Usando a API do Kafka

Uso do SASL OAUTHBEARER com chave de API

Use as seguintes sequências e propriedades.

• Use a string BOOTSTRAP_ENDPOINTS como a lista de servidores de bootstrap e passe esta sequência de pares host e porta para o seu cliente Kafka.
• O IAMOAuthBearerLoginCallbackHandler é fornecido pelo pacote jar com.ibm.cloud.eventstreams:oauth-client:+..
• O ponto de extremidade do token do IBM Cloud® Identity and Access Management https://iam.cloud.ibm.com/identity/token está configurado para gerar um token a partir da chave da API usando o tipo de concessão especificado na configuração do jaas. Isso é feito no lado do cliente, portanto, a chave de API nunca é enviada para o lado do servidor, o que proporciona mais segurança do que uma chave de API de longa duração.
• O terminal de chave do Cloud Identity and Access Management https://iam.cloud.ibm.com/identity/keys é configurado para validar o token
• grant_type em sasl.jaas.config é urn:ibm:params:oauth:grant-type:apikey
• apikey em sasl.jaas.config é a chave de API usada para gerar o token de portador no lado do cliente. Pode ser de um ID de usuário ou de serviço.

Para um cliente Java, o exemplo a seguir mostra o conjunto mínimo de propriedades, em que você substitui ${BOOTSTRAP_ENDPOINTS} e ${APIKEY} pelos valores recuperados anteriormente.

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

Usando o SASL OAUTHBEARER com perfil confiável e token de recurso de computação

Todas as propriedades são as mesmas descritas para a chave de API, exceto o endereço sasl.jaas.config, que é diferente.

• grant_type em sasl.jaas.config é urn:ibm:params:oauth:grant-type:cr-token.
• profile_id em sasl.jaas.config é um local de arquivo que armazena a ID do perfil confiável. Esse arquivo pode ser montado em um pod Kubernetes que esteja executando o código de cliente Kafka como um volume somente leitura e disponibilizado para o código de cliente Kafka.
• cr_token em sasl.jaas.config é um local de arquivo que armazena o token da conta de serviço de um pod Kubernetes que executa o código de cliente Kafka. Para obter mais informações, consulte O que é um token de conta de serviço.

Por exemplo:

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

Você pode encontrar mais detalhes sobre Como configurar um perfil confiável.

O código-fonte do cliente oauth refere-se ao SDK Event Streams Java.

O código de cliente de amostra refere-se à amostra Event Streams.

Uso do SASL OAUTHBEARER com chave de API

Use as seguintes cadeias de caracteres e propriedades, além da propriedade obrigatória bootstrap.servers e quaisquer configurações específicas de produtor, consumidor e administrador.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Uso do SASL OAUTHBEARER com um perfil confiável e um token de recurso de computação em ambientes de contêineres

Para obter mais informações, consulte Geração de um token IAM para um recurso de computação.

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

Propriedade de sistema org.apache.kafka.sasl.oauthbearer.allowed.urls

Em Kafka 4.0, o cliente requer uma propriedade do sistema para definir os URLs permitidos do token SASL OAUTHBEARER e dos pontos de extremidade jwks.

Para obter mais informações, consulte propriedades do sistema.

Ao usar os scripts de shell do cliente CLI fornecidos pela distribuição Apache Kafka, a propriedade do sistema também pode ser definida usando a variável de ambiente KAFKA_OPTS.

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"