注意：说明：
注意：这篇的 Admin API 指通过 Kafka 协议调用的管理接口，与腾讯云 API 不同。替换调用时需按腾讯云 API 的参数和鉴权方式进行适配，不能仅替换请求地址。
一、影响范围
自2026年11月16日起，符合以下形态及版本要求的新增实例默认开启 Admin API 封禁。存量实例（已在线上运行的实例）为保持兼容性，默认不封禁。
·支持形态：仅 Serverful 实例支持，Serverless 实例暂不适用。
·支持版本：实例内核需达到所属系列对应的最低小版本，具体如下。
·2.4.2系列：2.4.2_1.2.8及以上小版本
·2.8.1系列：2.8.1_1.1.17及以上小版本
·3.2.3系列：3.2.3_1.0.12及以上小版本
注意：说明：
注意：存量实例系统默认允许通过 Admin API 执行操作，变配规格、升级小版本等操作不会自动更改此默认行为。为了确保集群运行的稳定性，建议你手动开启 Admin API 的封禁，使用控制台或云 API 管理 CKafka 实例。
二、涉及的 Admin API 列表
以下 API 在封禁生效后将无法调用：
| 受限 API Key | AdminClient 方法 | 作用 |
| DELETE_TOPICS | deleteTopics(…) | 删除 Topic。 |
| CREATE_ACLS | createAcls(…) | 创建资源访问控制策略。 |
| ALTER_CONFIGS | alterConfigs(…) | 修改 Topic、Broker 等资源配置。 |
| INCREMENTAL_ALTER_CONFIGS | incrementalAlterConfigs(…) | 增量修改资源配置，例如设置、删除或调整配置项。 |
| DELETE_RECORDS | deleteRecords(…) | 删除指定分区中 offset 小于指定值的消息记录。 |
| DELETE_ACLS | deleteAcls(…) | 删除符合过滤条件的 ACL。 |
| CREATE_PARTITIONS | createPartitions(…) | 增加已有 Topic 的分区数。 |
| DELETE_GROUPS | deleteConsumerGroups(…) | 删除消费组。 |
| ELECT_LEADERS | electLeaders(…) | 为分区触发 Leader 选举。 |
| ALTER_PARTITION_REASSIGNMENTS | alterPartitionReassignments(…) | 更改或取消分区副本重分配。 |
| DESCRIBE_CLIENT_QUOTAS | describeClientQuotas(…) | 查询用户、客户端等配额实体及其配额。 |
| ALTER_CLIENT_QUOTAS | alterClientQuotas(…) | 修改或移除客户端配额。 |
| ALTER_USER_SCRAM_CREDENTIALS | alterUserScramCredentials(…) | 新增、修改或删除用户的 SASL/SCRAM 凭据。 |
| ALTER_REPLICA_LOG_DIRS | alterReplicaLogDirs(…) | 将副本日志移动至指定存储目录。 |
三、开启 Admin API 封禁
Serverful 专业版存量实例可按以下步骤手动开启 Admin API 封禁。操作前请完成调用自查和业务适配。
1. 登录 CKafka 控制台。
2. 在左侧导航栏选择实例列表，单击目标实例 ID 进入详情页。
3. 在实例详情页面，查看实例基本信息中的内核版本，确认当前小版本是否达到或超过支持封禁的最低版本，如果你的实例版本低于以下最低要求，请先执行 实例内核小版本升级。
| 大版本系列 | 支持封禁的最低小版本 |
| 2.4.x | 2.4.2_1.2.8 |
| 2.8.x | 2.8.1_1.1.17 |
| 3.2.x | 3.2.3_1.0.12 |
4. 在页面左侧选择智能运维页签，二级页签选择一键诊断。如你未封禁高风险 Admin API，诊断结果的安全治理分类下将展示 Admin API 权限的高风险诊断项。你可根据产品引导，关闭高风险 Admin API 权限。
注意：封禁生效后，不支持在控制台上解除封禁，如有需求，请 联系我们 评估。