Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM 访问控制

Amazon MSK 的 IAM 访问控制使您能够处理 MSK 集群的身份验证和授权。这样就不需要使用一种身份验证机制和另一种授权机制。例如，当客户端尝试写入您的集群时，Amazon MSK 使用 IAM 来检查该客户端是否是经过身份验证的身份，以及是否有权向您的集群生成数据。

Amazon MSK 会记录访问事件，以便您可以对其进行审计。有关更多信息，请参阅使用 Amazon CloudTrail 记录 API 调用：

为了使 IAM 访问控制成为可能，亚马逊 MSK 对 Apache Kafka 源代码进行了细微的修改。这些修改不会对你的 Apache Kafka 体验造成明显的差异。

亚马逊 MSK 的 IAM 访问控制的工作原理

要使用 Amazon MSK 的 IAM 访问控制，请执行以下步骤，本节其余部分将详细介绍这些步骤。

创建使用 IAM 访问控制的集群

本部分介绍如何使用Amazon Web Services Management Console、API 或，创建使用 IAM 访问控制的集群。Amazon CLI有关如何对现有集群启用 IAM 访问控制的信息，请参阅更新集群的安全设置。

将客户端配置为 IAM 访问控制

要使客户端能够与使用 IAM 访问控制的 MSK 集群通信，请按照以下步骤所述对其进行配置。

Amazon MSK 客户端插件是在 Amazon 2.0 许可证下开源的。

创建授权策略

将授权策略附加到与客户端对应的 IAM 角色。在授权策略中，您可以指定允许或拒绝该角色的操作。如果您的客户在 Amazon EC2 实例上，请将授权策略与该 Amazon EC2 实例的 IAM 角色相关联。或者，您可以将客户端配置为使用命名配置文件，然后将授权策略与该命名配置文件的角色相关联。 将客户端配置为 IAM 访问控制介绍如何将客户端配置为使用命名配置文件。

有关如何创建 IAM 策略的信息，请参阅创建 I AM policy。

以下是名为的集群的授权策略示例 MyTestCluster。要了解Action和Resource元素的语义，请参见动作和资源的语义。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:Connect",
                "kafka-cluster:AlterCluster",
                "kafka-cluster:DescribeCluster"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:cluster/MyTestCluster/abcd1234-0123-abcd-5678-1234abcd-1"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:*Topic*",
                "kafka-cluster:WriteData",
                "kafka-cluster:ReadData"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:topic/MyTestCluster/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:AlterGroup",
                "kafka-cluster:DescribeGroup"
            ],
            "Resource": [
                "arn:aws:kafka:us-east-1:0123456789012:group/MyTestCluster/*"
            ]
        }
    ]
}

要了解如何使用与常见 Apache Kafka 用例（例如生成和使用数据）相对应的操作元素创建策略，请参阅常见用例。

获取用于IAM 访问控制的引导代理

请参阅获取一个 Amazon MSK 集群的引导代理存储。

动作和资源的语义

本部分说明可在 IAM 授权策略中使用的操作和资源元素的语义。有关策略示例，请参阅 创建授权策略。

操作

下表列出了在使用 Amazon MSK 的 IAM 访问控制时可以在授权策略中包含的操作。在授权策略中包括表中 “操作” 列中的操作时，还必须包括 “必需操作” 列中的相应操作。

您可以在操作中的冒号后面使用星号 (*) 通配符任意次数。示例如下。

资源

下表显示了在使用 Amazon MSK 的 IAM 访问控制时可以在授权策略中使用的四种类型的资源。您可以使用 DescribeClusterAPIAmazon Web Services Management Console 或 d escribe-clusterAmazon CLI 命令从或获取集群亚马逊资源名称 (ARN)。然后，您可以使用集群 ARN 来构造主题、群组和交易 ID ARN。要在授权策略中指定资源，请使用该资源的 ARN。

在 ARN 中、、和之后的:cluster/部分，您可以任意多次使用星号 (*) 通配符:transactional-id/。:topic/:group/以下是一些示例，说明如何使用星号 (*) 通配符引用多个资源：

常见用例

下表中的第一列显示了一些常见用例。要授权客户执行给定用例，请在客户端的授权策略中包括该用例所需的操作，然后设置Effect为Allow。

有关作为 Amazon MSK IAM 访问控制一部分的所有操作的信息，请参阅动作和资源的语义。