使用 Kafka API

使用 SASL OAUTHBEARER 與 API 金鑰

請使用下列字串及內容。

• 使用 BOOTSTRAP_ENDPOINTS 字串作為引導伺服器的清單，並將此主機及埠配對字串傳遞至 Kafka 用戶端。
• IAMOAuthBearerLoginCallbackHandler 由 jar 套件 com.ibm.cloud.eventstreams:oauth-client:+ 提供。
• IBM Cloud® Identity and Access Management的記號端點 https://iam.cloud.ibm.com/identity/token 配置為使用 jaas 配置中指定的授權類型從 API 金鑰產生記號。 它是在用戶端執行，因此 API 金鑰永遠不會傳送至伺服器端，且提供比長期 API 金鑰更好的安全。
• Cloud Identity and Access Management的金鑰端點 https://iam.cloud.ibm.com/identity/keys 已配置為驗證記號。
• grant_type 在 是 sasl.jaas.config urn:ibm:params:oauth:grant-type:apikey
• apikey sasl.jaas.config 中是用於在用戶端生成承載令牌的 API 密鑰。 它可以來自使用者或服務 Id。

對於 Java 用戶端，以下範例顯示了最小屬性集，其中 ${BOOTSTRAP_ENDPOINTS}，和 ${APIKEY} 將被您之前擷取的值取代。

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

使用 SASL OAUTHBEARER 與可信設定檔和運算資源標記

除了 sasl.jaas.config 不同之外，所有屬性都與 API key 相同。

• grant_type 在 是。sasl.jaas.config urn:ibm:params:oauth:grant-type:cr-token
• profile_id 中 是儲存可信設定檔 ID 的檔案位置。sasl.jaas.config 此檔案可以只讀磁碟區的方式掛載到執行 Kafka 用戶端程式碼的 Kubernetes pod 上，並提供給 Kafka 用戶端程式碼使用。
• cr_token 中的 是一個檔案位置，儲存來自執行 用戶端程式碼的 pod 的服務帳號符記。sasl.jaas.config Kafka Kubernetes 請參閱 什麼是服務帳戶令牌。

請參閱以下範例

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

更多關於 如何設定可信設定檔的 詳細資訊

oauth 客戶端的原始碼請參考 Event Streams Java SDK。

客戶端程式碼範例請參考 Event Streams Sample。

如需其他 Kafka 用戶端程式庫，請參閱其說明文件，以瞭解如何實作 OAUTHBEARER 支援。 例如:。

• sarama: 需要實作 AccessTokenProvider 介面。
• librdkafka: 需要實作 oauthbearer_token_refresh_cb 回呼。

如需如何使用 API 金鑰來產生 IBM Cloud IAM 記號的相關資訊，請參閱 IBM Cloud® Identity and Access Management的 文件。