Esta guía muestra dos formas de gestionar usuarios de base de datos: desde la Consola SQL y directamente en la base de datos.
Autenticación sin contraseña en Consola SQL
Usuarios y roles de la Consola SQL
Crear database_developer y otorgar permisos
Crea el rol database_developer y otórgale permisos SHOW, CREATE, ALTER y DELETE.CREATE ROLE OR REPLACE database_developer;
GRANT SHOW ON * TO database_developer;
GRANT CREATE ON * TO database_developer;
GRANT ALTER ON * TO database_developer;
GRANT DELETE ON * TO database_developer;
Crear el rol de usuario de la Consola SQL
Crea un rol para el usuario de la Consola SQL my.user@domain.com y asígnale el rol database_developer.CREATE ROLE OR REPLACE `sql-console-role:my.user@domain.com`;
GRANT database_developer TO `sql-console-role:my.user@domain.com`;
El usuario recibe el nuevo rol cuando usa la Consola SQL
Al usuario se le asignará el rol asociado a su dirección de correo electrónico cada vez que use la Consola SQL.Autenticación de la base de datos
ID y contraseña del usuario de base de datos
Genere contraseñas de forma seguraDado que los usuarios con privilegios inferiores a los de administrador no pueden establecer su propia contraseña, pida al usuario que genere el hash de su contraseña con un generador
como este antes de proporcionárselo al administrador para configurar la cuenta. CREATE USER userName IDENTIFIED WITH sha256_hash BY 'hash';
Usuario de base de datos con autenticación SSH
- Usa ssh-keygen para crear un par de claves.
- Usa la clave pública para crear el usuario.
- Asigna roles y/o permisos al usuario.
- Usa la clave privada para autenticarte con el servicio.
Para obtener una guía detallada con ejemplos, consulta Cómo conectarse a ClickHouse Cloud usando claves SSH en nuestra base de conocimientos.
Permisos de la base de datos
| Role | Description |
|---|
| Default | Acceso administrativo completo a los servicios |
| Custom | Configure mediante la sentencia SQL GRANT |
- Los roles de base de datos son aditivos. Esto significa que, si un usuario es miembro de dos roles, tendrá el nivel de acceso más alto concedido por cualquiera de ellos. No pierde acceso al añadir roles.
- Los roles de base de datos pueden concederse a otros roles, lo que da lugar a una estructura jerárquica. Los roles heredan todos los permisos de aquellos roles de los que son miembros.
- Los roles de base de datos son únicos para cada servicio y pueden aplicarse a varias bases de datos dentro del mismo servicio.
La siguiente ilustración muestra las distintas formas en que se pueden conceder permisos a un usuario.
Las bases de datos tienen una cuenta llamada default que se añade automáticamente y recibe default_role al crear el servicio. Al usuario que crea el servicio se le muestra la contraseña aleatoria generada automáticamente que se asigna a la cuenta default cuando se crea el servicio. La contraseña no vuelve a mostrarse después de la configuración inicial, pero cualquier usuario con permisos de Service Admin en la consola puede cambiarla más adelante. Esta cuenta, o una cuenta con privilegios de Service Admin en la consola, puede configurar usuarios de base de datos y roles adicionales en cualquier momento.
Para cambiar la contraseña asignada a la cuenta default en la consola, ve al menú Services de la izquierda, accede al servicio, ve a la pestaña Settings y haz clic en el botón Reset password.
default_role. Así, las actividades realizadas por los usuarios quedan asociadas a sus ID de usuario y la cuenta default se reserva para actividades de tipo break-glass.
CREATE USER userID IDENTIFIED WITH sha256_hash by 'hashed_password';
GRANT default_role to userID;
hashlib en Python para convertir una contraseña de 12 o más caracteres con la complejidad adecuada en una cadena SHA256 y proporcionársela al administrador del sistema como contraseña. Esto garantiza que el administrador no vea ni manipule contraseñas en texto sin formato.
Listados de acceso a bases de datos con usuarios de la consola SQL
Obtener una lista de todos los permisos de la base de datos
Ejecute las siguientes consultas para obtener una lista de todos los permisos de la base de datos.SELECT grants.user_name,
grants.role_name,
users.name AS role_member,
grants.access_type,
grants.database,
grants.table
FROM system.grants LEFT OUTER JOIN system.role_grants ON grants.role_name = role_grants.granted_role_name
LEFT OUTER JOIN system.users ON role_grants.user_name = users.name
UNION ALL
SELECT grants.user_name,
grants.role_name,
role_grants.role_name AS role_member,
grants.access_type,
grants.database,
grants.table
FROM system.role_grants LEFT OUTER JOIN system.grants ON role_grants.granted_role_name = grants.role_name
WHERE role_grants.user_name is null;
Asociar la lista de permisos a los usuarios de Console con acceso a la consola SQL
Asocie esta lista con los usuarios de Console que tienen acceso a la consola SQL.a. Vaya a Console.b. Seleccione el servicio correspondiente.c. Seleccione Configuración a la izquierda.d. Desplácese hasta la sección de acceso a la consola SQL.e. Haga clic en el enlace del número de usuarios con acceso a la base de datos There are # users with access to this service. para ver el listado de usuarios. 
