다중 VPC 사설 연결에 대한 권한

이 섹션에는 다중 VPC 사설 연결 기능을 사용하는 클라이언트 및 클러스터에 필요한 권한이 요약되어 있습니다. 다중 VPC 사설 연결을 사용하려면 클라이언트 관리자가 MSK 클러스터에 대한 VPC 연결 관리를 수행할 각 클라이언트에 대한 권한을 생성해야 합니다. 또한 MSK 클러스터 관리자는 클러스터에서 PrivateLink 연결을 활성화하고 MSK 클러스터에 대한 액세스를 제어할 인증 체계를 선택해야 합니다.

클러스터 인증 유형 및 주제 액세스 권한

클러스터에 활성화된 인증 체계의 다중 VPC 개인 연결 기능을 켜십시오. MSK 멀티-프라이빗 연결에 대한 요구 사항 및 제한 VPC을 참조하세요. SASL/SCRAMauth 체계를 사용하도록 MSK 클러스터를 구성하는 경우 Apache ACLs Kafka 속성은 필수입니다. allow.everyone.if.no.acl.found=false 클러스터에 대해 아파치 카프카 ACLs을 설정한 후 클러스터의 구성을 업데이트하여 클러스터에 대해 allow.everyone.if.no.acl.found 속성이 false로 설정되도록 합니다. 클러스터 구성을 업데이트하는 방법에 대한 자세한 내용은 아마존 MSK 구성 오퍼레이션 섹션을 참조하세요.

크로스 계정 클러스터 정책 권한

Kafka 클라이언트가 MSK 클러스터와 다른 AWS 계정에 있는 경우 클라이언트 루트 사용자에게 계정 간 연결을 승인하는 MSK 클러스터 기반 정책을 클러스터에 연결하십시오. MSK콘솔의 정책 편집기 (VPC클러스터 보안 설정 > 클러스터 IAM 정책 편집) 를 사용하여 다중 클러스터 정책을 편집하거나 다음을 APIs 사용하여 클러스터 정책을 관리할 수 있습니다.

PutClusterPolicy

클러스터 정책을 클러스터에 연결합니다. 이를 API 사용하여 지정된 MSK 클러스터 정책을 만들거나 업데이트할 수 있습니다. 정책을 업데이트하는 경우 요청 페이로드에 해당 currentVersion 필드가 필요합니다.

GetClusterPolicy

클러스터에 연결된 클러스터 정책 문서의 JSON 텍스트를 검색합니다.

DeleteClusterPolicy

클러스터 정책을 삭제합니다.

다음은 MSK 콘솔 정책 JSON 편집기에 표시된 것과 유사한 기본 클러스터 IAM 정책의 예입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012"
                ]
            },
            "Action": [
                "kafka:CreateVpcConnection",
                "kafka:GetBootstrapBrokers",
                "kafka:DescribeCluster",
                "kafka:DescribeClusterV2"
            ],
            "Resource": "arn:aws:kafka:us-east-1:123456789012:cluster/testing/de8982fa-8222-4e87-8b20-9bf3cdfa1521-2"
        }
    ]
}

MSK클러스터에 대한 다중 VPC 전용 연결을 위한 클라이언트 권한

Kafka 클라이언트와 MSK 클러스터 간에 다중 VPC 개인 연결을 설정하려면 클라이언트에 대한 권한 및 클라이언트에 대한 kafka:CreateVpcConnection ec2:CreateVPCEndpoint 작업을 부여하는 연결된 ID 정책이 클라이언트에 필요합니다. ec2:CreateTags 참고로 다음은 기본 클라이언트 ID JSON 정책의 예입니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kafka:CreateVpcConnection",
        "ec2:CreateTags",
        "ec2:CreateVPCEndpoint"
      ],
      "Resource": "*"
    }
  ]
}