使用 Kafka API

使用带有 API 密钥的 SASL OAUTHBEARER

使用以下字符串和属性。

• 使用 BOOTSTRAP_ENDPOINTS 字符串作为引导服务器的列表，并将此字符串的主机和端口对传递到 Kafka 客户机。
• IAMOAuthBearerLoginCallbackHandler 由 jar 包 com.ibm.cloud.eventstreams:oauth-client:+ 提供。
• IBM Cloud® Identity and Access Management的令牌端点 https://iam.cloud.ibm.com/identity/token 配置为使用 jaas 配置中的指定授权类型从 API 密钥生成令牌。 它是在客户机端完成的，因此不会将 API 密钥发送到服务器端，并且提供比长期存在的 API 密钥更好的安全性。
• Cloud Identity and Access Management的密钥端点 https://iam.cloud.ibm.com/identity/keys 配置为验证令牌。
• grant_type sasl.jaas.config 是 urn:ibm:params:oauth:grant-type:apikey
• apikey sasl.jaas.config 中是用于在客户端生成承载令牌的 API 密钥。 它可以来自用户或服务 ID。

对于 Java 客户端，下面的示例显示了最小属性集，其中 ${BOOTSTRAP_ENDPOINTS} 和 ${APIKEY} 将由您之前获取的值取代。

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

使用带有可信配置文件和计算资源令牌的 SASL OAUTHBEARER

除了 sasl.jaas.config 不同之外，所有属性都与 API 密钥相同。

• grant_type sasl.jaas.config 是。urn:ibm:params:oauth:grant-type:cr-token
• profile_id 中的 是存储可信配置文件 ID 的文件位置。sasl.jaas.config 该文件可作为只读卷挂载到运行 Kafka 客户端代码的 Kubernetes pod 上，并供 Kafka 客户端代码使用。
• cr_token 中的 是一个文件位置，存储来自运行 客户端代码的 pod 的服务帐户令牌。sasl.jaas.config Kafka Kubernetes 请参阅 什么是服务帐户令牌。

请看下面的例子

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

有关 如何设置受信任的个人资料的 更多详情

oauth 客户端的源代码请参阅 Event Streams Java SDK。

客户端代码示例请参阅 Event Streams Sample。

有关其他 Kafka 客户机属性，请参阅有关如何实现 OAUTHBEARER 支持的文档。 例如:。

• sarama: 需要 AccessTokenProvider 接口的实现。
• librdkafka: 需要 oauthbearer_token_refresh_cb 回调的实现。

有关如何使用 API 密钥生成 IBM Cloud IAM 令牌的信息，请参阅 IBM Cloud® Identity and Access Management的 文档。