As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Credenciais de login rotativas
O Amazon MSK oferece suporte à rotação somente por senha, em que um segredo associado mantém um único nome de usuário e a rotação altera somente a senha. Isso corresponde à estratégia de rotação de usuário único do Secrets Manager. Depois que a senha atualizada é propagada para os corretores, novas tentativas de autenticação exigem a nova senha, e a senha anterior deixa de ser autenticada.
Alterando um nome de usuário em um segredo associado
Se o nome de usuário for alterado em um segredo que já está associado a um cluster, o Amazon MSK carrega as novas credenciais, enquanto as credenciais previamente armazenadas em cache podem permanecer disponíveis nos corretores. Essa disponibilidade contínua não é um período de sobreposição suportado ou garantido para rotação de credenciais.
O Amazon MSK não fornece um período de retenção definido para essas credenciais armazenadas em cache, portanto, não se pode confiar em sua disponibilidade durante a transição do cliente. O Amazon MSK lê somente a AWSCURRENT versão de um segredo associado e não usa AWSPREVIOUS como segunda credencial ativa. Depois que uma credencial anterior é removida dos corretores, ela não pode ser recarregada do Secrets Manager.
Substituindo um nome de usuário
Para substituir um nome de usuário sem a lacuna de autenticação causada pela dissociação e reassociação do mesmo segredo, crie um segredo separado contendo o novo nome de usuário e associe-o ao cluster usando a operação. BatchAssociateScramSecret
Configure as ACLs do Kafka necessárias, aguarde a propagação da nova credencial, verifique se ela funciona e migre seus clientes. Depois de concluir a migração, revogue o acesso do usuário anterior e desassocie o segredo antigo usando a BatchDisassociateScramSecret operação.
Essa abordagem mantém as duas credenciais intencionalmente associadas durante a transição, em vez de depender de uma credencial carregada anteriormente restante nos corretores.
Removendo credenciais retidas
Você pode usar a mesma abordagem em etapas para remover as credenciais retidas depois que um nome de usuário foi alterado em um segredo que já estava associado a um cluster. Associe segredos substitutos e migre seus clientes antes de desassociar os segredos afetados.
A desassociação então removerá as credenciais atuais e as retidas anteriormente associadas a cada segredo antigo sem interromper os clientes que migraram para as credenciais de substituição.
