Управление ролями

Роли ClickHouse регулируют доступ к действиям внутри кластера. Например, доступ к данным, выполнение запросов и т.д.

Управлять ролями ClickHouse можно с помощью SQL-запросов. С полным списком SQL-операторов ClickHouse вы можете ознакомиться в официальной документации ClickHouse.

Получить список ролей в кластере

Запросите список ролей из системной таблицы system.roles, которая содержит метаданные обо всех ролях. Для этого используйте оператор SELECT и виртуальный движок clusterAllReplicas, который выполняет запрос к указанной таблице на всех узлах всех шардов заданного кластера.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Выполните запрос:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Получить информацию о конкретной роли

Запросите из системной таблицы system.roles данные о роли по ее имени. Для просмотра используйте оператор SELECT.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:
sql
```
1
SELECT *
2
FROM system.roles
3
WHERE name = '<имя роли>'
4
LIMIT 1;
```
Здесь условие LIMIT со значением 1 возвращает первую найденную запись из таблицы system.roles.

Создать роль

Для создания роли используйте оператор CREATE.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.
Выполните запрос:
sql
```
1
CREATE ROLE [IF NOT EXISTS] <имя роли>;
```
В запросе условие IF NOT EXISTS предотвращает ошибку, если роль с таким именем уже существует.

Выдать привилегии роли

Для операции используйте оператор GRANT.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:

1
GRANT <привилегия> ON <объект> TO <имя роли>;

Получить привилегии роли

Для просмотра используйте оператор SHOW.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:
sql
```
1
SHOW GRANTS FOR <имя роли>;
```

Отозвать привилегии у роли

Для операции используйте оператор REVOKE.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:

1
REVOKE <привилегия> ON <объект> FROM <имя роли>;

Назначить профиль настроек роли

Для операции используйте оператор ALTER ROLE.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Узнайте имя профиля:

1
SELECT name
2
FROM system.settings_profiles
3
ORDER BY name;

Выполните запрос:

1
ALTER ROLE <имя роли>
2
SETTINGS PROFILE = '<имя профиля>';

Все пользователи с этой ролью будут использовать указанный профиль.

Также вы можете назначить роли профиль настроек при создании профиля.

Получить профиль настроек роли

Запросите информацию о профиле, назначенном роли, из системной таблицы system.roles. Для просмотра используйте оператор SELECT.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:

1
SELECT name, settings_profile
2
FROM system.roles
3
WHERE name = '<имя роли>';

В поле settings_profile будет указано имя профиля, назначенного роли. Если профиль не назначен, поле будет пустым.

Отозвать профиль настроек у роли

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:

1
ALTER ROLE <имя роли>
2
SETTINGS PROFILE = NONE;

Настроить наследование роли

Для операции используйте оператор GRANT.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.
Узнайте имя роли-источника:
sql
```
1
SELECT name
2
FROM system.roles
3
ORDER BY name;
```
Узнайте имя роли-наследника:
sql
```
1
SELECT name
2
FROM system.roles
3
ORDER BY name;
```

Выполните запрос:

1
GRANT <роль-источник> TO <роль-наследник>;

Роль-наследник будет иметь привилегии роли-источника, даже если привилегии роли-источника изменятся.

Отозвать наследование роли

Для операции используйте оператор REVOKE.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.
Узнайте имя роли-источника:
sql
```
1
SELECT name
2
FROM system.roles
3
ORDER BY name;
```
Узнайте имя роли-наследника:
sql
```
1
SELECT name
2
FROM system.roles
3
ORDER BY name;
```

Выполните запрос:

1
REVOKE <роль-источник> FROM <роль-наследник>;

Роль-наследник перестанет наследовать привилегии роли-источника.

Удалить роль

Для удаления роли используйте оператор DROP.

В standalone-кластере
В multi-node-кластере

Подключитесь к кластеру.

Узнайте имя роли:

1
SELECT name
2
FROM system.roles
3
ORDER BY name;

Выполните запрос:
sql
```
1
DROP ROLE [IF EXISTS] <имя роли>;
```
В запросе IF EXISTS предотвращает ошибку, если роли с таким именем не существует.

Роль удалится, а пользователи потеряют привилегии, полученные с этой ролью.