Utilización de la API de Kafka

Uso de SASL OAUTHBEARER con clave API

Utilice las siguientes series y propiedades.

• Utilice la serie BOOTSTRAP_ENDPOINTS como lista de servidores de rutina de carga y pase esta serie de pares de host y puerto al cliente Kafka.
• El IAMOAuthBearerLoginCallbackHandler lo proporciona el paquete jar com.ibm.cloud.eventstreams:oauth-client:+.
• El IBM Cloud® Identity and Access Management 's token endpoint https://iam.cloud.ibm.com/identity/token está configurado para generar un token de la clave de la API mediante el uso de tipo de concesión especificado en jaas config. Se realiza en el lado del cliente, por lo que la clave API nunca se envía al lado del servidor y esto proporciona una mayor seguridad que una clave API de larga duración.
• El punto final de clave de Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys está configurado para validar la señal.
• grant_type en sasl.jaas.config es urn:ibm:params:oauth:grant-type:apikey
• apikey en sasl.jaas.config es la clave API utilizada para generar el token de portador en el lado del cliente. Puede ser de un ID de usuario o de servicio.

Para un cliente Java, el siguiente ejemplo muestra el conjunto mínimo de propiedades, donde usted reemplaza ${BOOTSTRAP_ENDPOINTS}, y ${APIKEY} con los valores que recuperó anteriormente.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Uso de SASL OAUTHBEARER con perfil de confianza y token de recurso informático

Todas las propiedades son las mismas que las descritas para la clave API, salvo que sasl.jaas.config es diferente.

• grant_type en sasl.jaas.config es urn:ibm:params:oauth:grant-type:cr-token.
• profile_id en sasl.jaas.config es una ubicación de archivo que almacena el ID del perfil de confianza. Este archivo puede montarse en un pod Kubernetes que ejecute código de cliente Kafka como volumen de sólo lectura y ponerse a disposición del código de cliente Kafka.
• cr_token en sasl.jaas.config es una ubicación de archivo que almacena el token de cuenta de servicio de un pod Kubernetes que ejecuta código de cliente Kafka. Para más información, consulte Qué es un token de cuenta de servicio.

Por ejemplo:

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Encontrará más información sobre Cómo crear un perfil de confianza.

El código fuente del cliente oauth hace referencia al SDK de Event Streams Java.

El código cliente de muestra hace referencia a la muestra Event Streams.

Uso de SASL OAUTHBEARER con clave API

Utilice las siguientes cadenas y propiedades además de la propiedad obligatoria bootstrap.servers y cualquier configuración específica de productor, consumidor y administrador.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Uso de SASL OAUTHBEARER con un perfil de confianza y un token de recurso informático en entornos de contenedores

Para obtener más información, consulte Generación de un token IAM para un recurso informático.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Propiedad del sistema org.apache.kafka.sasl.oauthbearer.allowed.urls

Desde Kafka 4.0, el cliente requiere una propiedad del sistema para establecer las URLs permitidas del token SASL OAUTHBEARER y los endpoints jwks.

Para más información, consulte las propiedades del sistema.

Cuando se utilizan los scripts de shell de cliente CLI proporcionados por la distribución Apache Kafka, la propiedad del sistema también puede establecerse utilizando la variable de entorno KAFKA_OPTS.

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"