Terraform创建MSK SCRAM用户后的权限查询与配置问题

1. SCRAM 用户默认拥有哪些权限？ #

通过Terraform或AWS官方方式创建并关联到MSK集群的SCRAM用户，默认没有任何权限——既不能生产/消费消息，也无法查看、创建或修改主题，所有操作都需要通过ACL（访问控制列表）手动授权。

2. 如何限制或修改该用户的权限？ #

你可以通过AWS CLI、Terraform或MSK控制台三种方式管理SCRAM用户的ACL规则，以下是常用方法：

方式一：使用AWS CLI #

• 添加权限：比如允许用户消费my-topic主题：

aws kafka create-acl \
  --cluster-arn "arn:aws:kafka:region:account-id:cluster/cluster-name/cluster-uuid" \
  --resource-type TOPIC \
  --resource-name "my-topic" \
  --operation READ \
  --principal "User:your-scram-username" \
  --allow

• 删除/修改权限：修改权限本质是先删除旧规则，再创建新规则。比如删除上面的消费权限：

aws kafka delete-acl \
  --cluster-arn "arn:aws:kafka:region:account-id:cluster/cluster-name/cluster-uuid" \
  --resource-type TOPIC \
  --resource-name "my-topic" \
  --operation READ \
  --principal "User:your-scram-username" \
  --allow

方式二：使用Terraform（推荐，和现有部署流程统一） #

通过aws_msk_acl资源定义用户的权限规则，比如只允许用户生产/消费指定主题，禁止其他操作：

resource "aws_msk_acl" "scram_user_restricted_acl" {
  cluster_arn = aws_msk_cluster.your_msk_cluster.arn
  username    = aws_msk_scram_user.your_scram_user.username

  # 允许消费my-topic
  acl {
    operation     = "READ"
    resource_type = "TOPIC"
    resource_name = "my-topic"
    permission    = "ALLOW"
  }

  # 允许生产my-topic
  acl {
    operation     = "WRITE"
    resource_type = "TOPIC"
    resource_name = "my-topic"
    permission    = "ALLOW"
  }

  # 禁止创建新主题
  acl {
    operation     = "CREATE"
    resource_type = "TOPIC"
    resource_name = "*"
    permission    = "DENY"
  }
}

修改权限时，直接调整acl块的operation、resource_name或permission字段即可，Terraform会自动同步到MSK集群。

方式三：使用MSK控制台 #

登录AWS控制台进入MSK集群详情页，找到「访问控制」→「ACL」页面，选择目标SCRAM用户后，直接添加/删除/编辑ACL规则即可，操作界面直观适合快速测试。

常用权限说明 #

• 常见操作：READ（消费）、WRITE（生产）、CREATE（创建资源）、DELETE（删除资源）、DESCRIBE（查看资源详情）
• 常见资源类型：TOPIC（主题）、GROUP（消费组）、CLUSTER（集群级操作）

内容的提问来源于stack exchange，提问作者jrz