如何删除Kafka中所有ACL？已尝试指定命令但未生效

原命令的局限性 #

你执行的命令仅针对literal模式的Topic资源，如果集群中存在其他类型的ACL（如Consumer Group、Cluster级权限）或使用了prefixed/any模式的资源匹配规则，这条命令无法覆盖到，这是导致移除不生效的常见原因。

分步解决方法 #

1. 先确认当前所有ACL规则
   执行以下命令列出集群中所有ACL，明确需要移除的规则范围：

   kafka-acls --bootstrap-server server:9094 --command-config client-sasl.properties --list
   

2. 移除literal模式下的所有Topic ACL
   补充--deny-principal参数覆盖拒绝规则，确保所有User的Topic权限都被移除：

   kafka-acls --bootstrap-server server:9094 --command-config client-sasl.properties --remove --allow-principal User:* --deny-principal User:* --operation * --topic * --resource-pattern-type literal
   

3. 移除其他资源类型的ACL

   • 如果存在Consumer Group的ACL，执行：

     kafka-acls --bootstrap-server server:9094 --command-config client-sasl.properties --remove --allow-principal User:* --deny-principal User:* --operation * --group * --resource-pattern-type literal
     

   • 如果存在Cluster级别的ACL，执行：

     kafka-acls --bootstrap-server server:9094 --command-config client-sasl.properties --remove --allow-principal User:* --deny-principal User:* --operation * --cluster --resource-pattern-type literal
     

4. 处理非literal模式的ACL
   如果你的ACL使用了prefixed或any匹配模式，修改--resource-pattern-type参数对应执行，例如：

   kafka-acls --bootstrap-server server:9094 --command-config client-sasl.properties --remove --allow-principal User:* --deny-principal User:* --operation * --topic * --resource-pattern-type prefixed
   

5. 验证移除结果
   再次执行list命令确认所有目标ACL已被清除：

   kafka-acls --bootstrap-server server:9094 --command-config client-sasl.properties --list
   

额外注意事项 #

• 确保执行命令的账号拥有ALTER权限，否则无法修改ACL规则
• 若集群启用了RBAC，需使用kafka-authorizer-cli工具替代kafka-acls（具体取决于Kafka版本与配置）
• 检查client-sasl.properties中的认证信息是否正确，保证能成功连接集群并具备足够操作权限

内容的提问来源于stack exchange，提问作者user2816227