您好,欢迎访问代理记账网站
  • 价格透明
  • 信息保密
  • 进度掌控
  • 售后无忧

[ClickHouse] 管理用户权限的两种方案

目录

    • 1. 序言
    • 2. 通过配置文件管理用户权限
    • 3. 通过 SQL 驱动方式管理用户权限
      • 3.1 开启SQL驱动方式的访问权限和账户管理
      • 3.2 创建用户
      • 3.3 创建角色
      • 3.4 为用户或角色赋予权限
      • 3.5 从用户撤销权限

1. 序言

一般情况下, 可以通过配置文件/etc/clickhouse-server/users.xml来设置用户权限, 比如设置用户的资源占用/参数取值/对某个数据库的读写权限等. 但是对于一些更精细的权限管理, 使用配置文件很难实现或者实现起来特别麻烦, 比如考虑这样一个应用场景: 有两个数据库 A 和 B, 用户 test 对数据库 A 只有读取权限, 对数据库 B 有读写和修改权限. 对于这种情况, 可以使用 ClickHouse 给出的另一种更灵活的权限管理方案SQL-driven workflow(SQL驱动的工作流)来解决, 这也是 ClickHouse 官方比较推荐的方案, 本文主要介绍这种方案的使用方法.

2. 通过配置文件管理用户权限

详情参考下面这篇讲解非常详细的文章
ClickHouse学习系列之二【用户权限管理】

3. 通过 SQL 驱动方式管理用户权限

SQL 驱动方式简单来说就是通过 SQL 语句(主要是 GRANT/REVOKE 命令)来为用户赋予或撤销权限, 直接使用 SQL 将某个权限赋予某个用户是可行的, 问题是当涉及到的权限和用户比较多时, 这种做法会很不方便, 于是 ClickHouse 中定义了另外一个概念角色(role)
角色可以理解为权限的集合体, 先将一系列权限赋予某个角色, 然后将角色赋予某个用户(通过 GRANT 命令), 这样就可以将角色携带的权限赋予用户. 在管理权限时, 可以将若干个权限赋予某个角色, 也可以将若干个角色赋予某个用户, 这样就能在保证灵活性的同时降低管理的复杂度.

3.1 开启SQL驱动方式的访问权限和账户管理

默认情况下是不能通过SQL驱动方式来访问权限和账户管理的, 需要在配置文件中为某个用户开启这项功能, 具体来说就是在/etc/clickhouse-server/users.xml中的users中的某个用户下添加下面这一行代码

<access_management>1</access_management>

3.2 创建用户

创建用户时有一点需要注意, 事先已经在配置文件中配置过的用户是无法通过 SQL 驱动方式来操作的, 需要使用 SQL 创建用户.

  • 创建用户时不替换已有用户
CREATE USER IF NOT EXISTS test IDENTIFIED BY '123456'
  • 创建用户时替换已有用户
CREATE USER OR REPLACE test IDENTIFIED BY '123456'

3.3 创建角色

  • 创建角色时不替换已有角色
CREATE ROLE IF NOT EXISTS read_db_a
  • 创建角色时替换已有角色
CREATE ROLE OR REPLACE read_db_a

3.4 为用户或角色赋予权限

  • 查看用户或角色已有权限
SHOW GRANTS FOR user/role
  • 使用 SQL 为用户赋予读取权限
GRANT SELECT ON A.* TO test
  • 通过角色为用户赋予读取权限
CREATE ROLE OR REPLACE role_a;
GRANT SELECT ON A.* TO role_a;
GRANT role_a TO test;

对于开头提出的应用场景, 使用 SQL 驱动方式的解决方法如下

// 创建用户
CREATE USER OR REPLACE test IDENTIFIED BY '123456'
// 创建只读数据库 A 的角色 role_a
CREATE ROLE OR REPLACE role_a;
GRANT SELECT ON A.* TO role_a;
// 创建能读写和修改数据库 B 的角色 role_b
CREATE ROLE OR REPLACE role_b;
GRANT SELECT,INSERT,ALTER ON B.* TO role_b;
// 将 role_a 和 role_b 的权限赋予用户 test
GRANT role_a,role_b TO test;

上面的例子只是一个基础的示例, 通过 SQL 驱动方式可以管理精细到表和列的权限, 详情参考官网 https://clickhouse.tech/docs/zh/sql-reference/statements/grant/#admin-option-privilege

3.5 从用户撤销权限

撤销用户权限时有一点需要注意, 如果用户的权限是通过 GRANT 直接赋予的, 那么可以使用 REVOKE 直接撤销, 但如果用户的权限是通过角色赋予的, 那么撤销权限时也要通过角色, 不能使用 REVOKE 直接撤销.

  • 从角色撤销权限
REVOKE SELECT ON A.* FROM role_a;
  • 从用户撤销权限(权限通过 GRANT 直接赋予)
REVOKE SELECT ON A.* FROM test;
  • 从用户撤销权限(权限通过角色 role_a 赋予)
REVOKE SELECT ON A.* FROM role_a;

分享:

低价透明

统一报价,无隐形消费

金牌服务

一对一专属顾问7*24小时金牌服务

信息保密

个人信息安全有保障

售后无忧

服务出问题客服经理全程跟进