Peran eksekusi layanan (SER)

MSK Replicator menggunakan peran eksekusi layanan (SER) untuk membaca dari cluster sumber Anda dan menulis ke cluster target Anda. Anda menentukan peran ini saat membuat Replicator.

Anda dapat membiarkan konsol MSK membuat peran secara otomatis, atau memberikan peran IAM Anda sendiri. Jika Anda memberikan peran Anda sendiri, kami sarankan untuk melampirkan kebijakan IAM AWSMSKReplicatorExecutionRoleterkelola padanya.

Peran eksekusi layanan harus memiliki kebijakan kepercayaan yang memungkinkan kepala kafka.amazonaws.com layanan untuk mengambil peran tersebut. Berikut ini adalah contoh kebijakan kepercayaan. Ganti <yourAccountID> dengan ID akun Anda yang sebenarnya.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "kafka.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "<yourAccountID>"
        }
      }
    }
  ]
}

Jika Anda ingin membatasi kafka-cluster:WriteData izin, lihat bagian Buat kebijakan otorisasi dari Cara kerja kontrol akses IAM untuk Amazon MSK. Anda perlu menambahkan kafka-cluster:WriteDataIdempotently izin ke cluster sumber dan target.

Jika Anda menggunakan kembali peran eksekusi layanan antara beberapa Replikator MSK, semuanya tunduk pada kuota Kafka yang sama. Jika Anda ingin mempertahankan kuota terpisah per Replicator, gunakan peran eksekusi layanan terpisah.