/tags/acl/ Recent content in acl on Hugo -- gohugo.io en Sat, 12 Sep 2026 14:40:00 +0800 /posts/confluent-acl-service-account-scope/ Sat, 12 Sep 2026 14:40:00 +0800 /posts/confluent-acl-service-account-scope/ 我遇到的一次故障里，一个 producer 服务连续八个多小时没往 Kafka 写进一条消息。主链路处理正常，consumer lag 也没有异常，最后是客户先发现历史查询接口查不到新数据。触发点是同一时段有人在 Confluent Cloud 上新建了一把 API Key，以为配的 ACL 只作用在这把新 key 上；那把新 key 和服务在用的那把，挂在同一个 service account 下。 机制部分照 Confluent 官方文档核对过（2026-09-12 查的），命令写法照 CLI reference，下面的命令里 lkc-、sa-、demo- 都是占位 ID。 API Key 只是凭据，权限挂在 service account 上 Confluent Cloud 的 API key 文档有一句话把它说死了： Permissions are not associated with an API key, but with the user or service account. 同一页还写着 “Each API key is associated with a specific user account or service account”。API Key 承担的是认证，回答「我是谁」；授权归 ACL 和 role binding（RBAC 里把某个角色绑到某个账号上的那条记录）管，它们认的是账号。