Kafka API の使用

APIキーでSASL OAUTHBEARERを使用する

以下のストリングとプロパティーを使用します。

• BOOTSTRAP_ENDPOINTS ストリングをブートストラップ・サーバーのリストとして使用し、このホストとポートのペアのストリングを Kafka クライアントに渡します。
• IAMOAuthBearerLoginCallbackHandler は、jar パッケージ com.ibm.cloud.eventstreams:oauth-client:+ によって提供されます。
• IBM Cloud® Identity and Access Management のトークンエンドポイント https://iam.cloud.ibm.com/identity/token は、jaas config で指定されたグラントタイプを使用して API キーからトークンを生成するように設定されています。 これはクライアント・サイドで行われるため、APIキーがサーバー・サイドに送信されることはない。
• Cloud Identity and Access Managementの鍵エンドポイント https://iam.cloud.ibm.com/identity/keys は、トークンを検証するように構成されています。
• grant_type sasl.jaas.config は urn:ibm:params:oauth:grant-type:apikey
• apikey の は、クライアント側でベアラートークンを生成するために使用されるAPIキーです。 sasl.jaas.config ユーザーIDかサービスIDのどちらかである。

Java ク ラ イ ア ン ト に対 し て、 以下の例は、 プ ロ パテ ィ の最小セ ッ ト を示 し ます。 こ こ では、 ${BOOTSTRAP_ENDPOINTS} と ${APIKEY} を、 以前に取得 し た値に置 き 換え てい ます。

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

信頼されたプロファイルとコンピュート・リソース・トークンを使用したSASL OAUTHBEARERの使用

すべてのプロパティは、 sasl.jaas.config が異なる以外は、 APIキーの 説明と同じである。

• grant_type sasl.jaas.config は。 urn:ibm:params:oauth:grant-type:cr-token
• profile_id の sasl.jaas.config は、信頼されたプロファイルIDを格納するファイルの場所である。 このファイルは、 Kafka クライアント・コードを実行している Kubernetes ポッドに読み取り専用ボリュームとしてマウントし、 Kafka クライアント・コードが利用できるようにすることができる。
• cr_token sasl.jaas.config にあるのは、 クライアント・コードを実行している ポッドからのサービス・アカウント・トークンを保存するファイルの場所です。 Kafka Kubernetes 詳細は サービス・ アカウント ・トークンとは を参照。

以下に例を示します。

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

信頼できるプロフィールを設定する方法については、こちらをご覧ください。

oauth クライアントのソースコードは Event Streams Java SDK を参照しています。

サンプルのクライアントコードは、 Event Streams のサンプルを参照してください。

APIキーでSASL OAUTHBEARERを使用する

必須の bootstrap.servers プロパティと、特定のプロデューサー、コンシューマー、管理者設定に加えて、以下の文字列とプロパティを使用します。

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

コンテナ化された環境で、SASL OAUTHBEARERと信頼されたプロファイルおよびコンピュート・リソース・トークンを使用する

詳細は、 コンピュート・リソースのIAMトークンの生成を 参照してください。

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

システム・プロパティー org.apache.kafka.sasl.oauthbearer.allowed.urls

Kafka 4.0 より、クライアントはSASL OAUTHBEARERトークンとjwksエンドポイントの許可されたURLを設定するシステムプロパティを必要とする。

詳細については、 システムのプロパティを 参照してください。

Apache Kafka ディストリビューションが提供する CLI クライアント・シェル・スクリプトを使用する場合、システム・プロパティは KAFKA_OPTS 環境変数を使用して設定することもできます。

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"