Utilizzo dell'API Kafka

Utilizzo di SASL OAUTHBEARER con chiave API

Utilizzare le seguenti stringhe e proprietà.

• Utilizza la stringa BOOTSTRAP_ENDPOINTS come elenco di server di avvio e passa questa stringa di coppie host e porta al tuo client Kafka.
• IAMOAuthBearerLoginCallbackHandler viene fornita dal package jar com.ibm.cloud.eventstreams:oauth-client:+.
• Il token endpoint di IBM Cloud® Identity and Access Management https://iam.cloud.ibm.com/identity/token è configurato per generare un token dalla chiave API, utilizzando il tipo di concessione specificato nella configurazione di jaas. Viene eseguita sul lato client, quindi la chiave API non viene mai inviata al lato server e questo garantisce una maggiore sicurezza rispetto a una chiave API a lunga durata.
• L'endpoint chiave di Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys è configurato per convalidare il token.
• grant_type in sasl.jaas.config è urn:ibm:params:oauth:grant-type:apikey
• apikey in sasl.jaas.config è la chiave API usata per generare il token del portatore sul lato client. Può provenire da un ID utente o da un ID servizio.

Per un client Java, l'esempio seguente mostra l'insieme minimo di proprietà, in cui si sostituiscono ${BOOTSTRAP_ENDPOINTS} e ${APIKEY} con i valori recuperati in precedenza.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Utilizzo di SASL OAUTHBEARER con profilo attendibile e token della risorsa di calcolo

Tutte le proprietà sono identiche a quelle descritte per la chiave API, tranne quella di sasl.jaas.config che è diversa.

• grant_type in sasl.jaas.config è urn:ibm:params:oauth:grant-type:cr-token.
• profile_id in sasl.jaas.config è un percorso di file che memorizza l'ID del profilo attendibile. Questo file può essere montato su un pod Kubernetes che esegue il codice client Kafka come volume di sola lettura e reso disponibile al codice client Kafka.
• cr_token in sasl.jaas.config è un file che memorizza il token dell'account del servizio da un pod Kubernetes che esegue il codice client Kafka. Per ulteriori informazioni, vedere Cos'è un token dell'account di servizio.

Ad esempio:

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Per maggiori dettagli, consultare la sezione Come impostare un profilo di fiducia.

Il codice sorgente del client oauth si riferisce all'SDK Event Streams Java.

Il codice client di esempio fa riferimento al campione Event Streams.

Utilizzo di SASL OAUTHBEARER con chiave API

Utilizzare le seguenti stringhe e proprietà, oltre alla proprietà obbligatoria bootstrap.servers e alle impostazioni specifiche di produttore, consumatore e amministratore.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Utilizzo di SASL OAUTHBEARER con un profilo attendibile e un token di risorsa di calcolo in ambienti containerizzati

Per ulteriori informazioni, vedere Generazione di un token IAM per una risorsa di calcolo.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Proprietà di sistema org.apache.kafka.sasl.oauthbearer.allowed.urls

Da Kafka 4.0, il client richiede una proprietà di sistema per impostare gli URL consentiti del token SASL OAUTHBEARER e degli endpoint jwks.

Per ulteriori informazioni, vedere Proprietà del sistema.

Quando si utilizzano gli script di shell CLI client forniti dalla distribuzione Apache Kafka, la proprietà di sistema può essere impostata anche tramite la variabile d'ambiente KAFKA_OPTS.

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"