カスタムロールの管理

このページでは、管理者がカスタムロールを追加、変更、削除する方法を説明します

このガイドは、ClickHouse Cloud で Admin ロールを持つユーザーを対象としています。

ClickHouse Cloud のお客様は、あらかじめ定義されたシステムロールを選択することも、ユーザーに割り当てるカスタムロールを作成することもできます。システムロールと、それに関連付けられた権限の詳細については、Console roles and permissionsを参照してください。このガイドでは、カスタムロールの管理方法について詳しく説明します。

​

カスタムロールを作成する

カスタムロールには、組織、サービス、データベースの権限を組み合わせて含めることができます。権限は、すべてのサービスとデータベース、またはその一部に適用できます。

1. 組織設定にアクセスし、Users and roles を選択する

   サービスページで、組織名を選択します。ポップアップメニューから Users and roles を選択します。

2. `Roles` タブを選択する

   画面上部中央の Roles タブを選択します。

3. 右上の Create new role を選択する

   画面右上の Create new role ボタンを選択します。

4. ロールに名前を付ける

   わかりやすいロール名を入力します。この名前は、ユーザーや API キーにロールを割り当てる際に表示されます。

5. `Allow` をクリックし、権限のスコープを選択する

   Allow ボタンをクリックし、Organization、Service、Database の権限から選択します。すべての権限の説明については、Console roles and permissions を参照してください。

   コンソールにログインするユーザーには、最低でも Organization > Access organization 権限が必要です。

   Data Sources タブへのアクセス

   Data Sources タブにアクセスするには、現在このロールに Manage selected services 権限が必要です。

6. 新しいロールを確認する

   作成を確定する前に、新しいロールに割り当てた権限を確認します。完了したら Create role をクリックします。

​

データベースロールを管理する

コンソールの権限に加え、カスタムロールには、選択したサービスのデータベースへのアクセスを制御する Data ポリシーを含めることができます。これにより、各データベースで個別にロールを管理する代わりに、コンソールとデータベースへのアクセスを一元管理できます。

この機能は、ClickHouse バージョン 26.4 以降を実行しているサービスで利用できます。

カスタムロールに Data ポリシーを追加すると、ClickHouse Cloud は選択した各サービスに、cloud: をプレフィックスとする対応するロールを作成します。たとえば、readonly というカスタムロールは、データベースでは cloud:readonly として表示されます。カスタムロールのメンバーは、SQL コンソールのパスワードレス認証を使用してサービスに接続すると、これらのデータベースの権限を取得します。

Cloud 管理のデータベースロールは、SQL コンソール内の JWT セッションと互換性のない、手動で割り当てられた sql-console-role:<email> ロールに代わるものです。

​

前提条件

サービス上のカスタムデータベースロールは、JWT 認証に依存しており、無効になっている間は適用されません。ロールに Data ポリシーを追加する前に、サービスに移動し、Settings を開き、Security セクションで JWT authentication カードを見つけます。SQL Console トグルが有効になっていることを確認してください。

1. ロールダイアログを開く

   カスタムロールを作成するか、既存のロールを編集します。

2. 組織ポリシーを追加する

   ロールダイアログで Allow をクリックし、Organization を選択して、Access organization 権限を有効にします。

3. サービスポリシーを追加する

   Allow permissions をクリックし、Service を選択して、データポリシーを適用するサービスを選び、View selected services 権限を有効にします。

   ロールのメンバーがコンソールにサインインし、データポリシーが適用される SQL コンソールでサービスを開くには、これら両方の権限が必要です。

4. データポリシーを追加する

   Allow permissions をクリックし、Data を選択します。

5. サービスを選択する

   ポリシーを適用するサービスを選択します。複数のサービスに同じ Read-only または Admin 権限を適用するには、サービスを追加します。

6. アクセスレベルを選択する

   Read-only、Admin、または Custom アクセスを選択します。Custom アクセスでは、ClickHouse の GRANT ステートメントを使用して、特定のデータアクセス権限を定義します。Custom アクセスは、ポリシーの対象が単一のサービスである場合にのみ選択できます。複数のサービスにカスタム権限を定義するには、サービスごとに個別の Data ポリシーを追加します。

7. ロールを作成する

   Create role をクリックします。選択したサービスにデータベースロールが作成されます。ロールがサービスに反映されるまで最大10分かかる場合がありますが、ロールを割り当てられたユーザーは、サービスにクエリを実行するとすぐにその権限を取得します。

​

データベースロールを確認する

コンソール で管理されるロールは、データベース内に cloud: プレフィックスと cloud ストレージタイプを使用して作成され、作成後に表示されるまで最大 10 分かかる場合があります。これらを一覧表示するには、サービス の system.roles テーブルにクエリを実行します。

SELECT * FROM system.roles;

┌─name───────────┬─id───────────────────────────────────┬─storage─┐
│ cloud:readonly │ 9a4910f4-abcf-4904-466a-717c8c75ac42 │ cloud   │
└────────────────┴──────────────────────────────────────┴─────────┘

​

カスタムロールを更新する

カスタムロールは、作成後に更新できます。ロールから削除された権限はユーザーから失われ、追加された権限はユーザーに付与されます。

ユーザーの権限は加算式です。ユーザーが複数のロールを通じてある操作を実行する権限を持っている場合、1 つのロールからのみ権限が削除されても、すぐにアクセスできなくなるとは限りません。

1. 組織設定に移動し、Users and roles を選択します
2. Roles タブを選択します
3. 更新するロールの横にある三点メニューを選択します
4. Edit を選択します
5. 権限を変更します
6. Edit role を選択します

​

カスタムロールを削除する

カスタムロールはいつでも削除できます。

組織内には、管理権限を持つユーザーが少なくとも 1 人必要です。ロールを削除すると最後のユーザーから管理権限が失われる場合、そのロールは削除できません。この問題を回避するには、カスタムロールを削除する前に、少なくとも 1 人のユーザーに Admin システムロールを割り当ててください。

1. 組織設定に移動し、Users and roles を選択します
2. Roles タブを選択します
3. 削除するロールの横にある 3 点メニューを選択します
4. ロールの削除によってアクセスを失うユーザーと API キーを確認します。必要に応じて割り当てを調整してください。
5. Delete role を選択して完了します