Kafka-API verwenden

Verwendung von SASL OAUTHBEARER mit API-Schlüssel

Verwenden Sie die folgenden Zeichenfolgen und Eigenschaften:

• Verwenden Sie die Zeichenfolge BOOTSTRAP_ENDPOINTS als Liste der Bootstrap-Server und übergeben Sie diese Zeichenfolge mit Host/Port-Paaren an Ihren Client Kafka.
• IAMOAuthBearerLoginCallbackHandler wird vom JAR-Paket com.ibm.cloud.eventstreams:oauth-client:+ bereitgestellt.
• Der IBM Cloud® Identity and Access Management https://iam.cloud.ibm.com/identity/token ist für die Generierung eines Tokens aus dem API-Schlüssel unter Verwendung des angegebenen Erteilungstyps in der jaas-Konfiguration konfiguriert. Dies geschieht auf der Clientseite, sodass der API-Schlüssel nie an die Serverseite gesendet wird und eine bessere Sicherheit bietet als ein langlebiger API-Schlüssel.
• Der Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys ist für die Validierung des Tokens konfiguriert.
• grant_type in sasl.jaas.config ist urn:ibm:params:oauth:grant-type:apikey
• apikey in sasl.jaas.config ist der API-Schlüssel, der zur Generierung des Überbringer-Tokens auf der Client-Seite verwendet wird. Sie kann entweder von einer Benutzer- oder einer Dienst-ID stammen.

Für einen Java-Client zeigt das folgende Beispiel den minimalen Satz von Eigenschaften, wobei ${BOOTSTRAP_ENDPOINTS} und ${APIKEY} durch die zuvor abgerufenen Werte zu ersetzen sind.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Verwendung von SASL OAUTHBEARER mit vertrauenswürdigem Profil und Compute Resource Token

Alle Eigenschaften sind die gleichen wie beim API-Schlüssel, nur die sasl.jaas.config ist anders.

• grant_type in sasl.jaas.config ist urn:ibm:params:oauth:grant-type:cr-token.
• profile_id in sasl.jaas.config ist ein Dateispeicherort, der die vertrauenswürdige Profil-ID speichert. Diese Datei kann in einen Kubernetes-Pod mit Kafka-Clientcode als schreibgeschütztes Volume eingebunden und dem Kafka-Clientcode zur Verfügung gestellt werden.
• cr_token in sasl.jaas.config ist ein Dateispeicherort, der Dienstkontotoken von einem Kubernetes-Pod speichert, auf dem Kafka-Clientcode ausgeführt wird. Siehe Was ist ein Dienstkonto-Token.

Siehe untenstehendes Beispiel

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Weitere Einzelheiten zur Einrichtung eines vertrauenswürdigen Profils

Der Quellcode des Oauth-Clients findet sich im Event Streams Java SDK.

Den Beispiel-Clientcode finden Sie unter Event Streams Sample.

Informationen zur Implementierung der Unterstützung für OAUTHBEARER für andere Kafka-Clients finden Sie in der zugehörigen Dokumentation. Beispiel:.

• sarama: Eine Implementierung der Schnittstelle AccessTokenProvider ist erforderlich.
• librdkafka: Eine Implementierung des Callback oauthbearer_token_refresh_cb ist erforderlich.

Informationen zum Generieren eines IBM Cloud-IAM-Tokens unter Verwendung eines API-Schlüssels finden Sie im Dokument IBM Cloud® Identity and Access Management .