Mirror Maker 2未复制主题WRITE ACL及消费者组ACL问题咨询

问题原因 #

1. GROUP类型消费者组ACL无法同步
   当前MM2配置未启用GROUP资源的ACL同步开关，默认情况下MM2仅同步主题（TOPIC）类型的ACL，不会主动同步GROUP类型的消费者组ACL。

2. 主题WRITE ACL无法同步

   • MM2运行账号在源集群（A集群）可能缺少读取WRITE ACL的必要权限，比如无Cluster:DESCRIBE或Topic:DESCRIBE权限；
   • 默认ACL同步规则可能未明确包含WRITE操作（虽默认同步所有操作，但显式指定可避免潜在过滤问题）；
   • 需先确认源集群的主题WRITE ACL是否真实存在，排除源端未配置的情况。

解决办法 #

1. 启用GROUP ACL同步 #

在MM2配置文件中添加以下配置项：

sync.group.acls.enabled = true

该配置会触发MM2同步源集群中所有匹配groups = .*规则的消费者组ACL信息。

2. 修复主题WRITE ACL同步问题 #

• 检查MM2账号权限：确保MM2在源集群使用的账号拥有Cluster:DESCRIBE和Topic:DESCRIBE权限，保证能读取到主题的所有ACL信息；
• 显式指定同步的ACL操作类型：添加配置项明确包含WRITE操作，避免默认过滤：

  sync.topic.acls.operations = READ,WRITE
  

• 验证源集群WRITE ACL存在性：通过Kafka命令行工具检查源集群主题的WRITE ACL是否存在，示例命令：

  kafka-acls.sh --bootstrap-server s02ap432u:9095 --list --topic <目标主题名>
  

更新后的完整配置示例 #

clusters = A, B 

A.bootstrap.servers = s02ap432u:9095, s02ap433u:9095

B.bootstrap.servers = s01ap437u:9100

A->B.enabled = true

B->A.enabled = false

A->B.topics = .*

topics.exclude = kminion-end-to-end, topic.test1

refresh.topics.enabled = true

refresh.topics.interval.seconds = 60

groups = .*

sync.group.offsets.enabled = true

sync.topic.acls.enabled = true
# 新增GROUP ACL同步开关
sync.group.acls.enabled = true
# 显式指定同步的ACL操作类型
sync.topic.acls.operations = READ,WRITE

replication.factor=1

内容的提问来源于stack exchange，提问作者Carlos