Clickhouse用户权限

最新推荐文章于 2024-08-15 09:32:54 发布

jv入土之路

最新推荐文章于 2024-08-15 09:32:54 发布

阅读量4.2k

点赞数 2

分类专栏：数据库用户创建用户权限

本文链接：https://blog.csdn.net/weixin_42502414/article/details/107469394

版权

数据库同时被 3 个专栏收录

1 篇文章 0 订阅

订阅专栏

用户创建

1 篇文章 0 订阅

订阅专栏

用户权限

1 篇文章 0 订阅

订阅专栏

一、创建用户

1.1 xml方式创建用户

创建用户的具体xml内容如下：

<user_name>

<password_sha256_hex></password_sha256_hex>

<access_management>0|1</access_management>

</networks>

<profile>profile_name</profile>

<quota>default</quota>

<database_name>

<table_name>

<filter>expression</filter>

<table_name>

</database_name>

</databases>

</user_name>

整个内容放在user.xml的<users></users>标签下。

Password设置：

Password下存放明文密码，password_sha256_hex标签下存放sha256加密后的密码，password_double_sha1_hex标签下可以存放double sha1加密后的密码。这里建议使用加密过后的密码。

可以在命令行中创建加密密码。

Sha256加密执行以下命令：

PASSWORD=$(base64 < /dev/urandom | head -c8); echo "$PASSWORD"; echo -n "$PASSWORD" | sha256sum | tr -d '-'

Double sha1加密执行以下命令

Network网络限制：

<network>,允许被登陆clickhouse服务器的客户端列表，支持通过ip、host、host_regexp方式设置。

使用ip进行设置：

使用host来进行设置：

<host>example1.host.com</host>

使用host_regexp进行设置：

<host_regexp>^example\d\d-\d\d-\d\.host\.ru$</host_regexp>

Profile设置：

在<profile></profile>标签下，写入之前已经设置好的profile权限名，表示该用户拥有该权限。具体的权限设置见2.1中profiles标签的设置。

Quota设置：

在<quota></quota>标签下，填入已经预先配置好的quota名称，具体的quota设置见3.1中的quota配置。

Database设置：

这里是设置用户可以访问的数据库，以及数据库下表的访问权限。

<database_name>

</table1>

</database_name>

</databases>

<databases>或者可以使用<allow_databases>下定义该用户可以访问的数据库，这里可以包含一个或者多个数据库，同理在数据库标签下可以设置表名，表示可以访问的对应数据库下的表。不填写默认全都能访问。<filter></filter>中填写表达式，id= 1000，表示只能访问id为1000的数据项，id<10,表示只能访问id小于10的数据项。其他的表达式同理。

1.2 sql方式创建用户

配置修改：

1、在config.xml中添加access_control_path 配置项，具体如下：<access_control_path>/var/lib/clickhouse/access/</access_control_path>

通过 SQL 形式创建的用户、角色等信息将以文件的形式被保存在这个目录。

2、在user.xml中为默认用户default添加access_management配置项

<access_management>1</access_management>

0代表disabled，1代表enabled。默认为0。

创建用户：

官方文档介绍如下: CREATE USER [IF NOT EXISTS | OR REPLACE] name [ON CLUSTER cluster_name]

[IDENTIFIED [WITH {NO_PASSWORD|PLAINTEXT_PASSWORD|SHA256_PASSWORD|SHA256_HASH|DOUBLE_SHA1_PASSWORD|DOUBLE_SHA1_HASH}] BY {'password'|'hash'}]

[HOST {LOCAL | NAME 'name' | REGEXP 'name_regexp' | IP 'address' | LIKE 'pattern'} [,...] | ANY | NONE]

[DEFAULT ROLE role [,...]]

[SETTINGS variable [= value] [MIN [=] min_value] [MAX [=] max_value] [READONLY|WRITABLE] | PROFILE 'profile_name'] [,...]

这里举例创建一个user_01用户:

CREATE USER user_01 IDENTIFIED WITH PLAINTEXT_PASSWORD BY '123'

官方修改用户信息命令如下:

ALTER USER [IF EXISTS] name [ON CLUSTER cluster_name]

[RENAME TO new_name]

[IDENTIFIED [WITH {PLAINTEXT_PASSWORD|SHA256_PASSWORD|DOUBLE_SHA1_PASSWORD}] BY {'password'|'hash'}]

[[ADD|DROP] HOST {LOCAL | NAME 'name' | REGEXP 'name_regexp' | IP 'address' | LIKE 'pattern'} [,...] | ANY | NONE]

[DEFAULT ROLE role [,...] | ALL | ALL EXCEPT role [,...] ]

[SETTINGS variable [= value] [MIN [=] min_value] [MAX [=] max_value] [READONLY|WRITABLE] | PROFILE 'profile_name'] [,...]

这里举例修改用户的密码:

ALTER USER user_01 IDENTIFIED WITH PLAINTEXT_PASSWORD BY '111111'

将密码修改为111111.

二、用户权限赋予

2.1 xml方式对用户赋予权限

在user.xml中定义各种权限

<max_memory_usage>10000000000</max_memory_usage><!-限制内存使用-->

<load_balancing>random</load_balancing>

<max_memory_usage>

</max_memory_usage>

<load_balancing>

</load_balancing>

</constraints>

</default>

</profiles>

profile中有约束条件，从而限制其中的参数值被任意修改，约束条件有三种规则：

Min：最小值约束，对应参数取值不能小于该值.

Max：最大值约束，对应参数取值不能大雨该值.

Readonly：只读约束，对应参数禁止修改.

参数介绍:

readonly ：读权限、写权限和设置权限，由此标签控制，它有三种取值：

0，不进行任何限制（默认值,可读可写）；

1，只拥有读权限（只能执行SELECT、EXISTS、SHOW和DESCRIBE）；

2，拥有读权限和设置权限（在读权限基础上，增加了SET查询）。

当设置readonly=1后，用户将无法在当前会话中更改readonly和allow_ddl设置；也可以通过约束来限制更改权限。

allow_ddl：DDL权限由此标签控制，它有两种取值：

当取值为0时，不允许DDL查询；

当取值为1时，允许DDL查询（默认值）

如果当前会话的allow_ddl = 0，则无法执行SET allow_ddl = 1

对用户增删改查限制:(select,insert,delete,update)

<normal> --只读，不能DDL

<allow_ddl>0</allow_ddl>

</normal>

<normal_1> --读且能set，不能DDL

<allow_ddl>0</allow_ddl>

</normal_1>

<normal_2> --只读，即使DDL允许

<allow_ddl>1</allow_ddl>

</normal_2>

<normal_3> --读写，能DDL

<allow_ddl>1</allow_ddl>

</normal_3>

通过修改用户的<profile></profile>标签的名称来改变该用户的权限，其中的profile_name一定要在profiles下有定义才能够实现

2.2 sql驱动方式赋予权限

官方标准的sql语句格式：GRANT [ON CLUSTER cluster_name] privilege[(column_name [,...])] [,...] ON {db.table|db.*|*.*|table|*} TO {user | role | CURRENT_USER} [,...] [WITH GRANT OPTION]