Kafka-API verwenden

Verwendung von SASL OAUTHBEARER mit API-Schlüssel

Verwenden Sie die folgenden Zeichenfolgen und Eigenschaften:

• Verwenden Sie die Zeichenfolge BOOTSTRAP_ENDPOINTS als Liste der Bootstrap-Server und übergeben Sie diese Zeichenfolge mit Host/Port-Paaren an Ihren Client Kafka.
• IAMOAuthBearerLoginCallbackHandler wird vom JAR-Paket com.ibm.cloud.eventstreams:oauth-client:+ bereitgestellt.
• Der Token-Endpunkt von IBM Cloud® Identity and Access Management https://iam.cloud.ibm.com/identity/token ist so konfiguriert, dass er ein Token aus dem API-Schlüssel generiert, indem er den in jaas config angegebenen Grant-Typ verwendet. Sie erfolgt auf der Client-Seite, so dass der API-Schlüssel nie an die Server-Seite gesendet wird, was mehr Sicherheit bietet als ein langlebiger API-Schlüssel.
• Der Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys ist für die Validierung des Tokens konfiguriert.
• grant_type in sasl.jaas.config ist urn:ibm:params:oauth:grant-type:apikey
• apikey in sasl.jaas.config ist der API-Schlüssel, der zur Generierung des Überbringer-Tokens auf der Client-Seite verwendet wird. Sie kann entweder von einer Benutzer- oder einer Service-ID stammen.

Für einen Java-Client zeigt das folgende Beispiel den minimalen Satz von Eigenschaften, wobei Sie ${BOOTSTRAP_ENDPOINTS} und ${APIKEY} durch die zuvor abgerufenen Werte ersetzen.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Verwendung von SASL OAUTHBEARER mit vertrauenswürdigem Profil und Compute Resource Token

Alle Eigenschaften sind dieselben wie für den API-Schlüssel beschrieben, nur die sasl.jaas.config ist anders.

• grant_type in sasl.jaas.config ist urn:ibm:params:oauth:grant-type:cr-token.
• profile_id in sasl.jaas.config ist ein Dateispeicherort, der die vertrauenswürdige Profil-ID speichert. Diese Datei kann in einen Kubernetes-Pod mit Kafka-Clientcode als schreibgeschütztes Volume eingebunden und dem Kafka-Clientcode zur Verfügung gestellt werden.
• cr_token in sasl.jaas.config ist ein Dateispeicherort, der Dienstkontotoken von einem Kubernetes-Pod speichert, auf dem Kafka-Clientcode ausgeführt wird. Weitere Informationen finden Sie unter Was ist ein Dienstkonto-Token?

Zum Beispiel:

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Weitere Einzelheiten finden Sie unter Wie man ein vertrauenswürdiges Profil einrichtet.

Der Quellcode von oauth client bezieht sich auf das Event Streams Java SDK.

Der Beispiel-Clientcode bezieht sich auf das Beispiel Event Streams.

Verwendung von SASL OAUTHBEARER mit API-Schlüssel

Verwenden Sie die folgenden Zeichenfolgen und Eigenschaften zusätzlich zu der obligatorischen Eigenschaft bootstrap.servers und den spezifischen Erzeuger-, Verbraucher- und Verwaltungseinstellungen.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Verwendung von SASL OAUTHBEARER mit einem vertrauenswürdigen Profil und Compute Resource Token in Container-Umgebungen

Weitere Informationen finden Sie unter Erzeugen eines IAM-Tokens für eine Compute-Ressource.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Systemeigenschaft org.apache.kafka.sasl.oauthbearer.allowed.urls

Unter Kafka 4.0 benötigt der Client eine Systemeigenschaft, um die zulässigen URLs von SASL OAUTHBEARER-Token und jwks-Endpunkten festzulegen.

Weitere Informationen finden Sie unter Systemeigenschaften.

Bei Verwendung der CLI-Client-Shell-Skripte, die in der Apache Kafka-Distribution enthalten sind, kann die Systemeigenschaft auch über die Umgebungsvariable KAFKA_OPTS festgelegt werden.

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"