Kafka API 사용

API 키와 함께 SASL OAUTHBEARER 사용

다음 문자열 및 특성을 사용하십시오.

• BOOTSTRAP_ENDPOINTS 문자열을 부트스트랩 서버의 목록으로 사용하고 호스트 및 포트 쌍의 이 문자열을 Kafka 클라이언트에 전달하십시오.
• IAMOAuthBearerLoginCallbackHandler 는 jar 패키지 com.ibm.cloud.eventstreams:oauth-client:+ 에서 제공됩니다.
• IBM Cloud® Identity and Access Management의 토큰 엔드포인트 https://iam.cloud.ibm.com/identity/token 는 jaas 구성에서 지정된 권한 부여 유형을 사용하여 API키에서 토큰을 생성하도록 구성됩니다. 이는 클라이언트 측에서 수행되므로 API키는 서버 측으로 전송되지 않으며 수명이 긴 API키보다 더 나은 보안을 제공합니다.
• Cloud Identity and Access Management의 키 엔드포인트 https://iam.cloud.ibm.com/identity/keys 는 토큰의 유효성을 검증하도록 구성됩니다.
• grant_type sasl.jaas.config 에서 urn:ibm:params:oauth:grant-type:apikey
• apikey 의 sasl.jaas.config 는 클라이언트 측에서 무기명 토큰을 생성하는 데 사용되는 API 키입니다. 사용자 또는 서비스 ID 중 하나에서 가져올 수 있습니다.

Java 클라이언트의 경우 다음 예에서는 ${BOOTSTRAP_ENDPOINTS} 및 ${APIKEY} 을 이전에 검색한 값으로 대체할 최소 속성 집합을 보여 줍니다.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

신뢰할 수 있는 프로필 및 컴퓨팅 리소스 토큰과 함께 SASL OAUTHBEARER 사용

API 키는 sasl.jaas.config 가 다르다는 점을 제외하면 모든 속성이 동일합니다.

• grant_type 의 sasl.jaas.config 은 urn:ibm:params:oauth:grant-type:cr-token 입니다.
• profile_id 에서 sasl.jaas.config 는 신뢰할 수 있는 프로필 ID를 저장하는 파일 위치입니다. 이 파일은 Kafka 클라이언트 코드를 실행하는 Kubernetes 파드에 읽기 전용 볼륨으로 마운트하여 Kafka 클라이언트 코드에서 사용할 수 있도록 할 수 있습니다.
• cr_token 의 sasl.jaas.config 는 Kafka 클라이언트 코드를 실행하는 Kubernetes 파드의 서비스 계정 토큰을 저장하는 파일 위치입니다. 서비스 계정 토큰이란 무엇인가 요?

아래 예시를 참조하세요

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

신뢰할 수 있는 프로필을 설정하는 방법에 대한 자세한 내용

Oauth 클라이언트의 소스 코드는 Event Streams Java SDK를 참조하세요.

샘플 클라이언트 코드는 Event Streams 샘플을 참조하세요.

기타 Kafka 클라이언트 라이브러리의 경우 OAUTHBEARER 지원을 구현하는 방법에 대한 문서를 참조하십시오. 예:.

• sarama: AccessTokenProvider 인터페이스의 구현이 필요합니다.
• librdkafka: oauthbearer_token_refresh_cb 콜백을 구현해야 합니다.

API키를 사용하여 IBM Cloud IAM 토큰을 생성하는 방법에 대한 정보는 IBM Cloud® Identity and Access Management의 문서 를 참조하십시오.