Ruolo di esecuzione del servizio (SER)

MSK Replicator utilizza un ruolo di esecuzione del servizio (SER) per leggere dal cluster di origine e scrivere nel cluster di destinazione. Questo ruolo viene specificato durante la creazione del Replicator.

È possibile lasciare che la console MSK crei il ruolo automaticamente o fornire il proprio ruolo IAM. Se fornisci il tuo ruolo, ti consigliamo di allegare ad esso la policy IAM AWSMSKReplicatorExecutionRolegestita.

Il ruolo di esecuzione del servizio deve avere una politica di fiducia che consenta al responsabile del kafka.amazonaws.com servizio di assumere il ruolo. Di seguito è illustrato un esempio di policy di attendibilità. Sostituiscilo <yourAccountID> con l'ID dell'account effettivo.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "kafka.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "<yourAccountID>"
        }
      }
    }
  ]
}

Se desideri limitare le kafka-cluster:WriteData autorizzazioni, consulta la sezione Creare politiche di autorizzazione di Come funziona il controllo degli accessi IAM per Amazon MSK. È necessario aggiungere l'kafka-cluster:WriteDataIdempotentlyautorizzazione sia al cluster di origine che a quello di destinazione.

Se si riutilizza un ruolo di esecuzione del servizio tra più replicatori MSK, tutti sono soggetti alle stesse quote Kafka. Se desideri mantenere quote separate per il replicatore, utilizza ruoli di esecuzione del servizio separati.