Управление пользовательскими ролями

На этой странице описано, как администраторы могут создавать, изменять и удалять пользовательские роли

Это руководство предназначено для пользователей с ролью Admin в ClickHouse Cloud.

Клиенты ClickHouse Cloud могут выбирать из предопределённых системных ролей или создавать пользовательские роли и назначать их пользователям. Дополнительные сведения о системных ролях и связанных с ними разрешениях см. в разделе Роли и разрешения в консоли. В этом руководстве описано управление пользовательскими ролями.

​

Создание пользовательских ролей

Пользовательские роли могут включать комбинацию разрешений на уровне организации, сервиса и базы данных. Разрешения можно применять ко всем сервисам и базам данных или только к их части.

1. Откройте настройки организации и выберите Users and roles

   На странице сервисов выберите имя своей организации. Во всплывающем меню выберите пункт Users and roles.

2. Выберите вкладку Roles

   Выберите вкладку Roles в верхней части экрана по центру.

3. Выберите Create new role в правом верхнем углу

   Нажмите кнопку Create new role в правом верхнем углу экрана.

4. Назовите роль

   Введите понятное имя роли. Это имя будет отображаться при назначении ролей пользователям и ключам API.

5. Нажмите Allow и выберите область действия разрешений

   Нажмите кнопку Allow и выберите разрешения уровня Organization, Service и/или Database. Описание всех разрешений см. в разделе Роли и разрешения в консоли.

   Убедитесь, что у пользователей, которые будут входить в консоль, есть как минимум разрешение Organization > Access organization.

   Доступ к вкладке Data Sources

   Для доступа к вкладке Data Sources роль в настоящее время должна иметь разрешение Manage selected services.

6. Проверьте новую роль

   Перед завершением проверьте разрешения, назначенные новой роли. Когда всё будет готово, нажмите Create role.

​

Управление ролями базы данных

Помимо разрешений консоли, пользовательские роли могут включать политику Data, определяющую доступ к базам данных выбранных сервисов. Это позволяет управлять доступом к консоли и базам данных в одном месте, не поддерживая отдельные роли в каждой базе данных.

Эта возможность доступна для сервисов с ClickHouse версии 26.4 и выше.

Когда вы добавляете политику Data в пользовательскую роль, ClickHouse Cloud создает соответствующую роль в каждом выбранном сервисе с префиксом cloud:. Например, пользовательская роль с именем readonly отображается в базе данных как cloud:readonly. Участники пользовательской роли получают эти разрешения базы данных при подключении к сервису через беспарольную аутентификацию в SQL Console.

Роли баз данных, управляемые Cloud, заменяют вручную назначенные роли sql-console-role:<email>, которые несовместимы с JWT-сеансами в SQL Console.

​

Предварительные требования

Пользовательские роли базы данных в сервисе зависят от JWT-аутентификации и не применяются, пока она отключена. Прежде чем добавлять политику Data в роль, перейдите к сервису, откройте Settings и найдите карточку JWT authentication в разделе Security. Убедитесь, что переключатель SQL Console включен.

1. Откройте диалоговое окно роли

   Создайте пользовательскую роль или отредактируйте существующую.

2. Добавьте политику организации

   В диалоговом окне роли нажмите Allow, выберите Organization и включите разрешение Access organization.

3. Добавьте политику сервиса

   Нажмите Allow permissions, выберите Service, укажите сервисы, к которым будет применяться политика Data, и включите разрешение View selected services.

   Участникам роли нужны оба разрешения, чтобы войти в консоль и открыть сервис в SQL console, где применяется политика Data.

4. Добавьте политику Data

   Нажмите Allow permissions и выберите Data.

5. Выберите сервис

   Выберите сервис, к которому применяется политика. Чтобы применить одинаковые разрешения Read-only или Admin к нескольким сервисам, добавьте другие сервисы.

6. Выберите уровень доступа

   Выберите уровень доступа Read-only, Admin или Custom. При выборе Custom задайте конкретные разрешения на доступ к данным с помощью команд ClickHouse GRANT. Доступ Custom можно выбрать только тогда, когда политика распространяется на один сервис; чтобы задать пользовательские разрешения для нескольких сервисов, добавьте отдельную политику Data для каждого сервиса.

7. Создайте роль

   Нажмите Create role. Роли базы данных будут созданы в выбранных сервисах. Распространение ролей на сервис может занять до 10 минут, но пользователи, которым назначена эта роль, получают ее разрешения сразу при выполнении запросов к сервису.

​

Проверка ролей базы данных

Роли, управляемые через консоль, создаются в базе данных с префиксом cloud: и типом хранения cloud и могут появиться в течение 10 минут после создания. Чтобы получить их список, выполните запрос к таблице system.roles в сервисе:

SELECT * FROM system.roles;

┌─name───────────┬─id───────────────────────────────────┬─storage─┐
│ cloud:readonly │ 9a4910f4-abcf-4904-466a-717c8c75ac42 │ cloud   │
└────────────────┴──────────────────────────────────────┴─────────┘

​

Обновление пользовательских ролей

Пользовательские роли можно изменять после создания. Пользователи потеряют все разрешения, удалённые из роли, и получат все добавленные разрешения.

Разрешения пользователей суммируются. Если у пользователя есть разрешение на выполнение операции в рамках нескольких ролей, он может не сразу потерять доступ, если разрешение удалено только из одной роли.

1. Откройте настройки организации и выберите Users and roles
2. Выберите вкладку Roles
3. Нажмите на значок с тремя точками рядом с ролью, которую нужно изменить
4. Выберите Edit
5. Измените разрешения
6. Выберите Edit role

​

Удаление пользовательских ролей

Пользовательские роли можно удалить в любое время.

В организации должен быть как минимум один пользователь с административными разрешениями. Если при удалении роли административные разрешения будут отозваны у последнего такого пользователя, удалить эту роль не получится. Чтобы решить эту проблему, перед удалением пользовательской роли назначьте как минимум одному пользователю системную роль Admin.

1. Откройте настройки организации и выберите Users and roles
2. Выберите вкладку Roles
3. Нажмите на три точки рядом с ролью, которую хотите удалить
4. Проверьте, какие пользователи и ключи API потеряют доступ после удаления роли. При необходимости измените назначения.
5. Выберите Delete role, чтобы завершить процесс