Создать роль

Если у вас есть кластер ClickHouse®, вы можете создать в нем роль с помощью кастомного ресурса ClickhouseRole.

В роли задаются:

• наследование других ролей (spec.membership);
• блоки прав (spec.grants) на объекты ClickHouse® четырех типов: база данных, таблица, именованная коллекция, администрирование пользователей и ролей.

Ресурс ClickhouseRole должен находиться в том же пространстве имен, что и кластер ClickhouseCluster. Имя ресурса должно соответствовать шаблону <название_кластера>-<имя_роли>.

Через CLIЧерез CLI

1. Создайте файл ресурса ClickhouseRole. Например, с помощью команды touch clickhouserole.yaml.

2. Откройте файл и вставьте конфигурацию ниже:

   Роль с правом чтения

   Роль с наследованием и правами на таблицу

   apiVersion: clickhouse.stackland.yandex.cloud/v1alpha1
   kind: ClickhouseRole
   metadata:
     name: <название_кластера>-reader
   spec:
     cluster: <название_кластера>
     name: reader
     grants:
       - database:
           name: <имя_базы>
           privileges:
             - SELECT
   

   apiVersion: clickhouse.stackland.yandex.cloud/v1alpha1
   kind: ClickhouseRole
   metadata:
     name: <название_кластера>-writer
   spec:
     cluster: <название_кластера>
     name: writer
     membership:
       - reader
     grants:
       - database:
           name: <имя_базы>
           privileges:
             - SELECT
             - INSERT
             - CREATE TABLE
             - ALTER TABLE
       - table:
           database: <имя_базы>
           table: <имя_таблицы>
           privileges:
             - SELECT
             - INSERT
   

   Где:

   • spec.cluster — название кластера ClickhouseCluster.
   • spec.name — имя роли в ClickHouse®.
   • spec.membership — необязательный список ролей, от которых наследуется эта роль. В списке указываются значения spec.name других ресурсов ClickhouseRole.
   • spec.grants — список блоков прав. В каждом блоке заполняется ровно одно из полей: database, table, namedCollection, access.

3. Примените манифест: kubectl apply -f clickhouserole.yaml -n <название_проекта>.

Допустимые привилегииДопустимые привилегии

Набор допустимых привилегий зависит от типа блока прав. Значения должны совпадать с CRD посимвольно, включая пробелы в многословных привилегиях.

Через консоль управленияЧерез консоль управления

1. Если вы еще не открыли проект, выберите проект.

2. В левом меню выберите ClickHouse® Clusters.

3. Выберите кластер.

4. Перейдите на вкладку Роли.

5. Нажмите Создать.

6. Заполните поля:

   • Имя роли — имя роли в ClickHouse®.
   • Наследовать роли от — необязательный список ролей этого же кластера, от которых наследуется новая роль. Можно выбрать несколько ролей.

7. В блоке Права доступа настройте права. По умолчанию доступен один блок прав:

   • В переключателе Права на выберите тип объекта: База данных, Таблица, Именованная коллекция или Администрирование пользователей и ролей.
   • Для типа База данных выберите базу и привилегии.
   • Для типа Таблица выберите базу, укажите имя таблицы и выберите привилегии.
   • Для типов Именованная коллекция и Администрирование пользователей и ролей выберите только привилегии.

   Чтобы добавить еще один блок прав, нажмите Добавить. Чтобы удалить блок прав, нажмите Удалить на нужном блоке.

   Перечень допустимых привилегий для каждого типа блока приведен в разделе Допустимые привилегии.

8. Нажмите Создать.

Готово, роль появится в списке на вкладке Роли.