服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- Amazon MSK 于 2026 年 10 月 30 日发布 Provisioned 集群 TLS 1.3 策略；策略影响 MSK 管理的全部加密链路。AWS 称该能力在提供 Provisioned 的区域不另收费，但 MSK 与相关服务本身并非免费。
- MSK-TLS1.2-Default-2026 仅接受 TLS 1.2；MSK-TLSv1.3-2026 同时接受 TLS 1.2 和 1.3；MSK-TLSv1.3-Only-2026 仅接受 TLS 1.3。
- 混合策略保留 TLS 1.2 套件，但客户端若宣告 TLS 1.3 后无法完成握手，连接不会自动退回 TLS 1.2。
- 现有集群只能在相邻策略间逐级更新；先确认 Provisioned、Kafka 3.6 或更高版本、ACTIVE、无进行中操作及所需配置权限。新集群可直接选择仅 TLS 1.3。
- 先在非生产环境检查客户端和中间网络设备。应用策略会让每个 broker 经历一次滚动重启；文档的持续服务条件有限，不构成普遍的零中断承诺。
三种策略对应不同的协议边界
Amazon MSK 于 2026 年 10 月 30 日宣布，Provisioned 集群可通过命名安全策略选择 TLS 1.3。MSK-TLS1.2-Default-2026 仅接受 TLS 1.2；MSK-TLSv1.3-2026 同时接受 TLS 1.2 与 1.3；MSK-TLSv1.3-Only-2026 仅接受 TLS 1.3。 TLS 是保护连接传输的加密协议；这里调整的是协议版本和加密套件。
未设置其他策略的集群仍使用默认 TLS 1.2 配置；现有集群不会因功能发布而自动改变。发布说明称在提供 Provisioned 的 AWS 区域使用这些策略不另收功能费用，这不表示 MSK 或相关服务整体免费。 区域可用不代表每个账户已获访问权限，账户是否支持仍须确认。
混合 TLS 1.2/1.3 不会修复失败的 TLS 1.3 握手
混合策略增量增加 TLS 1.3，并保留全部 TLS 1.2 加密套件（cipher suites）。连接会协商双方支持的最高版本；若客户端宣告支持 TLS 1.3，但该实现无法完成 TLS 1.3 握手，连接会失败，不会自动退回 TLS 1.2。
TLS 1.3 策略支持 TLS_AES_128_GCM_SHA256 与 TLS_AES_256_GCM_SHA384，不支持 TLS_CHACHA20_POLY1305_SHA256；只提供该套件的客户端无法完成 TLS 1.3 握手。还要检查客户端 TLS 库、RFC 8446 实现及路径中的代理、防火墙、负载均衡器或流量检查设备。
策略覆盖 MSK 管理的所有加密链路
策略决定 Amazon MSK 接受的 TLS 协议版本及可用加密套件，范围是 MSK 管理的全部加密链路，而不只是客户端到 broker（Kafka 服务节点）。
KRaft 模式还涉及 broker 间复制、broker 到 controller 及 controller quorum；ZooKeeper 模式还涉及 broker 间复制、broker 到 ZooKeeper 及 ZooKeeper quorum。规划时应把这些内部链路也纳入，而不是只盘点应用客户端。
现有集群必须沿相邻策略逐级更新
应用 tls.security.policy 需要 MSK Provisioned 集群、Apache Kafka 3.6 或更高版本、集群处于 ACTIVE 且没有其他操作进行中，并具备创建或更新 MSK configuration 及更新集群配置的权限。该属性通过配置修订应用，没有单独的策略 API。 在 server.properties 中设置该属性，创建或更新配置修订后，将该修订应用到集群；不要只保存配置却误认为集群已更新。
更新现有集群时只能沿相邻策略移动，每次都要等当前更新完成后再继续：默认策略到仅 TLS 1.3 必须先应用混合策略。新集群可直接选择仅 TLS 1.3。新配置修订会替换当前配置内容，因此添加策略属性时要保留原有其他属性。
先验证客户端，再安排滚动重启
先在非生产集群验证实际使用的客户端库、客户端工具和网络中间设备。AWS 建议确认客户端按 RFC 8446 实现 TLS 1.3；一些旧实现无法协商双方支持的最高版本，会直接终止握手。仅 TLS 1.3 策略会拒绝无法协商 TLS 1.3 的客户端。
应用配置会触发滚动重启，每个 broker 重启一次，客户端需要重连。AWS 文档只在 topic replication factor 至少为 3、min.insync.replicas 不超过 replication factor 减 1 且客户端会重试时说明集群可在重启期间继续服务；这不是对所有集群无中断的保证。
回退同样逐级，并检查客户端影响
若更新后客户端无法连接，可按顺序回到上一个策略：仅 TLS 1.3 回到混合策略可恢复仅支持 TLS 1.2 的客户端，但错误实现 TLS 1.3 的客户端仍会失败；混合策略回到默认策略则只接受 TLS 1.2，会使仅支持 TLS 1.3 的客户端无法连接。
从仅 TLS 1.3 回到默认 TLS 1.2 需要两次更新，中间先应用混合策略并等待完成。处于仅 TLS 1.3 时清除属性会请求跨两级变更并被拒绝；回退前确认当前策略、集群为 ACTIVE 且没有进行中的操作。
资料来源
常见问题
MSK Serverless 也支持这些命名策略吗？
不支持。该 TLS 安全策略功能仅适用于 MSK Provisioned；不能把此升级路径直接套到 Serverless。
启用 TLS 1.3 是否等于已经启用后量子加密？
不等于。发布说明将 TLS 1.3 作为后量子加密的前提，但仅选择该策略不能证明集群已经启用后量子加密。
可以通过 Kafka 管理 API 直接修改每个 broker 的 ssl.* 属性吗？
不要这样替代 MSK 配置。官方警告，这些覆盖可能与 MSK 管理配置冲突，下一次重启或补丁更新时影响客户端连接和集群内部复制，恢复可能需要 AWS Support。使用大小写完全匹配的命名策略。
如果账户提示不支持该配置属性怎么办？
从配置中移除 tls.security.policy，并联系 AWS account team 或 AWS Support 申请访问权限。文档没有保证每个账户都会获得支持。