使用 mTLS 進行身分驗證，以便從 Amazon 擷取 Redshift 串流 MSK

作為初步步驟，您必須擁有或建立私有憑證授權機構 （PCA），您可以使用它來發行憑證，以透過安全通訊管道啟用安全通訊。 AWS Private Certificate Authority （Private CA） 是執行此函數的可用服務。如需詳細資訊，請參閱 AWS Private Certificate Authority 使用者指南 中的建立私有 CA。在稍後的步驟中，您會發出憑證並將其連接至您的 Amazon MSK叢集，以啟用與 Redshift 的加密通訊。

建立支援 mtls 用戶端身分驗證的 Amazon MSK叢集。如需設定 Amazon MSK叢集的詳細資訊，請參閱 Amazon Managed Streaming for Apache Kafka 開發人員指南 中的如何建立支援用戶端身分驗證的叢集。

編輯 Amazon MSK叢集的安全設定，使用 AWS Certificate Manager （ACM） 開啟TLS用戶端身分驗證，然後選擇您先前建立的 AWS Private CA （PCA）。如需詳細資訊，請參閱 Amazon Managed Streaming for Apache Kafka 開發人員指南 中的更新叢集的安全性設定。

透過 請求私有憑證ACM。執行此操作時，請選取PCA您在先決條件區段中建立的 做為憑證授權機構。ACM 會儲存已簽署的憑證和連接的私有金鑰，以進行安全通訊。如需使用 管理憑證的詳細資訊ACM，請參閱 AWS Certificate Manager 使用者指南 中的發行和管理憑證。

對於您用來管理 Redshift 叢集或 Amazon Redshift Serverless 工作群組IAM的角色，請連接匯出憑證的許可，即 acm：ExportCertificate。如需使用 Amazon 設定串流擷取必要IAM資源的詳細資訊MSK，請參閱 從 Kafka 設定IAM許可和執行串流擷取。在下一個步驟中指定相同的IAM角色，以建立外部結構描述。

取得 Amazon MSK叢集URI的引導代理程式。取得引導代理程式URI詳述於 Amazon Managed Streaming for Apache Kafka 開發人員指南 中的取得 Amazon MSK叢集的引導代理程式。

執行類似下列範例的SQL命令，以使用 建立外部結構描述，將 Amazon MSK叢集中的串流映射至 Redshift 外部結構描述mtls。

CREATE EXTERNAL SCHEMA my_schema
FROM MSK
IAM_ROLE 'arn:aws:iam::012345678901:role/my_role'
AUTHENTICATION mtls
URI 'b-1.myTestCluster.123z8u.c2.kafka.us-west-1.amazonaws.com:9094,b-2.myTestCluster.123z8u.c2.kafka.us-west-1.amazonaws.com:9094'
AUTHENTICATION_ARN 'arn:aws:acm:Region:444455556666:certificate/certificate_ID';

重要參數：

使用您選擇的工具建立憑證簽署請求和私有金鑰。然後，您可以使用簽署請求來產生簽署的憑證，使用與用來產生 Amazon MSK叢集憑證的相同 AWS 私有 CA （PCA）。如需發出憑證的詳細資訊，請參閱 參考 IssueCertificate中的 。 AWS Private Certificate Authority API

使用 擷取憑證 AWS Private Certificate Authority。如需詳細資訊，請參閱 AWS Private Certificate Authority 使用者指南 中的擷取私有憑證＞。

將上一個步驟中產生的憑證和私有金鑰儲存在 中 AWS Secrets Manager。選擇Other type of secret並使用純文字格式。索引鍵值對的格式應該為 {"certificate":"<cert value>","privateKey":"<pkey value>"}，如下列範例所示。如需在 中建立和管理秘密的詳細資訊 AWS Secrets Manager，請參閱 AWS Secrets Manager 使用者指南 中的使用 建立和管理秘密 AWS Secrets Manager。

{"certificate":"-----BEGIN CERTIFICATE-----
klhdslkfjahksgdfkgioeuyihbflahabhbdslv6akybeoiwv1hoaiusdhbahsbdi 
H4hAX8/eE96qCcjkpfT84EdvHzp6fC+/WwM0oXlwUEWlvfMCXNaG5D8SqRq3qA==
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
klhdslkfjahksgdfkgioeuyihbflahabhbdslv6akybeoiwv1hoaiusdhbahsbdi 
wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
-----END CERTIFICATE-----",
"privateKey":"-----BEGIN PRIVATE KEY-----
klhdslkfjahksgdfkgioeuyihbflahabhbdslv6akybeoiwv1hoaiusdhbahsbdi
7OD4m1dBEs3Fj++hDMH9rYRp99RqtCOf0EWOUe139KOilOsW+cyhAoc9Ci2+Jo/k
17u2N1iGILMQEZuCRtnJOkFYkw==
-----END PRIVATE KEY-----"}

在 Redshift 中，執行 SQL命令以建立外部結構描述。您可以使用 AUTHENTICATION類型mtls。您也可以在 ARN中指定 Amazon MSK叢集URI的 和秘密 AWS Secrets Manager。

CREATE EXTERNAL SCHEMA my_schema
FROM MSK
IAM_ROLE 'arn:aws:iam::012345678901:role/my_role'
AUTHENTICATION mtls
URI 'b-1.myTestCluster.123z8u.c2.kafka.us-west-1.amazonaws.com:9094,b-2.myTestCluster.123z8u.c2.kafka.us-west-1.amazonaws.com:9094'
SECRET_ARN 'arn:aws:secretsmanager:us-east-1:012345678910:secret:myMTLSSecret';