Управление пользователями ClickHouse®

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы получить список пользователей кластера, выполните команду:

yc managed-clickhouse user list
   --cluster-name=<имя_кластера>

Имя кластера можно запросить со списком кластеров в каталоге.

Чтобы получить список пользователей, воспользуйтесь методом REST API list для ресурса User или вызовом gRPC API UserService/List и передайте в запросе идентификатор кластера в параметре clusterId.

Идентификатор кластера можно получить со списком кластеров в каталоге.

1. Подключитесь к кластеру, используя учетную запись admin.

2. Получите список пользователей:

   SHOW USERS;
   

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы создать пользователя в кластере, выполните команду:

yc managed-clickhouse user create <имя_пользователя> \
   --cluster-name=<имя_кластера> \
   --password=<пароль_пользователя> \
   --permissions=<список_БД> \
   --quota=<список_настроек_одной_квоты_для_пользователя> \
   --settings=<список_настроек_ClickHouse®_для_пользователя>

Где --permissions — список БД, к которым пользователь должен иметь доступ.

Подробнее о квотах и настройках на уровне запроса читайте в разделе Настройки ClickHouse®.

Чтобы задать несколько квот, перечислите их, используя требуемое количество параметров --quota в команде:

yc managed-clickhouse user create <имя_пользователя> \
   ...
   --quota="<настройки_квоты_0>" \
   --quota="<настройки_квоты_1>" \
   ...

Имя кластера можно запросить со списком кластеров в каталоге.

См. также: пример создания пользователя с правами «только чтение».

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

2. Добавьте к описанию кластера Managed Service for ClickHouse® блок user:

   resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
     ...
     user {
       name     = "<имя_пользователя>"
       password = "<пароль>"
       ...
     }
   }
   

   Примечание

   Имя пользователя может содержать латинские буквы, цифры, дефис и подчеркивание, но должно начинаться с буквы или подчеркивания.

   Длина пароля от 8 до 128 символов.

3. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

4. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Подробнее см. в документации провайдера Terraform.

resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
  ...
  timeouts {
    create = "1h30m" # Полтора часа
    update = "2h"    # 2 часа
    delete = "30m"   # 30 минут
  }
}

Чтобы создать пользователя, воспользуйтесь методом REST API create для ресурса User или вызовом gRPC API UserService/Create и передайте в запросе:

• Идентификатор кластера в параметре clusterId. Идентификатор кластера можно получить со списком кластеров в каталоге.
• Имя нового пользователя в параметре userSpec.name.
• Пароль нового пользователя в параметре userSpec.password.
• (Опционально) Список баз, к которым пользователь должен иметь доступ, в параметре userSpec.permissions[].
• (Опционально) Список настроек ClickHouse® для пользователя в параметре userSpec.settings.
• (Опционально) Список настроек квот для пользователя в параметре userSpec.quotas[].

1. Подключитесь к кластеру, используя учетную запись admin.

2. Создайте пользователя:

   CREATE USER <имя_пользователя> IDENTIFIED WITH sha256_password BY '<пароль_пользователя>';
   

   Примечание

   Имя пользователя может содержать латинские буквы, цифры, дефис и подчеркивание, но должно начинаться с буквы или подчеркивания.

   Длина пароля от 8 до 128 символов.

Подробнее о создании пользователей см. в документации ClickHouse®.

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы изменить пароль пользователя, выполните команду:

yc managed-clickhouse user update <имя_пользователя> \
   --cluster-name=<имя_кластера> \
   --password=<новый_пароль>

Имя кластера можно запросить со списком кластеров в каталоге.

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

2. Найдите в описании кластера Managed Service for ClickHouse® блок user для нужного пользователя.

3. Измените значение поля password:

   resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
     ...
     user {
       name     = "<имя_пользователя>"
       password = "<новый_пароль>"
       ...
     }
   }
   

   Примечание

   Длина пароля от 8 до 128 символов.

4. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

5. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Подробнее см. в документации провайдера Terraform.

resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
  ...
  timeouts {
    create = "1h30m" # Полтора часа
    update = "2h"    # 2 часа
    delete = "30m"   # 30 минут
  }
}

Чтобы изменить пароль, воспользуйтесь методом REST API update для ресурса User или вызовом gRPC API UserService/Update и передайте в запросе:

• Идентификатор кластера в параметре clusterId. Чтобы узнать идентификатор, получите список кластеров в каталоге.

• Новый пароль в параметре password.

  Примечание

  Длина пароля от 8 до 128 символов.

• Список полей конфигурации пользователя, которые необходимо изменить (в данном случае — password), в параметре updateMask.

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

2. Измените значение поля admin_password:

   resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
     ...
     admin_password = "<пароль_пользователя_admin>"
     ...
   }
   

   Примечание

   Длина пароля от 8 до 128 символов.

3. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

4. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Подробнее см. в документации провайдера Terraform.

resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
  ...
  timeouts {
    create = "1h30m" # Полтора часа
    update = "2h"    # 2 часа
    delete = "30m"   # 30 минут
  }
}

Чтобы изменить пароль пользователя admin, воспользуйтесь методом REST API update для ресурса Cluster или вызовом gRPC API ClusterService/Update и передайте в запросе:

• Идентификатор кластера в параметре clusterId. Чтобы узнать идентификатор, получите список кластеров в каталоге.

• Новый пароль в параметре configSpec.adminPassword.

  Примечание

  Длина пароля от 8 до 128 символов.

• Список полей конфигурации пользователя, которые необходимо изменить (в данном случае — configSpec.adminPassword), в параметре updateMask.

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Из интерфейса командной строки можно изменить настройки пользователя:

1. Чтобы настроить права пользователя на доступ к определенным базам данных, выполните команду, перечислив список имен баз данных с помощью параметра --permissions:

   yc managed-clickhouse user update <имя_пользователя> \
      --cluster-name=<имя_кластера> \
      --permissions=<список_БД>
   

   Имя кластера можно запросить со списком кластеров в каталоге.

   Эта команда предоставляет пользователю доступ к базам данных, указанным в списке.

   Чтобы отозвать доступ к определенной базе, исключите ее имя из списка и передайте команде обновленный список.

2. Чтобы изменить настройки квот для пользователя, выполните команду, перечислив список всех квот, с помощью параметров --quota (один параметр на каждую квоту):

   yc managed-clickhouse user update <имя_пользователя> \
      --cluster-name=<имя_кластера> \
      --quota=<настройки_квоты_0_(без_изменений)> \
      --quota=<настройки_квоты_1_(без_изменений)> \
      --quota=<настройки_квоты_2_(с_изменениями)> \
      --quota=<настройки_квоты_3_(без_изменений)> \
      --quota=<настройки_квоты_4_(с_изменениями)> \
      --quota=<настройки_квоты_5_(новая_квота)>
     ...
   

   Имя кластера можно запросить со списком кластеров в каталоге.

   Эта команда перезаписывает все существующие настройки квот пользователя новыми настройками, набор которых был передан команде.
   Перед выполнением команды убедитесь, что вы включили в этот набор как настройки новых и измененных квот, так и настройки существующих квот, которые не изменялись.

   Чтобы удалить одну или несколько квот пользователя, исключите настройки этих квот из набора и передайте команде обновленный набор параметров --quota.

   При задании интервала для квоты допустимо использовать запись с указанием единиц измерения: часов (h), минут (m), секунд (s) и миллисекунд (ms). Пример такой записи: 3h20m10s7000ms (итоговое значение представляется по-прежнему в миллисекундах: 12017000). Значение интервала должно быть кратно 1000 миллисекунд (значение вида 1s500ms является некорректным).

3. Чтобы изменить настройки ClickHouse® для пользователя, выполните команду, перечислив измененные настройки с помощью параметра --settings:

   yc managed-clickhouse user update <имя_пользователя> \
      --cluster-name=<имя_кластера> \
      --settings=<список_настроек_ClickHouse®>
   

   Имя кластера можно запросить со списком кластеров в каталоге.

   Команда изменит только те настройки, которые явно указаны в параметре --settings. Например, команда с параметром --settings="readonly=1" изменит только настройку readonly и не сбросит значения остальных. Этим изменение настроек ClickHouse® отличается от изменения настроек квот.

   С помощью этой команды невозможно удалить сделанную настройку, допустимо только явно присвоить ей значение по умолчанию (оно указано для каждой настройки).

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

2. Чтобы настроить права пользователя на доступ к определенным базам данных, добавьте необходимое количество блоков permission к описанию пользователя кластера — по одному на каждую базу:

   resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
     ...
     user {
       name     = "<имя_пользователя>"
       password = "<пароль>"
       permission {
         database_name = "<база_данных_1>"
       }
       ...
       permission {
         database_name = "<база_данных_N>"
       }
     }
   }
   

   В поле database_name укажите имя базы данных, к которой нужно предоставить доступ.

3. Чтобы изменить настройки квот для пользователя, добавьте необходимое количество блоков quota к его описанию.

