorizer - KAFKA_OPTS=-Djava.security.auth.login.config=/opt/bitnami/kafka/config/kafka_server_jaas.conf - ALLOW_PLAINTEXT_LISTENER=no # 因为我们使用SASL，所以不允许明文 volumes: - ./kafka_server_jaas.conf:/opt/bitnami/kafka/config/kafka_server_jaas.conf - kafka1-data:/bitnami/kafka/data 注意：控制器监听器（CONTROLLER）的端口（9093）用于节点间的元数据通信，而9092用于broker的客户端通信。 3. 初始化集群：Bitnami镜像在第一次启动时，如果配置了控制器角色，并且存储目录为空，会自动执行存储格式化。因此，我们只需要确保第一次启动时数据目录为空。 4. 启动后，创建SCRAM用户（用于客户端认证）： 由于我们在JAAS文件中已经定义了一个用户`client`（密码为`client-password`），但是Kafka要求将用户添加到ZooKeeper（在KRaft模式下是元数据日志）中，因此我们需要使用kafka-configs.sh命令来添加用户。 但是，在集群启动后，我们可以进入一个容器执行： kafka-configs.sh --bootstrap-server kafka1:9092 --alter --add-config 'SCRAM-SHA-256=[iterations=8192,password=client-password]' --entity-type users --entity-name client 注意：这里我们使用SASL认证连接到bootstrap-server，所以需要先配置一个JAAS文件用于客户端（例如，在容器内创建一个client_jaas.conf，内容为： sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="client" password="client-password"; 然后通过环境变量KAFKA_OPTS引入。 但是，Bitnami镜像提供了脚本，我们可以使用kafka-console-producer.sh等工具，但配置用户需要额外的步骤。 为了简化，我们可以在Docker Compose中添加一个初始化服务（例如，使用kafka-topics.sh的镜像），该服务等待集群启动后，执行添加用户的命令。 然而，由于我们已经在JAAS文件中定义了用户，并且在启动时已经加载，但Kafka并不会自动将这些用户添加到集群的元数据中。因此，我们必须显式地添加。 所以，我们可以在每个节点启动后，在一个节点上执行添加用户的命令。我们可以编写一个脚本，在其中一个节点上执行（例如kafka1），并等待其他节点启动。 但是，由于Docker Compose的启动顺序，我们可能需要在所有节点启动后手动执行，或者使用一个单独的服务（如init）来执行。 考虑到复杂度，我们这里先配置好JAAS，然后启动集群，然后手动添加用户。 5. 客户端连接：客户端需要配置SASL/SCRAM，使用用户`client`和密码`client-password`。 完整步骤： 1. 创建目录结构： mkdir -p kafka-cluster/secrets cd kafka-cluster 2. 创建kafka_server_jaas.conf文件（放在secrets目录下，内容如上，但注意我们为每个broker使用同一个用户？实际上，在JAAS中，我们定义了一个KafkaServer部分，其中指定了broker之间通信的用户（username）和密码，以及用户列表（user_<username>）。在集群内部，每个节点使用相同的JAAS配置，因此我们使用相同的用户（如kafka）和密码。同时，我们为客户端创建了用户client。 3. 编写docker-compose.yml 4. 启动集群：docker-compose up -d 5. 添加客户端用户（在集群启动后）： 进入其中一个容器： docker-compose exec kafka1 bash 然后，在容器内执行： export KAFKA_OPTS=-Djava.security.auth.login.config=/opt/bitnami/kafka/config/kafka_server_jaas.conf kafka-configs.sh --bootstrap-server kafka1:9092 --alter --add-config 'SCRAM-SHA-256=[iterations=8192,password=client-password]' --entity-type users --entity-name client --command-config /opt/bitnami/kafka/config/client.properties 注意：我们需要一个client.properties文件，内容如下： security.protocol=SASL_PLAINTEXT sasl.mechanism=SCRAM-SHA-256 sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="client" password="client-password"; 因此，我们需要在容器内创建这个文件，或者挂载进去。我们可以在启动容器前创建好，并挂载到容器中。 因此，我们在项目目录下创建一个config目录，放入client.properties。 然后，在docker-compose.yml中，将client.properties挂载到每个kafka节点的容器中（例如/opt/bitnami/kafka/config/client.properties）。 这样，在添加用户时就可以使用这个文件。 6. 测试：使用kafka-console-producer.sh和kafka-console-consumer.sh进行测试。 由于配置复杂，下面提供一个简化的docker-compose.yml示例（三节点）以及相关文件。 注意：以下配置仅用于开发环境，生产环境需要更严格的安全配置。 