Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

IAMcontrol de acceso

IAMel control de acceso para Amazon MSK le permite gestionar tanto la autenticación como la autorización de su MSK clúster. Esto elimina la necesidad de utilizar un mecanismo de autenticación y otro mecanismo de autorización. Por ejemplo, cuando un cliente intenta escribir en tu clúster, Amazon MSK comprueba IAM si ese cliente es una identidad autenticada y también si está autorizado a producir en tu clúster. IAMel control de acceso funciona para clientes Java y no Java, incluidos los clientes Kafka escritos en Python JavaScript, Go y. NET.

Amazon MSK registra los eventos de acceso para que puedas auditarlos. Para obtener más información, consulte Registrar API llamadas con AWS CloudTrail.

Para hacer posible el control de IAM acceso, Amazon MSK realiza pequeñas modificaciones en el código fuente de Apache Kafka. Estas modificaciones no supondrán una diferencia notable en su experiencia con Apache Kafka.

Cómo MSK funciona el control de IAM acceso de Amazon

Para usar el control de IAM acceso de AmazonMSK, realiza los siguientes pasos, que se describen en detalle en el resto de esta sección.

Cree un clúster que utilice el control de IAM acceso

En esta sección se explica cómo puede utilizar el AWS Management Console API, el o el AWS CLI para crear un clúster que utilice el control de IAM acceso. Para obtener información sobre cómo activar el control de IAM acceso en un clúster existente, consulteActualización de la configuración de seguridad de un clúster.

Configure los clientes para IAM el control de acceso

Para permitir que los clientes se comuniquen con un MSK clúster que usa el control de IAM acceso, puede usar uno de estos mecanismos:

Uso del OAUTHBEARER mecanismo SASL _ para configurar IAM

Uso del IAM mecanismo AWS _ MSK _ MSK personalizado para configurar IAM

El complemento de MSK cliente de Amazon es de código abierto bajo la licencia Apache 2.0.

Creación de políticas de autorización

Adjunte una política de autorización al IAM rol que corresponda al cliente. En una política de autorización, se especifican las acciones que se van a permitir o denegar para el rol. Si tu cliente está en una EC2 instancia de Amazon, asocia la política de autorización al IAM rol de esa EC2 instancia de Amazon. Como alternativa, puede configurar su cliente para que utilice un perfil con nombre y, a continuación, asociar la política de autorización al rol de ese perfil con nombre. Configure los clientes para IAM el control de acceso describe cómo configurar un cliente para utilizar un perfil con nombre asignado.

Para obtener información sobre cómo crear una IAM política, consulta Creación de IAM políticas.

A continuación se muestra un ejemplo de política de autorización para un clúster denominado MyTestCluster. Para entender la semántica de los elementos Action y Resource, consulte Semántica de acciones y recursos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:Connect",
                "kafka-cluster:AlterCluster",
                "kafka-cluster:DescribeCluster"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:cluster/MyTestCluster/abcd1234-0123-abcd-5678-1234abcd-1"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:*Topic*",
                "kafka-cluster:WriteData",
                "kafka-cluster:ReadData"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:topic/MyTestCluster/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:AlterGroup",
                "kafka-cluster:DescribeGroup"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:group/MyTestCluster/*"
            ]
        }
    ]
}

Para obtener información sobre cómo crear una política con elementos de acción que se correspondan con los casos de uso habituales de Apache Kafka, como la producción y el consumo de datos, consulte Casos de uso comunes.

En las versiones 2.8.0 y posteriores de Kafka, el WriteDataIdempotentlypermiso está obsoleto (KIP-679). Se utiliza enable.idempotence = true de forma predeterminada. Por lo tanto, para las versiones 2.8.0 y posteriores de Kafka, IAM no ofrece la misma funcionalidad que Kafka. ACLs No es posible conceder el permiso WriteDataIdempotently a un tema proporcionando únicamente acceso WriteData a ese tema. Esto no afecta al caso cuando WriteData se proporciona a los temas. ALL En ese caso, WriteDataIdempotently está permitido. Esto se debe a las diferencias entre la implementación de la IAM lógica y la forma en que ACLs se implementa la teoría de Kafka.

Para solucionar este problema, recomendamos utilizar una política similar a la del siguiente ejemplo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:Connect",
                "kafka-cluster:AlterCluster",
                "kafka-cluster:DescribeCluster",
                "kafka-cluster:WriteDataIdempotently"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:cluster/MyTestCluster/abcd1234-0123-abcd-5678-1234abcd-1"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:*Topic*",
                "kafka-cluster:WriteData",
                "kafka-cluster:ReadData"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:topic/MyTestCluster/abcd1234-0123-abcd-5678-1234abcd-1/TestTopic"
            ]
        }
    ]
}

En este caso, WriteData permite escribir en TestTopic y, al mismo tiempo, WriteDataIdempotently permite escrituras idempotentes en el clúster. Es importante tener en cuenta que WriteDataIdempotently es un permiso de clúster. No se puede usar en el ámbito de tema. Si WriteDataIdempotently se limita al tema, esta política no funcionará.

Obtenga los mejores intermediarios para el control de acceso IAM

Consulte Obtener los agentes de arranque para un clúster de Amazon MSK.

Semántica de acciones y recursos

En esta sección se explica la semántica de los elementos de acción y recursos que puede utilizar en una política de IAM autorización. Para ver una política de ejemplo, consulte Creación de políticas de autorización.

Acciones

En la siguiente tabla se enumeran las acciones que puedes incluir en una política de autorización cuando utilizas el control de IAM acceso para AmazonMSK. Si incluye en su política de autorización una acción de la columna Acción de la tabla, también debe incluir las acciones correspondientes de la columna Acciones obligatorias.

Puede utilizar el carácter comodín asterisco (*) cualquier número de veces en una acción después de los dos puntos. A continuación se muestran algunos ejemplos.

Recursos

En la siguiente tabla se muestran los cuatro tipos de recursos que puedes usar en una política de autorización cuando utilizas el control de IAM acceso para AmazonMSK. Puede obtener el nombre de recurso de Amazon (ARN) del clúster AWS Management Console o mediante el comando DescribeClusterAPI AWS CLIdescribe-cluster. A continuación, puede utilizar el clúster ARN para crear el tema, el grupo y el identificador de la transacción. ARNs Para especificar un recurso en una política de autorización, utilice el recurso de ARN ese recurso.

Puede utilizar el comodín asterisco (*) tantas veces como desee en cualquier lugar de la parte ARN que viene después de,, y. :cluster/ :topic/ :group/ :transactional-id/ A continuación, se muestran algunos ejemplos de cómo puede utilizar el carácter comodín asterisco (*) para hacer referencia a varios recursos:

Casos de uso comunes

En la primera columna de la tabla siguiente se muestran algunos casos de uso habituales. Para autorizar a un cliente a llevar a cabo un caso de uso determinado, incluya las acciones necesarias para ese caso de uso en la política de autorización del cliente y establezca Effect en Allow.

Para obtener información sobre todas las acciones que forman parte del control de IAM acceso de AmazonMSK, consulteSemántica de acciones y recursos.