Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Siapkan prasyarat untuk MSK Replicator dengan cluster Apache Kafka yang dikelola sendiri

Membuat peran eksekusi IAM

Buat peran IAM dengan kebijakan kepercayaan untukkafka.amazonaws.com. Lampirkan kebijakan AWSMSKReplicatorExecutionRole yang dikelola. Kebijakan terkelola memberikan izin Kafka tingkat cluster, topik, dan grup konsumen yang dibutuhkan Replicator, tetapi tidak menyer takan AWS Secrets Manager atau AWS KMS izin, yang diperlukan untuk otentikasi dan kredenSIAL. SASL/SCRAM CMK-encrypted Untuk cuplikan kebijakan sebaris yang akan ditambahkan, lihat. Izin SER tambahan untuk SASL/SCRAM, MTL SASL/OAUTHBEARER, dan kunci yang dikelola pelanggan

Contoh kebijakan kepercayaan:

{
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "kafka.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

Konfigurasikan SASL/SCRAM izin pengguna dan ACL

Buat pengguna SCRAM khusus di klaster Kafka yang dikelola sendiri. Izin ACL berikut diperlukan:

Contoh perintah kafka-acls.sh:

# Grant Read and Describe on all topics
kafka-acls.sh --bootstrap-server <broker>:9092 \
  --add --allow-principal User:msk-replicator \
  --operation Read --operation Describe \
  --topic '*'

# Grant Read and Describe on all consumer groups
kafka-acls.sh --bootstrap-server <broker>:9092 \
  --add --allow-principal User:msk-replicator \
  --operation Read --operation Describe \
  --group '*'

# Grant Describe on cluster
kafka-acls.sh --bootstrap-server <broker>:9092 \
  --add --allow-principal User:msk-replicator \
  --operation Describe --cluster

Konfigurasikan MTL pada cluster yang dikelola sendiri

Konfigurasikan pendengar SSL pada broker Kafka yang dikelola sendiri dengan. ssl.client.auth=required Truststore broker harus berisi sertifikat CA yang menandatangani sertifikat klien yang akan Anda gunakan untuk MSK Replicator.

Berikan izin ACL ke prinsipal Kafka yang berasal dari Distinguished Name (DN) sertifikat klien. Izin yang diperlukan adalah: Baca dan Jelaskan pada semua topik, Baca dan Jelaskan pada semua grup konsumen, dan Jelaskan pada sumber daya cluster.

Konfigurasikan SASL/OAUTHBEARER (OAuth) pada cluster yang dikelola sendiri

Dengan SASL/OAUTHBEARER, MSK Replicator memperoleh token akses dari penyedia identitas Anda (IDP) dan menyajikannya ke cluster Kafka yang dikelola sendiri selama jabat tangan (RFC 7628). SASL/OAUTHBEARER Konfigurasikan broker Anda dengan pen SASL_SSL dengar yang telah OAUTHBEARER diaktifkansasl.enabled.mechanisms, dan konfigurasikan validasi token sisi broker yang dikeluarkan oleh IDP Anda.

Berikan prinsipal Kafka bahwa IDP Anda memetakan token akses ke izin ACL yang diperlukan MSK Replicator pada cluster sumber.

MSK Replicator mendukung mekanisme berikut untuk memperoleh token akses. Anda memilih satu ketika Anda membuat Replicator (lihatCreateReplicator Contoh API untuk cluster Kafka yang dikelola sendiri).

Persyaratan berikut berlaku untuk titik akhir token:

Konfigurasikan SSL pada cluster yang dikelola sendiri

Konfigurasikan pendengar SSL di broker Anda. Untuk sertifikat yang dipercaya secara publik, tidak diperlukan konfigurasi tambahan. Untuk sertifikat pribadi atau yang ditandatangani sendiri, sertakan rantai sertifikat CA lengkap dalam rahasia yang disimpan di Manajer AWS Rahasia.

Simpan kredensi di AWS Manajer Rahasia

Buat rahasia tipe O ther (not RDS/Redshift) di AWS Secrets Manager dengan pasangan kunci-nilai yang sesuai untuk jenis otentikasi Anda.

Untuk SASL/SCRAM:

Untuk MTL:

Untuk SASL/OAUTHBEARER:

Rahasia diperlukan untuk mekanisme kredenSIAL klien dan opsional untuk pembawa IAM JWT dan mekanisme pernyataan kredenSIAL klien (berikan hanya jika IDP Anda mengharuskan klien untuk juga mengotentikasi). Rahasianya adalah objek JSON datar dari pasangan kunci-nilai. MSK Replicator mengenali kunci berikut:

Kunci selain client_id dan client_secret yang tidak menggunakan salah satu dari awalan ini diabaikan. Berikut ini adalah contoh nilai rahasia untuk mekanisme kredenSIAL klien:

{
  "client_id": "my-oauth-client",
  "client_secret": "example-client-secret",
  "custom_param.resource": "urn:example:kafka"
}

Konfigurasikan konektivitas jaringan

MSK Replicator memerlukan konektivitas jaringan ke cluster Kafka yang dikelola sendiri. Opsi yang didukung:

Jika Anda menggunakan SASL/OAUTHBEARER, titik akhir token juga harus dapat dijangkau dari subnet VPC yang Anda sediakan untuk Replicator. Untuk IDP yang dihosting di internet, ini biasanya memerlukan gateway internet, gateway NAT, dan entri tabel rute; untuk IDP lokal atau pribadi, gunakan AWS Site-to-Site VPN atau Direct Connect. AWS Titik akhir token tidak boleh diselesaikan ke alamat loopback, link-local, atau AWS metadata.

Konfigurasikan grup keamanan

Pastikan grup keamanan mengizinkan lalu lintas antara MSK Replicator dan cluster yang dikelola sendiri pada port yang digunakan oleh pendengar otentikasi Anda. Perbarui aturan masuk pada grup keamanan VPC dan aturan keluar pada firewall cluster yang dikelola sendiri.