سبب عدم استمرار `SET ROLE` في ClickHouse Cloud SQL Console

عند تشغيل SET ROLE في ClickHouse Cloud SQL Console، قد يبدو أن الدور يتغير لاستعلام واحد ثم يعود إلى حالته السابقة في الاستعلام التالي. استخدم دور SQL Console مخصصًا لكل مستخدم عندما تحتاج الأذونات إلى الاستمرار عبر الاستعلامات والجلسات.

قد تلاحظ واحدًا أو أكثر مما يلي:

• بعد تشغيل SET ROLE sql_console_developer، تستمر الاستعلامات اللاحقة في التنفيذ باستخدام sql_console_read_only.
• تختلف نتائج currentRoles وenabledRoles وdefaultRoles من استعلام إلى آخر.
• لا يؤدي تشغيل SET ROLE مع استعلام آخر إلى الاحتفاظ بالدور المحدد باستمرار.
• يعرض SHOW GRANTS الأدوار المتوقعة، لكن أذوناتها غير مفعّلة.

يمكنك فحص المستخدم الحالي والأدوار باستخدام:

SELECT
    currentUser(),
    currentRoles(),
    enabledRoles(),
    defaultRoles();

ترسل SQL Console الاستعلامات عبر اتصالات HTTP عديمة الحالة إلى خدمة ClickHouse Cloud تضم عدة نُسخ متماثلة. ولا يُضمن أن تستخدم الاستعلامات المتتالية الاتصال نفسه أو النسخة المتماثلة نفسها.

يغيّر SET ROLE الأدوار المفعّلة للجلسة الحالية، لكنه لا يحفظ حالة الجلسة هذه لطلبات SQL Console اللاحقة. لذلك، قد يُنفَّذ استعلام لاحق من دون الدور الذي فعّله طلب سابق.

لهذا السبب، لا تستخدم SET ROLE كآلية دائمة للتحكم في الوصول في SQL Console.

عندما يفتح المستخدم SQL Console، ينشئ ClickHouse Cloud مستخدم قاعدة بيانات وفق اصطلاح التسمية التالي:

sql-console:user@example.com

يتحقق ClickHouse Cloud أيضًا من وجود دور قاعدة بيانات يتبع اسمه الاصطلاح التالي:

sql-console-role:user@example.com

عند وجود هذا الدور، يُسنِده ClickHouse Cloud إلى مستخدم SQL Console المقابل. وهذه هي الطريقة المدعومة لمنح أذونات مخصصة دائمة لمستخدم محدد في SQL Console.

نفّذ العبارات التالية بصفتك مستخدمًا لديه امتيازات إدارية على الخدمة، مثل مستخدم SQL Console لديه دور sql_console_admin أو مستخدم آخر لديه امتياز ACCESS MANAGEMENT.

CREATE ROLE IF NOT EXISTS sql_console_developer;

GRANT SELECT, INSERT, CREATE TABLE
ON my_database.*
TO sql_console_developer;

CREATE ROLE IF NOT EXISTS `sql-console-role:user@example.com`;

GRANT sql_console_developer
TO `sql-console-role:user@example.com`;

GRANT sql_console_developer, sql_console_read_only
TO `sql-console-role:user@example.com`;

SELECT
    currentUser(),
    currentRoles(),
    enabledRoles(),
    defaultRoles();

لا تعدّل sql_console_admin أو sql_console_read_only لمنح أذونات مخصصة. يدير ClickHouse Cloud هذه الأدوار المضمنة. استخدم بدلاً من ذلك sql-console-role:<email> لتعيين أذونات لكل مستخدم.

للاطلاع على أمثلة عامة لإدارة الأدوار، راجع استعلامات شائعة لإدارة الوصول.