Friday night，写篇超短文吧。
在之前的ClickHouse版本中，我们只能通过修改users.xml文件来配置用户及相关的参数（权限、资源限制、查询配额等），不是很方便。好在从20.5版本起，ClickHouse开始支持SQL化的用户配置（如同MySQL、PostgreSQL一样），易用性增强了很多。
SQL化用户配置默认是关闭的，要启用它，需要在users.xml中的一个用户（一般就是默认的default）下添加：
<access_management>1</access_management>
另外还需要在config.xml中配置权限管理数据的存储位置：
<access_control_path>/data1/clickhouse/access/</access_control_path>
这样我们就可以用default用户管理其他用户了。ClickHouse采用与MySQL近似的RBAC（Role-based access control，基于角色的访问控制）机制，所以语法也很像。下面简要列举几个操作，更加详细的内容可以参见官方文档：https://clickhouse.tech/docs/en/operations/access-rights/。
- 创建一个单次查询只允许使用4个线程、4G内存的只读profile。
CREATE SETTINGS PROFILE low_mem_readonly
SETTINGS max_threads = 4, max_memory_usage = 4000000000
READONLY;
- 基于上述profile创建一个名为accountant的角色，并授予该角色查询account_db数据库中所有表的权限。
CREATE ROLE accountant SETTINGS PROFILE 'low_mem_readonly';
GRANT SELECT ON account_db.* TO accountant;
- 创建一个允许内网访问的用户lmagic，设定密码，并指定它的默认角色为accountant，lmagic用户就具有了accountant角色的权限。
注意新创建的用户没有任何权限，我们也可以通过GRANT语句直接给用户授予权限。
CREATE USER lmagic@'192.168.%.%'
IDENTIFIED WITH sha256_password BY 'lm2020'
DEFAULT ROLE accountant;
GRANT OPTIMIZE ON datasets.hits_v1 TO lmagic@'192.168.%.%';
观察上面设定的access_control_path目录，可以发现创建的用户配置都被保存了下来。
-rw-r----- 1 clickhouse clickhouse 135 Sep 4 21:51 034f455a-aeec-f9d0-3f76-b026318de1bd.sql
-rw-r----- 1 clickhouse clickhouse 107 Sep 4 21:45 934198fc-bd87-90bb-2062-f0c165f54cae.sql
-rw-r----- 1 clickhouse clickhouse 293 Sep 4 21:58 b643aee4-c4d4-5dd8-2e63-2dd13bf42e90.sql
-rw-r----- 1 clickhouse clickhouse 1 Aug 23 01:14 quotas.list
-rw-r----- 1 clickhouse clickhouse 48 Sep 4 21:52 roles.list
-rw-r----- 1 clickhouse clickhouse 1 Aug 23 01:14 row_policies.list
-rw-r----- 1 clickhouse clickhouse 54 Sep 4 21:46 settings_profiles.list
-rw-r----- 1 clickhouse clickhouse 56 Sep 4 21:59 users.list
如果需要更改用户配置，使用ALTER、DROP、REVOKE语法即可。例如：
- 修改lmagic用户的密码，并改为在任何地址都可访问。
ALTER USER lmagic@'192.168.%.%'
RENAME TO lmagic@'%'
IDENTIFIED WITH sha256_password BY 'lm2021';
- 删除刚才创建的profile。
DROP SETTINGS PROFILE low_mem_readonly;
- 撤销lmagic用户的OPTIMIZE权限。
REVOKE OPTIMIZE ON datasets.hits_v1 FROM lmagic@'%';
最后需要注意，上述配置语句的作用域都是在单个节点上的。如果想要在集群所有节点上都生效的话，使用老生常谈的ON CLUSTER语法即可。例如：
CREATE USER lmagic@'192.168.%.%' ON CLUSTER sht_ck_cluster_pro1
IDENTIFIED WITH......
就酱吧，民那晚安晚安。
网友评论