文件结构： kafka-cluster/ ├── docker-compose.yml ├── secrets/ │ └── kafka_server_jaas.conf └── config/ └── client.properties 1. secrets/kafka_server_jaas.conf 内容： KafkaServer { org.apache.kafka.common.security.scram.ScramLoginModule required username="kafka" password="kafka-password" user_kafka="kafka-password" user_client="client-password" user_controller="controller-password"; }; 2. config/client.properties 内容： security.protocol=SASL_PLAINTEXT sasl.mechanism=SCRAM-SHA-256 sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="client" password="client-password"; 3. docker-compose.yml 内容： version: '3' services: kafka1: image: bitnami/kafka:4.0.0 container_name: kafka1 ports: - "19092:9092" environment: - KAFKA_CFG_NODE_ID=1 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_LISTENERS=SASL_PLAINTEXT://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL_PLAINTEXT://kafka1:9092 - KAFKA_CFG_LISTENER_SECURITY_PROTOCOL_MAP=CONTROLLER:SASL_PLAINTEXT,SASL_PLAINTEXT:SASL_PLAINTEXT - KAFKA_CFG_INTER_BROKER_LISTENER_NAME=SASL_PLAINTEXT - KAFKA_CFG_CONTROLLER_LISTENER_NAMES=CONTROLLER - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_SASL_ENABLED_MECHANISMS=SCRAM-SHA-256 - KAFKA_CFG_SASL_MECHANISM_INTER_BROKER_PROTOCOL=SCRAM-SHA-256 - KAFKA_CFG_AUTHORIZER_CLASS_NAME=kafka.security.authorizer.AclAuthorizer - KAFKA_OPTS=-Djava.security.auth.login.config=/opt/bitnami/kafka/config/kafka_server_jaas.conf - ALLOW_PLAINTEXT_LISTENER=no volumes: - ./secrets/kafka_server_jaas.conf:/opt/bitnami/kafka/config/kafka_server_jaas.conf - ./config:/opt/bitnami/kafka/config/custom # 将client.properties放在这里，然后在容器内可以引用 - kafka1-data:/bitnami/kafka/data networks: - kafka-net kafka2: image: bitnami/kafka:4.0.0 container_name: kafka2 ports: - "29092:9092" environment: - KAFKA_CFG_NODE_ID=2 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_LISTENERS=SASL_PLAINTEXT://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL_PLAINTEXT://kafka2:9092 - KAFKA_CFG_LISTENER_SECURITY_PROTOCOL_MAP=CONTROLLER:SASL_PLAINTEXT,SASL_PLAINTEXT:SASL_PLAINTEXT - KAFKA_CFG_INTER_BROKER_LISTENER_NAME=SASL_PLAINTEXT - KAFKA_CFG_CONTROLLER_LISTENER_NAMES=CONTROLLER - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_SASL_ENABLED_MECHANISMS=SCRAM-SHA-256 - KAFKA_CFG_SASL_MECHANISM_INTER_BROKER_PROTOCOL=SCRAM-SHA-256 - KAFKA_CFG_AUTHORIZER_CLASS_NAME=kafka.security.authorizer.AclAuthorizer - KAFKA_OPTS=-Djava.security.auth.login.config=/opt/bitnami/kafka/config/kafka_server_jaas.conf - ALLOW_PLAINTEXT_LISTENER=no volumes: - ./secrets/kafka_server_jaas.conf:/opt/bitnami/kafka/config/kafka_server_jaas.conf - ./config:/opt/bitnami/kafka/config/custom - kafka2-data:/bitnami/kafka/data networks: - kafka-net depends_on: - kafka1 kafka3: image: bitnami/kafka:4.0.0 container_name: kafka3 ports: - "39092:9092" environment: - KAFKA_CFG_NODE_ID=3 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_LISTENERS=SASL_PLAINTEXT://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL_PLAINTEXT://kafka3:9092 - KAFKA_CFG_LISTENER_SECURITY_PROTOCOL_MAP=CONTROLLER:SASL_PLAINTEXT,SASL_PLAINTEXT:SASL_PLAINTEXT - KAFKA_CFG_INTER_BROKER_LISTENER_NAME=SASL_PLAINTEXT - KAFKA_CFG_CONTROLLER_LISTENER_NAMES=CONTROLLER - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_SASL_ENABLED_MECHANISMS=SCRAM-SHA-256 - KAFKA_CFG_SASL_MECHANISM_INTER_BROKER_PROTOCOL=SCRAM-SHA-256 - KAFKA_CFG_AUTHORIZER_CLASS_NAME=kafka.security.authorizer.AclAuthorizer - KAFKA_OPTS=-Djava.security.auth.login.config=/opt/bitnami/kafka/config/kafka_server_jaas.conf - ALLOW_PLAINTEXT_LISTENER=no volumes: - ./secrets/kafka_server_jaas.conf:/opt/bitnami/kafka/config/kafka_server_jaas.conf - ./config:/opt/bitnami/kafka/config/custom - kafka3-data:/bitnami/kafka/data networks: - kafka-net depends_on: - kafka2 volumes: kafka1-data: kafka2-data: kafka3-data: networks: kafka-net: driver: bridge 注意：这里我们将客户端的client.properties挂载到了每个容器的/opt/bitnami/kafka/config/custom目录下，因此在容器内可以通过/opt/bitnami/kafka/config/custom/client.properties访问。 4. 启动集群： docker-compose up -d 5. 添加客户端用户（在kafka1容器内执行）： docker-compose exec kafka1 bash 然后执行： kafka-configs.sh --bootstrap-server kafka1:9092 --alter --add-config 'SCRAM-SHA-256=[iterations=8192,password=client-password]' --entity-type users --entity-name client --command-config /opt/bitnami/kafka/config/custom/client.properties 6. 测试：创建一个topic并生产消费消息。 注意：在KRaft模式下，我们不再需要ZooKeeper，因此配置中不包含ZooKeeper相关设置。 以上步骤可以完成一个三节点的Kafka KRaft集群，并启用SCRAM-SHA-256认证。 但是，请注意，我们在JAAS文件中使用了同一个用户`kafka`用于broker间通信，这在生产环境中可能不够安全。建议为每个broker创建单独的用户，并在JAAS文件中为每个broker配置不同的用户名和密码。但这需要更复杂的配置，例如每个节点挂载不同的JAAS文件。 另外，控制器用户（user_controller）在控制器通信中会被使用，但我们在JAAS文件中已经定义。 最后，关于性能，KRaft模式减少了ZooKeeper的依赖，但仍在成熟中，生产环境请根据官方建议进行配置。 参考文献： [^1]: 本例中未引用具体文献，配置参考了Kafka官方文档和Bitnami文档。</think>以下是在Docker环境中使用KRaft模式部署Bitnami Kafka 4.0.0三节点集群并配置SCRAM-SHA-256认证的完整步骤： --- ### 一、准备工作 1. **创建目录结构** ```bash mkdir -p kafka-kraft/{config,secrets,scripts} cd kafka-kraft ``` 2. **生成SCRAM凭证** 为3个节点和客户端生成密码（执行后保存密码）： ```bash # 生成节点凭证 for i in {1..3}; do echo "kafka$i:$(openssl rand -base64 16)" >> secrets/scram-users.txt done # 生成客户端凭证 echo "client:$(openssl rand -base64 16)" >> secrets/scram-users.txt ``` 3. **创建JAAS配置文件** (`secrets/kafka_jaas.conf`) ```conf KafkaServer { org.apache.kafka.common.security.scram.ScramLoginModule required username="admin" password="admin-secret" user_admin="admin-secret" user_kafka1="kafka1-password" user_kafka2="kafka2-password" user_kafka3="kafka3-password" user_client="client-password"; }; ``` > 将`kafkaX-password`替换为`scram-users.txt`中对应密码 --- ### 二、配置Docker Compose 创建`docker-compose.yml`文件： ```yaml version: '3.7' services: kafka1: image: bitnami/kafka:4.0.0 container_name: kafka1 ports: - "19092:9092" environment: - KAFKA_CFG_NODE_ID=1 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_LISTENERS=SASL://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL://kafka1:9092 - KAFKA_CFG_LISTENER_SECURITY_PROTOCOL_MAP=CONTROLLER:SASL_PLAINTEXT,SASL:SASL_PLAINTEXT - KAFKA_CFG_INTER_BROKER_LISTENER_NAME=SASL - KAFKA_CFG_CONTROLLER_LISTENER_NAMES=CONTROLLER - KAFKA_CFG_SASL_ENABLED_MECHANISMS=SCRAM-SHA-256 - KAFKA_CFG_SASL_MECHANISM_CONTROLLER_PROTOCOL=SCRAM-SHA-256 - KAFKA_OPTS=-Djava.security.auth.login.config=/etc/kafka/kafka_jaas.conf volumes: - ./secrets/kafka_jaas.conf:/etc/kafka/kafka_jaas.conf:ro - kafka1-data:/bitnami/kafka/data networks: - kafka-net kafka2: image: bitnami/kafka:4.0.0 container_name: kafka2 environment: - KAFKA_CFG_NODE_ID=2 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_LISTENERS=SASL://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL://kafka2:9092 # ...（其他环境变量同kafka1） volumes: - ./secrets/kafka_jaas.conf:/etc/kafka/kafka_jaas.conf:ro - kafka2-data:/bitnami/kafka/data networks: - kafka-net depends_on: - kafka1 kafka3: image: bitnami/kafka:4.0.0 container_name: kafka3 environment: - KAFKA_CFG_NODE_ID=3 - KAFKA_CFG_PROCESS_ROLES=broker,controller - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@kafka1:9093,2@kafka2:9093,3@kafka3:9093 - KAFKA_CFG_LISTENERS=SASL://:9092,CONTROLLER://:9093 - KAFKA_CFG_ADVERTISED_LISTENERS=SASL://kafka3:9092 # ...（其他环境变量同kafka1） volumes: - ./secrets/kafka_jaas.conf:/etc/kafka/kafka_jaas.conf:ro - kafka3-data:/bitnami/kafka/data networks: - kafka-net depends_on: - kafka2 volumes: kafka1-data: kafka2-data: kafka3-data: networks: kafka-net: driver: bridge ``` > **关键配置说明**： > 1. `KAFKA_CFG_PROCESS_ROLES=broker,controller`：启用KRaft模式 > 2. `CONTROLLER_QUORUM_VOTERS`：定义集群控制器节点 > 3. `SASL_ENABLED_MECHANISMS=SCRAM-SHA-256`：启用SCRAM认证 > 4. JAAS文件挂载提供认证凭证[^1] --- ### 三、初始化集群 1. **启动集群** ```bash docker-compose up -d ``` 2. **创建SCRAM用户**（在任意节点执行） ```bash docker exec -it kafka1 bash # 在容器内执行 kafka-configs.sh --bootstrap-server kafka1:9092 \ --add-config 'SCRAM-SHA-256=[iterations=8192,password=client-password]' \ --entity-type users --entity-name client \ --command-config /opt/bitnami/kafka/config/client.properties ``` > 需创建`client.properties`文件： > ```properties > security.protocol=SASL_PLAINTEXT > sasl.mechanism=SCRAM-SHA-256 > sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required username="client" password="client-password"; > ``` --- ### 四、验证配置 1. **检查集群状态** ```bash docker exec kafka1 kafka-metadata-quorum.sh \ --bootstrap-server kafka1:9092 \ --command-config client.properties \ describe --status ``` 输出应包含：`"leaderId":1` 和 `"voters":[1,2,3]` 2. **测试生产消费** ```bash # 生产者 kafka-console-producer.sh --bootstrap-server kafka1:9092 \ --topic test \ --producer.config client.properties # 消费者 kafka-console-consumer.sh --bootstrap-server kafka2:9092 \ --topic test \ --consumer.config client.properties ``` --- ### 五、故障排查要点 1. **节点无法加入集群**： - 检查`CONTROLLER_QUORUM_VOTERS`格式是否正确 - 确保所有节点时间同步（Docker主机需启用NTP） 2. **认证失败**： - 验证JAAS文件中的密码与`scram-users.txt`一致 - 检查`kafka_jaas.conf`文件权限（建议644） 3. **控制器选举问题**： - 首次启动需等待30秒完成选举 - 查看日志：`docker logs kafka1` > **生产环境建议**： > 1. 使用TLS加密通信 > 2. 定期轮换SCRAM密码 > 3. 启用监控（JMX_EXPORTER+Prometheus）[^2] ---