   При описании квот обязательным является только поле interval_duration.

   resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
     ...
     user {
       name     = "<имя_пользователя>"
       password = "<пароль>"
       ...
       quota {
         interval_duration = <длительность_интервала_в_миллисекундах>
         ...
       }
     }
   }
   

4. Чтобы изменить настройки ClickHouse® для пользователя, добавьте блок settings к его описанию.

   resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
     ...
     user {
       name     = "<имя_пользователя>"
       password = "<пароль>"
       ...
       settings {
         <настройки_СУБД_для_отдельного_пользователя>
       }
     }
   }
   

5. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

6. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Подробнее см. в документации провайдера Terraform.

resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
  ...
  timeouts {
    create = "1h30m" # Полтора часа
    update = "2h"    # 2 часа
    delete = "30m"   # 30 минут
  }
}

Чтобы изменить настройки пользователя, воспользуйтесь методом REST API update для ресурса User или вызовом gRPC API UserService/Update и передайте в запросе:

• Идентификатор кластера в параметре clusterId. Чтобы узнать идентификатор, получите список кластеров в каталоге.
• Имя пользователя, настройки которого будут изменены, в параметре userName. Чтобы узнать имя, получите список пользователей.
• (Опционально) Список баз, к которым пользователь должен иметь доступ, в параметре userSpec.permissions[].
• (Опционально) Список настроек ClickHouse® для пользователя в параметре userSpec.settings.
• (Опционально) Список настроек квот для пользователя в параметре userSpec.quotas[].
• Список полей конфигурации пользователя, которые необходимо изменить, в параметре updateMask.

1. Подключитесь к кластеру, используя учетную запись admin.

2. Чтобы изменить набор привилегий и ролей пользователя, используйте запросы GRANT и REVOKE. Например, выдайте пользователю права на чтение всех объектов в определенной базе данных:

   GRANT SELECT ON <имя_базы_данных>.* TO <имя_пользователя>;
   

3. Чтобы изменить настройки квот для пользователя, используйте запросы CREATE QUOTA, ALTER QUOTA и DROP QUOTA. Например, ограничьте суммарное количество запросов пользователя за период 15 месяцев:

   CREATE QUOTA <название_квоты> FOR INTERVAL 15 MONTH MAX QUERIES 100 TO <имя_пользователя>;
   

4. Чтобы изменить учетную запись пользователя, используйте запрос ALTER USER. Например для изменения настроек ClickHouse® выполните следующую команду, перечислив настройки подлежащие изменению:

   ALTER USER <имя_пользователя> SETTINGS <список_настроек_ClickHouse®>;
   

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы удалить пользователя, выполните команду:

yc managed-clickhouse user delete <имя_пользователя> \
   --cluster-name=<имя_кластера>

Имя кластера можно запросить со списком кластеров в каталоге.

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

2. Удалите из описания кластера Managed Service for ClickHouse® блок user с описанием нужного пользователя.

3. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

4. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Подробнее см. в документации провайдера Terraform.

resource "yandex_mdb_clickhouse_cluster" "<имя_кластера>" {
  ...
  timeouts {
    create = "1h30m" # Полтора часа
    update = "2h"    # 2 часа
    delete = "30m"   # 30 минут
  }
}

Чтобы удалить пользователя, воспользуйтесь методом REST API delete для ресурса User или вызовом gRPC API UserService/Delete и передайте в запросе:

• Идентификатор кластера в параметре clusterId. Чтобы узнать идентификатор, получите список кластеров в каталоге.
• Имя пользователя, настройки которого будут изменены, в параметре userName. Чтобы узнать имя, получите список пользователей.

1. Подключитесь к кластеру, используя учетную запись admin.

2. Удалите пользователя:

   DROP USER <имя_пользователя>;
   

Подробнее об удалении объектов см. в документации ClickHouse®.

Запустите следующую команду:

yc managed-clickhouse user create "ro-user" \
   --cluster-name="mych" \
   --password="Passw0rd" \
   --permissions="db1" \
   --settings="readonly=1"

После создания пользователя проверьте, что он действительно работает в режиме «только чтение»:

1. Подключитесь к кластеру mych, используя созданного пользователя ro-user.

2. Попытайтесь изменить какую-нибудь настройку, например, попытайтесь отключить режим «только чтение»:

   SET readonly=0
   

   В результате выполнения команды должно отобразиться сообщение о невозможности изменения настройки в режиме «только чтение»:

   DB::Exception: Cannot modify 'readonly' setting in readonly mode.
   

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

2. Добавьте к описанию кластера блок user.

   resource "yandex_mdb_clickhouse_cluster" "mych" {
     name = "mych"
   
     database {
       name = "db1"
     }
   
     user {
       name     = "ro-user"
       password = "Passw0rd"
       permission {
         database_name = "db1"
       }
       settings {
         readonly = 1
       }
     }
     ...
   }
   

3. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

4. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

1. Подключитесь к кластеру mych, используя учетную запись admin.

2. Создайте пользователя:

   CREATE USER ro-user IDENTIFIED WITH sha256_password BY 'Passw0rd';
   

3. Выдайте пользователю права на чтение всех объектов базы данных db1:

   GRANT SELECT ON db1.* TO ro-user;