# [Known Issues] TiCDC 同步数据到 Kafka 集群 ACL 认证失败

## Key Words

TiCDC, Kafka, ACL 认证

## Description

TiDB 集群 TiCDC 同步数据到 Kafka 集群 ACL 认证失败，创建此任务失败。创建命令如下：

```
/tinstall/upgrade/tidb-enterprise-toolkit-v6.5.1-linux-amd64/cdc cli changefeed create
--changefeed-id tof-auditlog-to-kafka
--server=http://10.74.151.43:8300
--sink-uri="kafka://10.74.151.124:9092,10.74.151.125:9092,10.74.151.126:9092/log-db-tidb-23?kafka-version=2.5.1&max-message-bytes=1073741824&sasl-user="tof_sit_audit"&sasl-password="iMmaLFpz"&sasl-mechanism=SCRAM-SHA-256" --sort-engine="unified" --config ./changefeed.toml
```

错误信息如下：

```
Error: [CDC:ErrKafkaNewSaramaProducer]new sarama producer: Cluster authorization failed.
```

## Root Cause

TiCDC 同步数据到 Kafka ，需要 Kafka 提供一些权限：

- topic 需要 create/write/Describe 权限（注意，官方文档没说 topic 需要 Describe 权限）。
- cluster 需要 DescribeConfigs 权限。

> 官方文档说明：[TiCDC 使用 Kafka 的认证与授权](https://docs.pingcap.com/zh/tidb/stable/ticdc-sink-to-kafka#ticdc-%E4%BD%BF%E7%94%A8-kafka-%E7%9A%84%E8%AE%A4%E8%AF%81%E4%B8%8E%E6%8E%88%E6%9D%83)

## Diagnostic Steps

1. 判断账号是否有权限访问 Kafka 。
2. 判断 ACL 的认证方式是否支持（ PLAIN 方式在 5.4 是不支持的）。
3. 判断是否有响应的 ACL 权限是否正常提供。

## Resolution

给 Kafka 账号开通权限就可以了