ClickHouse 系列：資料庫安全性與權限管理（RBAC）實作

1017 字

5 分鐘

ClickHouse 系列：資料庫安全性與權限管理（RBAC）實作

2025-08-31

software development

ClickHouse

/

Database

/

鐵人賽

資料庫安全性與權限管理（RBAC, Role-Based Access Control）是不可或缺的基礎設施。ClickHouse 支援細緻的權限設計與 RBAC 機制，能夠確保數據資源的正確隔離與授權，降低操作風險與資安威脅。

RBAC 架構與核心概念#

元件	說明
User	資料庫使用者，可指定密碼、網路存取範圍、預設角色等。
Role	角色，承載一組權限（Privilege），可賦予多個使用者。
Privilege	權限，例如 SELECT、INSERT、ALTER、DROP，可指定作用範圍 (Database/Table)。
Quota	資源限制，如每分鐘可執行的查詢數、讀取資料量等。
Profile	設定檔，如 max_memory_usage、readonly 模式等使用者層級設定。

RBAC 設計以 User → Role → Privilege 的方式進行權限授予，能讓權限管理變得簡單且可重複使用。

啟用 RBAC 與使用者權限管理#

啟用 Access Management

確保 config.xml 中已啟用：

1
<access_control>
2
    <enabled>true</enabled>
3
</access_control>

或使用 Docker 時，指定環境變數：

1
CLICKHOUSE_DEFAULT_ACCESS_MANAGEMENT: 1

建立 User

1
CREATE USER analyst IDENTIFIED WITH plaintext_password BY 'analyst_pass';

建立 Role 並授予權限

1
CREATE ROLE analytics_reader;
2
GRANT SELECT ON default.user_events TO analytics_reader;

將 Role 指派給 User

1
GRANT analytics_reader TO analyst;

檢查授權結果

1
SHOW GRANTS FOR analyst;

進階：Profile 與 Quota 設定#

建立資源限制 (Quota)

1
CREATE QUOTA daily_quota KEYED BY user_name FOR INTERVAL 1 DAY MAX queries = 1000, errors = 100;

建立 Profile（用於參數限制）

1
CREATE SETTINGS PROFILE analyst_profile SETTINGS
2
    max_memory_usage = 1000000000,
3
    readonly = 1;

將 Quota 與 Profile 指派給 User

1
ALTER USER analyst
2
    SETTINGS PROFILE analyst_profile
3
    QUOTA daily_quota;

模擬登入與權限驗證#

使用權限帳號進行查詢

1
clickhouse-client --user=analyst --password=analyst_pass --query="SELECT * FROM default.user_events LIMIT 10"

測試未授權操作

1
clickhouse-client --user=analyst --password=analyst_pass --query="DROP TABLE default.user_events"
2
-- Expected: DB::Exception: analyst: Not enough privileges.

RBAC 實作策略建議#

情境	實作建議
多使用者查詢不同資料表	以 Role 將不同表的 SELECT 權限進行組合管理。
嚴格限制查詢資源消耗	使用 Quota 及 Profile 限制記憶體、查詢數量、錯誤次數等。
只讀帳號/唯讀 API 查詢	配置 readonly Profile，禁止寫入/DDL 操作。
多租戶 (Multi-Tenant) 架構	以 Role 與 Database Scope 控制租戶隔離權限。