Uso de SASL OAUTHBEARER con clave API

Utilice las siguientes series y propiedades.

• Utilice la serie BOOTSTRAP_ENDPOINTS como lista de servidores de rutina de carga y pase esta serie de pares de host y puerto al cliente Kafka.
• El IAMOAuthBearerLoginCallbackHandler lo proporciona el paquete jar com.ibm.cloud.eventstreams:oauth-client:+.
• El punto final de señal de IBM Cloud® Identity and Access Management https://iam.cloud.ibm.com/identity/token está configurado para generar señal a partir de la clave de API utilizando el tipo de otorgamiento especificado en jaas config. Se realiza en el lado del cliente, por lo que la clave de API nunca se envía al lado del servidor y proporciona una mejor seguridad que una clave de API de larga duración.
• El punto final de clave de Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys está configurado para validar la señal.
• grant_type en sasl.jaas.config es urn:ibm:params:oauth:grant-type:apikey
• apikey en sasl.jaas.config es la clave API utilizada para generar el token de portador en el lado del cliente. Puede ser de un Id de usuario o de servicio.

Para un cliente Java, el siguiente ejemplo muestra el conjunto mínimo de propiedades, donde ${BOOTSTRAP_ENDPOINTS}, y ${APIKEY} deben sustituirse por los valores que recuperó anteriormente.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Uso de SASL OAUTHBEARER con perfil de confianza y token de recurso informático

Todas las propiedades son las mismas con la clave API, excepto sasl.jaas.config que es diferente.

• grant_type en sasl.jaas.config es urn:ibm:params:oauth:grant-type:cr-token.
• profile_id en sasl.jaas.config es una ubicación de archivo que almacena el ID del perfil de confianza. Este archivo puede montarse en un pod Kubernetes que ejecute código de cliente Kafka como volumen de sólo lectura y ponerse a disposición del código de cliente Kafka.
• cr_token en sasl.jaas.config es una ubicación de archivo que almacena el token de cuenta de servicio de un pod Kubernetes que ejecuta código de cliente Kafka. Consulte Qué es un token de cuenta de servicio.

Véase el siguiente ejemplo

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Más información sobre Cómo configurar un perfil de confianza

El código fuente del cliente oauth se encuentra en Event Streams Java SDK.

El ejemplo de código cliente se encuentra en Event Streams Sample.

Para otras libarias de cliente Kafka, consulte su documentación sobre cómo implementar el soporte de OAUTHBEARER. Por ejemplo:.

• sarama: es necesaria una implementación de la interfaz AccessTokenProvider.
• librdkafka: es necesaria una implementación de la devolución de llamada oauthbearer_token_refresh_cb.

Para obtener información sobre cómo generar una señal de IAM de IBM Cloud utilizando una clave de API, consulte el documento de IBM Cloud® Identity and Access Management.