Etapa 2: anexar uma política de cluster ao cluster do MSK

O proprietário do cluster pode anexar uma política de cluster (também conhecida como política baseada em recurso) ao cluster do MSK no qual você ativará a conectividade privada multi-VPC. A política de cluster permite que os clientes acessem o cluster usando outra conta. Antes de editar a política de cluster, você precisa dos IDs de conta para as contas que devem ter permissão para acessar o cluster do MSK. Consulte Como o Amazon MSK funciona com o IAM.

O proprietário do cluster deve anexar uma política de cluster ao cluster do MSK que autorize o usuário entre contas na conta B a obter agentes de bootstrap para o cluster e a autorizar as seguintes ações no cluster do MSK na conta A:

• CreateVpcConnection

• GetBootstrapBrokers

• DescribeCluster

• DescribeClusterV2

Para referência, veja a seguir um exemplo do JSON para uma política básica de cluster, semelhante à política padrão apresentada no editor de políticas do IAM do console do MSK. A política a seguir concede permissões para acesso em nível de cluster, tópico e grupo.

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012"
      },
      "Action": [
        "kafka:CreateVpcConnection",
        "kafka:GetBootstrapBrokers",
        "kafka:DescribeCluster",
        "kafka:DescribeClusterV2",
        "kafka-cluster:*"
      ],
      "Resource": "arn:aws:kafka:us-east-1:111122223333:cluster/testing/de8982fa-8222-4e87-8b20-9bf3cdfa1521-2"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012"
      },
      "Action": "kafka-cluster:*",
      "Resource": "arn:aws:kafka:us-east-1:111122223333:topic/testing/*"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012"
      },
      "Action": "kafka-cluster:*",
      "Resource": "arn:aws:kafka:us-east-1:111122223333:group/testing/*"
    }
  ]
}

Anexar uma política de cluster ao cluster do MSK

1. No console do Amazon MSK, em Clusters do MSK, escolha Clusters.

2. Role para baixo até Configurações de segurança e selecione Editar política de cluster.

3. No console, na tela Editar política de cluster, selecione Política básica para conectividade multi-VPC.

4. No campo ID da conta, insira o ID da conta para cada conta que deve ter permissão para acessar esse cluster. Conforme você digita o ID, ele é copiado automaticamente para a sintaxe JSON da política exibida. Em nosso exemplo de política de cluster, o ID da conta é 123456789012.

5. Selecione Salvar alterações.

Para obter informações sobre a política de cluster APIs, consulte as políticas baseadas em recursos do Amazon MSK.