ステップ 2: クラスターポリシーを MSK クラスターにアタッチする

クラスター所有者は、マルチ VPC プライベート接続を有効にする MSK クラスターにクラスターポリシー (リソースベースのポリシーとも呼ばれます) をアタッチできます。クラスターポリシーは、別のアカウントからクラスターにアクセスするアクセス許可をクライアントに付与します。クラスターポリシーを編集するには、MSK クラスターにアクセスするアクセス許可を必要とするアカウントのアカウント ID が必要です。「Amazon MSK と IAM の連携の仕組み」を参照してください。

クラスター所有者は、クラスターポリシーを MSK クラスターにアタッチすることにより、アカウント B のクロスアカウントユーザーがクラスターのブートストラップブローカーを取得し、アカウント A の MSK クラスターで次のアクションを許可することを許可する必要があります。

• CreateVpcConnection

• GetBootstrapBrokers

• DescribeCluster

• DescribeClusterV2

参考までに、MSK コンソールの IAM ポリシーエディタに表示されるデフォルトポリシーと同様の、基本的なクラスターポリシーの JSON の例を以下に示します。次のポリシーは、クラスター、トピック、およびグループレベルのアクセス許可を付与します。

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012"
      },
      "Action": [
        "kafka:CreateVpcConnection",
        "kafka:GetBootstrapBrokers",
        "kafka:DescribeCluster",
        "kafka:DescribeClusterV2",
        "kafka-cluster:*"
      ],
      "Resource": "arn:aws:kafka:us-east-1:111122223333:cluster/testing/de8982fa-8222-4e87-8b20-9bf3cdfa1521-2"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012"
      },
      "Action": "kafka-cluster:*",
      "Resource": "arn:aws:kafka:us-east-1:111122223333:topic/testing/*"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012"
      },
      "Action": "kafka-cluster:*",
      "Resource": "arn:aws:kafka:us-east-1:111122223333:group/testing/*"
    }
  ]
}

クラスターポリシーを MSK クラスターにアタッチする

1. Amazon MSK コンソールの [MSK クラスター] で、[クラスター] を選択します。

2. [セキュリティ設定] まで下にスクロールし、[クラスターポリシーの編集] を選択します。

3. コンソールの [クラスターポリシーの編集] 画面で、[マルチ VPC 接続の基本ポリシー] を選択します。

4. [アカウント ID] フィールドに、このクラスターにアクセスするアクセス許可を必要とする各アカウントのアカウント ID を入力します。入力した ID は、表示されたポリシー JSON 構文に自動的にコピーされます。この例のクラスターポリシーでは、アカウント ID は 123456789012 です。

5. [変更を保存] を選択します。

クラスターポリシー API については、「Amazon MSK のリソースベースのポリシー」を参照してください。