Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Berechtigungen für VPC Multi-Private-Konnektivität
In diesem Abschnitt werden die Berechtigungen zusammengefasst, die für Clients und Cluster erforderlich sind, die die VPC Multi-Private-Connectivity-Funktion verwenden. VPCMulti-Private-Konnektivität erfordert, dass der Client-Administrator für jeden Client, der über eine verwaltete VPC Verbindung zum MSK Cluster verfügt, Berechtigungen erstellt. Außerdem muss der MSK Clusteradministrator die PrivateLink Konnektivität auf dem MSK Cluster aktivieren und Authentifizierungsschemata auswählen, um den Zugriff auf den Cluster zu kontrollieren.
Cluster-Authentifizierungstyp und Zugriffsberechtigungen für Themen
Aktivieren Sie die VPC Multi-Private-Konnektivitätsfunktion für Authentifizierungsschemas, die für Ihren MSK Cluster aktiviert sind. Siehe Anforderungen und Einschränkungen für Multi-Private-Konnektivität VPC. Wenn Sie Ihren MSK Cluster für die Verwendung desSASL/SCRAMauth-Schemas konfigurieren, ist die Apache ACLs Kafka-Eigenschaft allow.everyone.if.no.acl.found=false
obligatorisch. Nachdem Sie die Apache Kafka ACLs für Ihren Cluster festgelegt haben, aktualisieren Sie die Cluster-Konfiguration, sodass die Eigenschaft allow.everyone.if.no.acl.found
für den Cluster auf Falsch gesetzt wird. Weitere Informationen zum Aktualisieren der Konfiguration eines Clusters finden Sie unter MSKAmazon-Konfigurationsvorgänge.
Kontoübergreifende Cluster-Richtlinienberechtigungen
Wenn sich ein Kafka-Client in einem anderen AWS Konto als dem MSK Cluster befindet, fügen Sie dem Cluster eine clusterbasierte Richtlinie hinzu, die den MSK Client-Root-Benutzer für kontoübergreifende Konnektivität autorisiert. Sie können die VPC Multi-Cluster-Richtlinie mit dem IAM Richtlinien-Editor in der MSK Konsole bearbeiten (Cluster-Sicherheitseinstellungen > Clusterrichtlinie bearbeiten) oder die Clusterrichtlinie wie folgt verwalten: APIs
- PutClusterPolicy
-
Hängt eine Cluster-Richtlinie an den MSK-Cluster an. Sie können dies verwendenAPI, um die angegebene MSK Clusterrichtlinie zu erstellen oder zu aktualisieren. Wenn Sie die Richtlinie aktualisieren, ist das currentVersion Feld in der Payload der Anfrage erforderlich.
- GetClusterPolicy
-
Ruft den JSON Text des Cluster-Richtliniendokuments ab, das an den Cluster angehängt ist.
- DeleteClusterPolicy
-
Löscht die Cluster-Richtlinie.
Im Folgenden finden Sie ein Beispiel JSON für eine grundlegende Clusterrichtlinie, die der im MSK IAM Konsolenrichtlinien-Editor angezeigten ähnelt.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": [ "123456789012" ] }, "Action": [ "kafka:CreateVpcConnection", "kafka:GetBootstrapBrokers", "kafka:DescribeCluster", "kafka:DescribeClusterV2" ], "Resource": "arn:aws:kafka:us-east-1:123456789012:cluster/testing/de8982fa-8222-4e87-8b20-9bf3cdfa1521-2" } ] }
Client-Berechtigungen für VPC Multi-Private-Konnektivität zu einem MSK Cluster
Um eine VPC multiprivate Konnektivität zwischen einem Kafka-Client und einem MSK Cluster einzurichten, benötigt der Client eine angehängte Identitätsrichtliniekafka:CreateVpcConnection
, die Berechtigungen ec2:CreateTags
und ec2:CreateVPCEndpoint
Aktionen für den Client gewährt. Als Referenz finden Sie im Folgenden ein Beispiel JSON für eine grundlegende Client-Identitätsrichtlinie.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kafka:CreateVpcConnection", "ec2:CreateTags", "ec2:CreateVPCEndpoint" ], "Resource": "*" } ] }