APIキーでSASL OAUTHBEARERを使用する

以下のストリングとプロパティーを使用します。

• BOOTSTRAP_ENDPOINTS ストリングをブートストラップ・サーバーのリストとして使用し、このホストとポートのペアのストリングを Kafka クライアントに渡します。
• IAMOAuthBearerLoginCallbackHandler は、jar パッケージ com.ibm.cloud.eventstreams:oauth-client:+ によって提供されます。
• IBM Cloud® Identity and Access Managementのトークン・エンドポイント https://iam.cloud.ibm.com/identity/token は、jaas 構成で指定された付与タイプを使用して API キーからトークンを生成するように構成されています。 これはクライアント・サイドで行われるため、API キーがサーバー・サイドに送信されることはなく、存続期間の長い API キーよりも優れたセキュリティーを提供します。
• Cloud Identity and Access Managementの鍵エンドポイント https://iam.cloud.ibm.com/identity/keys は、トークンを検証するように構成されています。
• grant_type sasl.jaas.config は urn:ibm:params:oauth:grant-type:apikey
• apikey の は、クライアント側でベアラートークンを生成するために使用されるAPIキーです。 sasl.jaas.config ユーザーIDまたはサービスIDのいずれかである。

Java ク ラ イ ア ン ト に対 し て、 以下の例は、 プ ロ パテ ィ の最小セ ッ ト を示 し ます。 こ こ では、 ${BOOTSTRAP_ENDPOINTS} と ${APIKEY} は、 以前に取得 し た値に置 き 換え ら れます。

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

信頼されたプロファイルとコンピュート・リソース・トークンを使用したSASL OAUTHBEARERの使用

sasl.jaas.config が異なるだけで、すべてのプロパティはAPIキーと同じである。

• grant_type sasl.jaas.config は。 urn:ibm:params:oauth:grant-type:cr-token
• profile_id の は、信頼されたプロファイルIDを格納するファイルの場所である。 sasl.jaas.config このファイルは、 Kafka クライアント・コードを実行している Kubernetes ポッドに読み取り専用ボリュームとしてマウントし、 Kafka クライアント・コードが利用できるようにすることができる。
• cr_token sasl.jaas.config にあるのは、 クライアント・コードを実行している ポッドからのサービス・アカウント・トークンを保存するファイルの場所です。 Kafka Kubernetes サービス・アカウント・トークンとは 」を参照。

以下の例を参照のこと

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

信頼できるプロフィールの設定方法の 詳細

oauth クライアントのソースコードは Event Streams Java SDK を参照してください。

クライアントコードのサンプルは、 Event Streams Sampleを参照してください。

その他の Kafka クライアント・リバーについては、OAUTHBEARER サポートの実装方法に関する資料を参照してください。 例えば、次のようになります。

• sarama: AccessTokenProvider インターフェースの実装が必要です。
• librdkafka: oauthbearer_token_refresh_cb コールバックの実装が必要です。

API キーを使用して IBM Cloud IAM トークンを生成する方法については、 IBM Cloud® Identity and Access Managementの 文書 を参照してください。