Configura l'autenticazione SASL

I client possono connettersi ai cluster Managed Service per Apache Kafka utilizzando l'API Apache Kafka open source. Tutte le connessioni devono essere criptate utilizzando TLS; la comunicazione in testo non crittografato non è supportata. L'autenticazione viene gestita tramite uno dei due meccanismi supportati, ognuno con un tipo di credenziale diverso: SASL o mTLS.

Questo documento descrive come eseguire l'autenticazione utilizzando il metodo SASL. I client eseguono l'autenticazione utilizzando le credenziali di un'entità Identity and Access Management autorizzata, ad esempio un account di servizio. Managed Service per Apache Kafka gestisce i certificati broker lato server per tutte le connessioni.

Prima di iniziare

Scopri ulteriori informazioni su:

• Panoramica dei service account

• Autenticarsi all'API Managed Kafka

• Identificatori entità

Concedi il ruolo Managed Kafka Client al account di servizio

Devi concedere il ruolo IAM roles/managedkafka.client nel progetto contenente il cluster al service account che utilizzerai per connetterti al cluster.

Il ruolo Managed Kafka Client include l'autorizzazione managedkafka.clusters.connect richiesta per tutte le connessioni. Per concedere il ruolo di client Kafka gestito al account di servizio, segui questi passaggi:

Console

1. Nella console Google Cloud vai alla pagina IAM.
   Vai a IAM
2. Verifica che il progetto sia impostato sul progetto consumer a cui accederà il client Managed Service per Apache Kafka.
3. Fai clic su Concedi l'accesso.
4. Nella nuova pagina, in Aggiungi entità, inserisci l'indirizzo email del account di servizio che stai utilizzando.
5. In Assegna i ruoli, seleziona il ruolo Client Kafka gestito.
6. Fai clic su Salva.

gcloud CLI

1. Nella console Google Cloud , attiva Cloud Shell.

   Attiva Cloud Shell

   Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell e viene visualizzato un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installata e con valori già impostati per il progetto corrente. L'inizializzazione della sessione può richiedere alcuni secondi.

2. Esegui il comando gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
     --role roles/managedkafka.client

   Sostituisci quanto segue:

   • PROJECT_ID è l'ID progetto.

   • SERVICE_ACCOUNT_EMAIL è l'indirizzo email del account di servizio.

Configura il client Kafka per l'autenticazione su Google Cloud

Puoi autenticare i client Kafka in Google Cloud utilizzando uno dei seguenti meccanismi:

OAUTHBEARER (consigliato): questo meccanismo richiede l'utilizzo Credenziali predefinite dell'applicazione (ADC). Le credenziali predefinite dell'applicazione sono una strategia utilizzata dalle librerie di autenticazione per trovare automaticamente le credenziali in base all'ambiente dell'applicazione. Per saperne di più su dove e in quale ordine ADC cerca le credenziali, consulta Come funzionano le credenziali predefinite dell'applicazione.

SASL/PLAIN: questo meccanismo richiede l'utilizzo di un nome utente e una password che possono essere derivati da un file JSON della chiave del account di servizio o da un token di accesso.

In generale, OAUTHBEARER è l'opzione consigliata. Tuttavia, SASL/PLAIN potrebbe essere un meccanismo più pratico per i test.

Autenticazione OAuthBearer

Per informazioni su come eseguire l'autenticazione all'API Kafka open source, consulta la documentazione su GitHub.

Autenticazione SASL/PLAIN

Managed Service per Apache Kafka supporta l'autenticazione SASL/PLAIN con un file JSON della chiave del service account o un token di accesso.

File JSON della chiave del service account

Attenzione:le chiavi dei service account comportano un rischio per la sicurezza se non vengono gestite correttamente. Sei responsabile della sicurezza della chiave privata e di altre operazioni descritte in Best practice per la gestione account di servizio account. Se non riesci a creare una chiave del service account, la creazione di chiavi del service account potrebbe essere disabilitata per la tua organizzazione. Per ulteriori informazioni, vedi Gestione delle risorse dell'organizzazione sicure per impostazione predefinita.

Se hai acquisito la chiave del service account da una fonte esterna, devi convalidarla prima dell'utilizzo. Per maggiori informazioni, consulta Requisiti di sicurezza per le credenziali di origine esterna.

Questo metodo è applicabile a tutti i client Kafka.

1. Scarica un file JSON della chiave del service account per il account di servizio che intendi utilizzare per il tuo cliente.

2. Codifica il file del account di servizio utilizzando la codifica base64 da utilizzare come stringa di autenticazione. Supponi che il nome file sia my_service_account_key.json.

   Sui sistemi Linux o macOS, utilizza il comando base64 (spesso installato per impostazione predefinita) come segue:

   base64 -w 0 < my_service_account_key.json > password.txt
   

   Questo comando esegue le seguenti azioni:

   • base64 < my_service_account_key.json: Legge i contenuti del file denominato my_service_account_key.json.

