AWS Lambda meldet sich bei selbst betriebenem Kafka jetzt per OAuth an
Serguey Asael Shinder2 Min. LesezeitAWS hat am 9. Oktober angekündigt, dass AWS Lambda OAuth-Authentifizierung für Event Source Mappings (ESM) mit selbst verwaltetem Apache Kafka unterstützt. „Selbst verwaltet" umfasst bei Lambda sowohl Cluster, die Kunden selbst betreiben, als auch Kafka-Dienste anderer Anbieter – genannt werden Confluent Cloud, Aiven und Redpanda. Amazons eigenes MSK hat einen separaten Event-Source-Typ und ist nicht Gegenstand dieser Neuerung.
Was sich ändert. Ein Event Source Mapping ist der Teil von Lambda, der ein Kafka-Topic abfragt, Datensätze bündelt und eine Funktion aufruft; Skalierung, Fehlerbehandlung und Filterung übernimmt der Dienst. Bisher konnte sich ein solches ESM nur per SASL/PLAIN, SASL/SCRAM oder Mutual TLS am Cluster anmelden. Nach Angaben von AWS blieben damit Kunden aus regulierten Branchen außen vor, deren Richtlinien OAuth verlangen: Sie konnten den verwalteten Consumer gar nicht nutzen und mussten eigene betreiben. Jetzt kann das ESM Tokens bei einem Unternehmens-Identity-Provider beziehen – als Beispiele nennt AWS Amazon Cognito und Okta – und sie dem Broker vorlegen.
Verfügbarkeit und Einrichtung. Die Funktion steht in allen kommerziellen AWS-Regionen bereit, in denen das ESM für selbst verwaltetes Kafka angeboten wird; GovCloud- und China-Regionen werden nicht erwähnt. OAuth wird beim Anlegen eines neuen Kafka-ESM konfiguriert, über Konsole, Lambda-API, AWS CLI, CloudFormation oder SAM. Ob sich ein bestehendes Mapping umstellen lässt, sagt die Ankündigung nicht; wer migriert, sollte ein neues Mapping einplanen und prüfen, wie die Offsets der Consumer-Gruppe übernommen werden. Zu den Kosten verweist die Ankündigung auf die übliche Preisseite von Lambda.
Warum das zählt. Für Organisationen, die Kafka bereits hinter einem Firmen-Identity-Provider betreiben, war die Anmeldemethode die Hürde, Lambda als serverlosen Consumer für Zahlungs-, Betrugserkennungs- oder Streaming-Topics einzusetzen – genau die Anwendungsfälle, die AWS selbst nennt. Der Wechsel von statischen SASL-Zugangsdaten zu Tokens verschiebt zudem, was rotiert und auditiert werden muss: Die Berechtigungen liegen beim Identity Provider statt in einem Secret am Mapping. Welche OAuth-Grant-Typen und Token-Einstellungen genau unterstützt werden, beschreibt das Lambda-Entwicklerhandbuch, nicht die Ankündigung.
Quelle: AWS What's New, 9. Oktober 2026 — https://aws.amazon.com/about-aws/whats-new/2026/10/aws-Lambda-supports-oauth-kafka-esm/