使用 Kafka API

使用 SASL OAUTHBEARER 與 API 金鑰

請使用下列字串及內容。

• 使用 BOOTSTRAP_ENDPOINTS 字串作為引導伺服器的清單，並將此主機及埠配對字串傳遞至 Kafka 用戶端。
• IAMOAuthBearerLoginCallbackHandler 由 jar 套件 com.ibm.cloud.eventstreams:oauth-client:+ 提供。
• IBM Cloud® Identity and Access Management 的令牌端點 https://iam.cloud.ibm.com/identity/token 已設定為使用 jaas config 中指定的授予類型從 API 金鑰產生令牌。 它是在客戶端完成的，因此 API 金鑰永遠不會傳送到伺服器端，這提供了比長期使用的 API 金鑰更好的安全性。
• Cloud Identity and Access Management的金鑰端點 https://iam.cloud.ibm.com/identity/keys 已配置為驗證記號。
• grant_type 在 是 sasl.jaas.config urn:ibm:params:oauth:grant-type:apikey
• apikey sasl.jaas.config 中是用於在用戶端生成承載令牌的 API 密鑰。 它可以來自使用者或服務 ID。

對於 Java 用戶端，以下範例顯示最小的屬性集，其中您將 ${BOOTSTRAP_ENDPOINTS}，和 ${APIKEY} 替換為之前擷取的值。

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.cloud.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:apikey" apikey="${APIKEY}";

使用 SASL OAUTHBEARER 與可信設定檔和運算資源標記

除了 sasl.jaas.config 不同之外，所有屬性都與 API 金鑰 的描述相同。

• grant_type 在 是。sasl.jaas.config urn:ibm:params:oauth:grant-type:cr-token
• profile_id 中 sasl.jaas.config 是儲存可信設定檔 ID 的檔案位置。 此檔案可以只讀磁碟區的方式掛載到執行 Kafka 用戶端程式碼的 Kubernetes pod 上，並提供給 Kafka 用戶端程式碼使用。
• cr_token 中的 是一個檔案位置，儲存來自執行 用戶端程式碼的 pod 的服務帳號符記。sasl.jaas.config Kafka Kubernetes 如需詳細資訊，請參閱 何謂服務帳戶令牌。

例如：

bootstrap.servers=${BOOTSTRAP_ENDPOINTS}
security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.oauthbearer.token.endpoint.url=https://iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://iam.cloud.ibm.com/identity/keys
sasl.login.callback.handler.class=com.ibm.eventstreams.oauth.client.IAMOAuthBearerLoginCallbackHandler
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required grant_type="urn:ibm:params:oauth:grant-type:cr-token" profile_id="${TRUSTED_PROFILE_ID_FILE_PATH}" cr_token="${SERVICE_ACCOUNT_TOKEN_FILE_PATH}";

您可以找到更多關於 如何設定受信任的個人資料的 詳細資訊。

oauth 客戶端的原始碼參考 Event Streams Java SDK。

範例用戶端程式碼是指 Event Streams 範例。

使用 SASL OAUTHBEARER 與 API 金鑰

除了必須的 bootstrap.servers 屬性以及任何特定的生產者、消費者和管理者設定之外，請使用下列字串和屬性。

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:apikey" \
    apikey="${YOUR_IBM_CLOUD_API_KEY}";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

在容器化環境中使用 SASL OAUTHBEARER 與可信設定檔和運算資源標記

如需詳細資訊，請參閱 為計算資源產生 IAM 令牌。

security.protocol=SASL_SSL
sasl.mechanism=OAUTHBEARER
sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required \
    grant_type="urn:ibm:params:oauth:grant-type:cr-token" \
    cr_token="/path/to/cr-token-file" \
    profile_id="/path/to/profile-id-file";
sasl.login.callback.handler.class=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginCallbackHandler
sasl.oauthbearer.jwt.retriever.class=com.ibm.cloud.eventstreams.oauth.client.IAMTokenRetriever
sasl.oauthbearer.token.endpoint.url=https://private.iam.cloud.ibm.com/identity/token
sasl.oauthbearer.jwks.endpoint.url=https://private.iam.cloud.ibm.com/identity/keys

系統內容 org.apache.kafka.sasl.oauthbearer.allowed.urls

從 Kafka 4.0，用戶端需要一個系統屬性來設定 SASL OAUTHBEARER 令牌和 jwks 端點的允許 URL。

如需詳細資訊，請參閱 系統屬性。

使用 Apache Kafka 發行版提供的 CLI 用戶端 shell 腳本時，也可以使用 KAFKA_OPTS 環境變數設定系統屬性。

export KAFKA_OPTS="-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls=https://private.iam.cloud.ibm.com/identity/keys,https://private.iam.cloud.ibm.com/identity/token,https://api.metadata.cloud.ibm.com/identity/v1/iam_tokens"