用户组是ACL的批量管理工具，通过基础组织组、职能角色组和临时项目组分层建模，支持一人多岗；ACL策略按资源+操作精细化定义并嵌入通配符等条件，遵循“显式拒绝>显式允许>隐式拒绝”优先级，与RBAC协同演进。
用户组本身不是 ACL 的替代，而是 ACL 的“批量管理工具”。在大中型企业矩阵式权限管理中，ACL 负责定义“谁能在什么资源上做什么”，用户组则把“谁”这个维度结构化，让 ACL 策略不再绑定到单个用户，而是绑定到一组人，从而支撑跨部门、跨项目、多身份的权限组合。
用用户组承载组织与角色双重属性
矩阵式管理常出现一人多岗（如研发兼项目负责人、HR兼BP），单纯按部门或项目建用户组容易冲突。建议按职责维度分层建组：
- 基础组织组：如 dept-financial、dept-tech，对应汇报线
- 职能角色组：如 role-auditor、role-deployer、role-report-viewer，对应权限能力
- 临时项目组：如 proj-2026-migration，生命周期明确，到期自动清理
一个用户可同时属于多个组，ACL 策略直接授权给这些组，而非个人——权限叠加生效，不互斥。
ACL 策略按资源+操作精细化定义
避免“全读全写”式粗放授权。CKafka 等平台支持类似以下细粒度策略：
- 允许组 dept-tech 对 topic-order-log 执行 Describe 和 Read
- 允许组 role-deployer 对 topic-config-* 执行 Write 和 Delete
- 拒绝组 proj-2026-migration 访问 topic-user-pii（含敏感字段）
通配符（如 topic-config-*）、IP 段限制、时间条件（如仅工作日 9–18 点）均可嵌入 ACL 规则，配合用户组实现动态边界控制。
通过组继承与策略优先级处理冲突
当用户同时属于多个组，而各组 ACL 存在允许/拒绝冲突时，需明确执行顺序：
- CKafka 默认遵循“显式拒绝 > 显式允许 > 隐式拒绝”原则
- 建议将高危操作（如 Delete、Alter）的拒绝策略设为最高优先级组（如 sec-audit-only），覆盖其他组的允许授权
- 不依赖隐式逻辑，所有关键权限都显式声明，避免“没禁止就等于允许”的误判
与 RBAC 协同而非替代
用户组 + ACL 是 RBAC 的轻量落地形态：用户组相当于 Role，ACL 规则是 Permission 的具体实现。企业不必一步到位建完整 RBAC 系统，可先用用户组统一身份入口，再逐步将权限规则沉淀为可复用的角色模板。例如，把 dept-tech + role-deployer 的组合策略抽象为 role-tech-deployer，后续新成员只需挂此角色，无需重复配置 ACL。
