En esta página, se muestra cómo resolver problemas cuando creas o configuras un clúster de Managed Service para Apache Kafka.
Errores de creación del clúster de Kafka
En esta sección, se enumeran los errores que puedes encontrar cuando creas un clúster de Kafka.
El servicio no tiene permiso para acceder a la clave de Cloud KMS
El siguiente problema ocurre cuando al agente de servicio de Managed Service para Apache Kafka le falta el permiso necesario para acceder a la clave de Cloud KMS.
Service agent service-${PROJECT_NUMBER}@gcp-sa-managedkafka.iam.gserviceaccount.com
has not been granted the required role cloudkms.cryptoKeyEncrypterDecrypter to
encrypt data using the KMS key.`
Para resolver este problema, otorga a la cuenta de servicio el rol Encriptador/Desencriptador de CryptoKey de Cloud KMS en la clave de Cloud KMS. Para obtener más información, consulta los roles obligatorios para configurar CMEK.
El servicio no tiene permiso para recuperar la subred
El siguiente problema se produce cuando el agente de servicio de Managed Service para Apache Kafka no tiene el rol requerido para configurar la red en la red de VPC en la que se ejecutan los clientes de Kafka.
Service does not have permission to retrieve subnet. Please grant
service-${PROJECT_NUMBER}@gcp-sa-managedkafka.iam.gserviceaccount.com the
managedkafka.serviceAgent role in the IAM policy of the project
${SUBNET_PROJECT} and ensure the Compute Engine API is enabled in project
${SUBNET_PROJECT}`
Para resolver este problema, otorga a la cuenta de servicio el rol de agente de servicio administrado de Kafka. Para obtener más información, consulta Cómo conectar un clúster entre proyectos.
Errores de redes
En esta sección, se enumeran los errores que puedes encontrar cuando configuras la red para un clúster de Kafka.
El servicio no pudo configurar la red
El siguiente problema se produce cuando Managed Service para Apache Kafka no puede conectar el clúster de Kafka a tu subred de nube privada virtual.
Managed Service for Apache Kafka failed to set up networking in VPC subnet.
Para resolver este problema, realiza los siguientes pasos:
Habilita las APIs de Compute Engine y Cloud DNS en el proyecto principal de la red de VPC del consumidor.
Si el clúster de Managed Service para Apache Kafka y la red de VPC del consumidor están en proyectos diferentes, configura los permisos necesarios. Consulta Cómo conectar un clúster entre proyectos.
Asegúrate de que no haya restricciones de políticas de la organización que impidan que el servicio cree los recursos necesarios en el proyecto de la red de VPC del consumidor.
Para obtener más información, consulta Configura la red para Managed Service para Apache Kafka.
Las aplicaciones cliente no se pueden conectar
Si tus aplicaciones cliente no pueden conectarse a tu clúster, verifica los siguientes problemas:
Asegúrate de que los clientes usen la dirección de arranque correcta.
Asegúrate de que los clientes de Kafka se ejecuten en una red de VPC configurada para acceder al clúster de Managed Service para Apache Kafka.
Si ejecutas el cliente de Kafka en una computadora o laptop, puedes configurar una instancia de Compute Engine para que se use como proxy y acceder al clúster de Managed Service para Apache Kafka. Para obtener más información, consulta Cómo configurar una máquina cliente.
Errores de autenticación
En esta sección, se enumeran los errores que puedes encontrar cuando las aplicaciones cliente se autentican en tu clúster de Kafka.
Falla la autenticación SASL
El siguiente problema se produce cuando un cliente no puede conectarse al clúster con la autenticación SASL.
Exception in thread "main" java.util.concurrent.ExecutionException:
org.apache.kafka.common.errors.SaslAuthenticationException:
Authentication failed: Invalid username or password
Para resolver el problema, verifica las siguientes causas:
La contraseña tiene un formato incorrecto y no representa un objeto JSON de clave de cuenta de servicio válido cuando se decodifica en Base64, ni un token de acceso válido.
La entidad principal de autenticación no tiene el permiso
managedkafka.clusters.connecten el clúster.El nombre de usuario proporcionado no coincide con la entidad principal de la credencial.
Si un cliente experimenta desconexiones frecuentes cada 30 minutos, esto puede deberse a que el cliente no admite la reautenticación periódica.
Los agentes de Managed Service para Apache Kafka requieren que los clientes se vuelvan a autenticar cada 30 minutos, lo que se aplica con la propiedad del agente connections.max.reauth.ms.
Verifica que la versión de tu biblioteca cliente de Kafka sea 2.2.0 o posterior, y que admita la reautenticación.
Para obtener más información, consulta Configura la autenticación SASL.