   • Codifica i contenuti del file utilizzando la codifica base64. La codifica Base64 è un modo per rappresentare i dati binari (come i dati JSON nel file dell'account di servizio) come testo ASCII. Viene spesso utilizzato per trasmettere dati su canali progettati per il testo.

   • > password.txt: reindirizza l'output del comando base64 (la versione codificata in base64 del file del account di servizio) in un nuovo file denominato password.txt.

3. Puoi utilizzare i contenuti del file delle password per l'autenticazione con i seguenti parametri.

   security.protocol=SASL_SSL
   sasl.mechanism=PLAIN
   sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required \
   username="SERVICE_ACCOUNT_EMAIL_ADDRESS" \
   password="CONTENTS_OF_BASE64_ENCODED_PASSWORD_FILE";
   

   Sostituisci quanto segue:

   • SERVICE_ACCOUNT_EMAIL_ADDRESS: l'indirizzo email del account di servizio che vuoi utilizzare per l'autenticazione.
   • CONTENTS_OF_BASE64_ENCODED_PASSWORD_FILE: i contenuti del file della password codificato in Base64 che hai ottenuto nel passaggio precedente. Deve essere una singola riga.

Quando autentica le connessioni in entrata al cluster, Managed Service per Apache Kafka controlla quanto segue:

1. Il nome utente fornito corrisponde al account di servizio la cui chiave viene utilizzata nella password.

2. Il principal del account di servizio fornito dispone dell'autorizzazione managedkafka.clusters.connect (inclusa nel ruolo IAM roles/managedkafka.client) sul cluster.

Token di accesso

Attenzione: è necessario prestare particolare attenzione quando si utilizzano token di accesso con SASL/PLAIN, in quanto i token di accesso hanno una durata limitata e possono scadere. Devi assicurarti che la libreria client presenti un token di accesso valido al momento di stabilire ogni nuova connessione al protocollo di trasferimento Kafka. Per maggiori informazioni e implementazioni di riferimento, consulta la documentazione su GitHub.

1. Ottieni un token di accesso per l'entità che vuoi utilizzare per l'autenticazione. Ad esempio, ottieni un token di accesso per l'entità gcloud CLI attuale:

   gcloud auth print-access-token
   

2. Puoi utilizzare il token di accesso per l'autenticazione con i seguenti parametri.

   security.protocol=SASL_SSL
   sasl.mechanism=PLAIN
   sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required \
   username="PRINCIPAL_EMAIL_ADDRESS" \
   password="ACCESS_TOKEN_VALUE";
   
   

   Sostituisci quanto segue:

   • PRINCIPAL_EMAIL_ADDRESS: l'indirizzo email del principal che hai utilizzato per ottenere il token di accesso.
   • ACCESS_TOKEN_VALUE: il valore del token di accesso ottenuto nel passaggio precedente.

Quando autentica le connessioni in entrata al cluster, Managed Service per Apache Kafka controlla quanto segue:

1. Il token di accesso sia valido e non scaduto.

2. Il nome utente fornito corrisponde all'email principale a cui è associato il token di accesso.

3. L'entità del token di accesso dispone dell'autorizzazione managedkafka.clusters.connect (inclusa nel ruolo IAM roles/managedkafka.client) sul cluster.

Workload Identity Federation for GKE

Questa sezione si applica solo quando si utilizza Workload Identity Federation for GKE. Se colleghi il account di servizio Kubernetes a un service account IAM utilizzando l'annotazione iam.gke.io/gcp-service-account, questa sezione non si applica.

Managed Service per Apache Kafka supporta l'autenticazione all'API Apache Kafka open source utilizzando Workload Identity Federation for GKE. L'autenticazione è supportata sia per SASL/PLAIN sia per SASL/OAUTHBEARER.

Per utilizzare Workload Identity Federation for GKE con Managed Service per Apache Kafka, devi rispettare i seguenti requisiti:

1. Utilizza GKE versione 1.31.1-gke.1241000 o successive.

2. Annota il account di servizio Kubernetes con iam.gke.io/return-principal-id-as-email: "true". Ad esempio:

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: kafka-service-account
     annotations:
       iam.gke.io/return-principal-id-as-email: "true"
   

3. Se utilizzi il server di autenticazione locale, verifica di utilizzare anche la versione 2.40.3 o successive del pacchetto google-auth.

Verifica che l'entità GKE disponga dell'autorizzazione managedkafka.clusters.connect (inclusa nel ruolo IAM roles/managedkafka.client).

Managed Service per Apache Kafka non supporta l'autenticazione all'API Apache Kafka open source utilizzando la workload identity di Fleet. In alternativa, puoi collegare il account di servizio Kubernetes a un service account IAM.

Risoluzione dei problemi

Per informazioni su come risolvere i problemi di autenticazione SASL, consulta Errori di autenticazione.

Passaggi successivi

• Controllo dell'accesso con gli ACL Kafka.

• Autenticati all'API Managed Kafka.

Apache Kafka® è un marchio registrato di Apache Software Foundation o dei suoi affiliati negli Stati Uniti e/o in altri paesi.