Por que `SET ROLE` não persiste no SQL Console do ClickHouse Cloud

Ao executar SET ROLE no SQL Console do ClickHouse Cloud, a função pode parecer mudar para uma consulta e, em seguida, ser revertida na próxima. Use uma função do SQL Console por usuário quando as permissões precisarem persistir entre consultas e sessões.

Você pode observar um ou mais dos seguintes sintomas:

• Após executar SET ROLE sql_console_developer, as consultas subsequentes ainda são executadas com sql_console_read_only.
• Os resultados de currentRoles, enabledRoles e defaultRoles variam entre as consultas.
• Executar SET ROLE junto com outra consulta não mantém de forma consistente a função selecionada.
• SHOW GRANTS lista as funções esperadas, mas as permissões delas não estão ativas.

Você pode inspecionar o usuário e as funções atuais com:

SELECT
    currentUser(),
    currentRoles(),
    enabledRoles(),
    defaultRoles();

O SQL Console envia consultas por conexões HTTP sem estado para um serviço ClickHouse Cloud com várias réplicas. Não há garantia de que consultas consecutivas usem a mesma conexão ou réplica.

SET ROLE altera as funções habilitadas na sessão atual. Ele não mantém esse estado de sessão para solicitações posteriores do SQL Console. Portanto, uma consulta subsequente pode ser executada sem a função habilitada por uma solicitação anterior.

Por esse motivo, não use SET ROLE como um mecanismo persistente de controle de acesso no SQL Console.

Quando um usuário abre o SQL Console, o ClickHouse Cloud provisiona um usuário de banco de dados seguindo a seguinte convenção de nomenclatura:

sql-console:user@example.com

O ClickHouse Cloud também verifica se há uma função de banco de dados cujo nome segue a convenção a seguir:

sql-console-role:user@example.com

Quando essa função existe, o ClickHouse Cloud a atribui ao usuário correspondente do SQL Console. Essa é a maneira compatível de conceder permissões personalizadas persistentes a um usuário específico do SQL Console.

Execute as instruções a seguir como um usuário com privilégios administrativos no serviço, como um usuário do SQL Console com a função sql_console_admin ou outro usuário com o privilégio ACCESS MANAGEMENT.

CREATE ROLE IF NOT EXISTS sql_console_developer;

GRANT SELECT, INSERT, CREATE TABLE
ON my_database.*
TO sql_console_developer;

CREATE ROLE IF NOT EXISTS `sql-console-role:user@example.com`;

GRANT sql_console_developer
TO `sql-console-role:user@example.com`;

GRANT sql_console_developer, sql_console_read_only
TO `sql-console-role:user@example.com`;

SELECT
    currentUser(),
    currentRoles(),
    enabledRoles(),
    defaultRoles();

Não modifique sql_console_admin nem sql_console_read_only para conceder permissões personalizadas. O ClickHouse Cloud gerencia essas funções integradas. Em vez disso, use sql-console-role:<email> para definir permissões por usuário.

Para exemplos gerais de gerenciamento de funções, consulte Consultas comuns de gerenciamento de acesso.