認証とロールマッピングに LDAP を使用するよう ClickHouse を設定する

1. この公開 LDAP サーバーへの接続をテストします。

   $ ldapsearch -x -b dc=example,dc=com -H ldap://ldap.forumsys.com

   応答は次のようになります。

   # 拡張 LDIF
   #
   # LDAPv3
   # base <dc=example,dc=com>、スコープ subtree
   # フィルタ: (objectclass=*)
   # 要求: ALL
   #
   
   # example.com
   dn: dc=example,dc=com
   objectClass: top
   objectClass: dcObject
   objectClass: organization
   o: example.com
   dc: example
   ...

2. config.xml ファイルを編集し、LDAP を設定するために次を追加します。

   <ldap_servers>
       <test_ldap_server>
       <host>ldap.forumsys.com</host>
       <port>389</port>
       <bind_dn>uid={user_name},dc=example,dc=com</bind_dn>
       <enable_tls>no</enable_tls>
       <tls_require_cert>never</tls_require_cert>
       </test_ldap_server>
   </ldap_servers>

上記で使用している基本設定は次のとおりです。

3. ユーザーのロールマッピングを設定するため、<user_directories> セクションに <ldap> セクションを追加します。このセクションでは、ユーザーの認証方法と、認証後に付与されるロールを定義します。この基本例では、LDAP で認証されたすべてのユーザーに scientists_role が付与されます。これは後の手順で ClickHouse に定義します。セクションは次のようになります。

   <user_directories>
       <users_xml>
           <path>users.xml</path>
       </users_xml>
       <local_directory>
           <path>/var/lib/clickhouse/access/</path>
       </local_directory>
       <ldap>
             <server>test_ldap_server</server>
             <roles>
                <scientists_role />
             </roles>
             <role_mapping>
                <base_dn>dc=example,dc=com</base_dn>
                <search_filter>(&amp;(objectClass=groupOfUniqueNames)(uniqueMember={bind_dn}))</search_filter>
                <attribute>cn</attribute>
             </role_mapping>
       </ldap>
   </user_directories>

   上記で使用している基本設定は次のとおりです。

   Parameter	Description	Example
   server	前の ldap_servers セクションで定義したラベル	test_ldap_server
   roles	ユーザーのマッピング先となる、ClickHouse で定義されたロール名	scientists_role
   base_dn	ユーザーに関連付けられたグループの検索を開始するベースパス	dc=example,dc=com
   search_filter	ユーザーをマッピングする対象グループを識別する LDAP 検索フィルタ	(&(objectClass=groupOfUniqueNames)(uniqueMember={bind_dn}))
   attribute	どの attribute 名の値を返すか	cn

4. 設定を反映するために ClickHouse server を再起動します。

1. config.xml ファイルのロールマッピングセクションで使用したものと同じ名前のロールを ClickHouse に作成します

   CREATE ROLE scientists_role;

2. ロールに必要な権限を付与します。次のステートメントでは、LDAP 経由で認証できるすべてのユーザーに管理者権限を付与します。

   GRANT ALL ON *.* TO scientists_role;

1. ClickHouse clientでログインします

   $ clickhouse-client --user einstein --password password
   ClickHouse client version 22.2.2.1.
   Connecting to localhost:9000 as user einstein.
   Connected to ClickHouse server version 22.2.2 revision 54455.
   
   chnode1 :)

2. ユーザーが scientists_role ロールに正しくマッピングされ、管理者権限を持っていることを確認します

   SHOW DATABASES

   Query id: 93b785ff-1482-4eda-95b0-b2d68b2c5e0f
   
   ┌─name───────────────┐
   │ INFORMATION_SCHEMA │
   │ db1_mysql          │
   │ db2                │
   │ db3                │
   │ db4_mysql          │
   │ db5_merge          │
   │ default            │
   │ information_schema │
   │ system             │
   └────────────────────┘
   
   9 rows in set. Elapsed: 0.004 sec.