Utilisation de l'API Kafka

Utilisation de SASL OAUTHBEARER avec une clé API

Utilisez les chaînes et propriétés suivantes.

• Utilisez la chaîne BOOTSTRAP_ENDPOINTS comme liste de serveurs d'amorçage et transmettez cette chaîne de paires hôte-port à votre client Kafka.
• Le fichier IAMOAuthBearerLoginCallbackHandler est fourni par le package jar com.ibm.cloud.eventstreams:oauth-client:+.
• Le point de terminaison de jeton de IBM Cloud® Identity and Access Management https://iam.cloud.ibm.com/identity/token est configuré pour générer un jeton à partir de la clé API en utilisant le type de subvention spécifié dans la configuration de jaas. La clé API n'est donc jamais envoyée au serveur, ce qui offre une meilleure sécurité qu'une clé API à longue durée de vie.
• Le noeud final de clé Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys est configuré pour valider le jeton.
• grant_type à l'adresse sasl.jaas.config est urn:ibm:params:oauth:grant-type:apikey
• apikey dans sasl.jaas.config est la clé API utilisée pour générer le jeton du porteur côté client. Il peut s'agir d'un identifiant d'utilisateur ou de service.

Pour un client Java, l'exemple suivant montre l'ensemble minimal de propriétés, où vous remplacez ${BOOTSTRAP_ENDPOINTS}, et ${APIKEY} par les valeurs que vous avez récupérées précédemment.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Utilisation de SASL OAUTHBEARER avec un profil de confiance et un jeton de ressource informatique

Toutes les propriétés sont les mêmes que celles décrites pour la clé API, à l'exception de sasl.jaas.config qui est différent.

• grant_type dans sasl.jaas.config est urn:ibm:params:oauth:grant-type:cr-token.
• profile_id dans sasl.jaas.config est l'emplacement d'un fichier stockant l'identifiant du profil de confiance. Ce fichier peut être monté sur un pod Kubernetes exécutant le code client Kafka en tant que volume en lecture seule et mis à la disposition du code client Kafka.
• cr_token dans sasl.jaas.config est un emplacement de fichier stockant le jeton de compte de service d'un pod Kubernetes exécutant le code client Kafka. Pour plus d'informations, voir Qu'est-ce qu'un jeton de compte de service?

Exemple :

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Vous pouvez trouver plus de détails sur Comment créer un profil de confiance.

Le code source du client oauth fait référence au SDK Event Streams Java.

L'exemple de code client fait référence à l'exemple Event Streams.

Utilisation de SASL OAUTHBEARER avec une clé API

Utilisez les chaînes et propriétés suivantes en plus de la propriété obligatoire bootstrap.servers et des paramètres spécifiques du producteur, du consommateur et de l'administrateur.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Utilisation de SASL OAUTHBEARER avec un profil de confiance et un jeton de ressource informatique dans des environnements conteneurisés

Pour plus d'informations, voir Générer un jeton IAM pour une ressource de calcul.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Propriété système org.apache.kafka.sasl.oauthbearer.allowed.urls

À partir de Kafka 4.0, le client a besoin d'une propriété système pour définir les URL autorisées des points de terminaison SASL OAUTHBEARER token et jwks.

Pour plus d'informations, voir les propriétés du système.

Lors de l'utilisation des scripts shell client CLI fournis par la distribution Apache Kafka, la propriété système peut également être définie à l'aide de la variable d'environnement KAFKA_OPTS.

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"