ddadmin
bb8605eed7
Зачем: студенту нужен понятный путь от сохраненного состояния к SQL-сравнению без доступа технической учетной записи к изменению хранилища. Что: добавлен student с чтением источников и записью только в default; лабораторная сохраняет заказы и итоги в две локальные таблицы. Обновлены настройка доступа и программа, уточнено округление productPrice. Проверка: DDL и INSERT SELECT под student, пустое наблюдение, восемь переходов сохраненной истории и запрет вставки в пять прикладных баз на обеих нодах. config-test, lint стенда и генератора, 54 ссылки, независимое ревью.
145 lines
6.8 KiB
XML
145 lines
6.8 KiB
XML
<clickhouse>
|
|
<!--
|
|
Пользователи и роли объявлены файлом: повторный подъём стенда не хранит
|
|
доступ в томах. Пароли приходят из .env через Compose.
|
|
-->
|
|
<roles>
|
|
<etl_writer>
|
|
<grants>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW ON default.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE ON stg.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE ON ods.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE ON dds.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE ON dm.*</query>
|
|
<!-- Зона справочников: etl применяет её DDL и читает словари из преобразований. -->
|
|
<query>GRANT SELECT, CREATE TABLE, CREATE DICTIONARY, dictGet, DROP TABLE, CREATE DATABASE ON dic.*</query>
|
|
<query>GRANT SELECT ON system.*</query>
|
|
<query>GRANT CLUSTER ON *.*</query>
|
|
<query>GRANT REMOTE ON *.*</query>
|
|
<!--
|
|
В 26.3 движки внешних источников требуют права на источник.
|
|
Отказ при этом называет не источник, а `TABLE ENGINE ON File`
|
|
— и права с таким именем не хватит: замерено, нужен FILE.
|
|
-->
|
|
<query>GRANT KAFKA ON *.*</query>
|
|
<query>GRANT FILE ON *.*</query>
|
|
</grants>
|
|
</etl_writer>
|
|
<!-- Жизненный цикл мира: тот же канонический DDL, но с удалением баз. -->
|
|
<lifecycle_owner>
|
|
<grants>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE, DROP DATABASE ON stg.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE, DROP DATABASE ON ods.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE, DROP DATABASE ON dds.*</query>
|
|
<query>GRANT SELECT, INSERT, ALTER, CREATE TABLE, CREATE VIEW, DROP TABLE, DROP VIEW, CREATE DATABASE, DROP DATABASE ON dm.*</query>
|
|
<query>GRANT SELECT, CREATE TABLE, CREATE DICTIONARY, dictGet, DROP TABLE, DROP DICTIONARY, CREATE DATABASE, DROP DATABASE ON dic.*</query>
|
|
<!-- clickhouse-connect читает эту таблицу при подключении. -->
|
|
<query>GRANT SELECT ON system.settings</query>
|
|
<query>GRANT CLUSTER ON *.*</query>
|
|
<query>GRANT REMOTE ON *.*</query>
|
|
<query>GRANT KAFKA ON *.*</query>
|
|
<query>GRANT FILE ON *.*</query>
|
|
</grants>
|
|
</lifecycle_owner>
|
|
<!-- Оба читателя: clickhouse-connect читает system.settings при подключении. -->
|
|
<bi_reader>
|
|
<grants>
|
|
<query>GRANT SELECT ON ods.*</query>
|
|
<query>GRANT SELECT ON dds.*</query>
|
|
<query>GRANT SELECT ON dm.*</query>
|
|
<query>GRANT SELECT, dictGet ON dic.*</query>
|
|
<query>GRANT SELECT ON system.settings</query>
|
|
</grants>
|
|
</bi_reader>
|
|
<analyst_reader>
|
|
<grants>
|
|
<query>GRANT SELECT ON stg.*</query>
|
|
<query>GRANT SELECT ON ods.*</query>
|
|
<query>GRANT SELECT ON dds.*</query>
|
|
<query>GRANT SELECT ON dm.*</query>
|
|
<query>GRANT SELECT, dictGet ON dic.*</query>
|
|
<query>GRANT SELECT ON system.settings</query>
|
|
</grants>
|
|
</analyst_reader>
|
|
<student_writer>
|
|
<grants>
|
|
<query>GRANT SELECT, INSERT, CREATE TABLE, DROP TABLE ON default.*</query>
|
|
</grants>
|
|
</student_writer>
|
|
<monitoring_reader>
|
|
<grants>
|
|
<query>GRANT SELECT ON stg.*</query>
|
|
<query>GRANT SELECT ON ods.*</query>
|
|
<query>GRANT SELECT ON dds.*</query>
|
|
<query>GRANT SELECT ON dm.*</query>
|
|
<query>GRANT SELECT ON dic.*</query>
|
|
<query>GRANT SELECT ON system.*</query>
|
|
<query>GRANT CLUSTER ON *.*</query>
|
|
<query>GRANT REMOTE ON *.*</query>
|
|
</grants>
|
|
</monitoring_reader>
|
|
<!-- Учётка словаря: пароля нет намеренно, см. ADR 0007. -->
|
|
<dict_reader>
|
|
<grants>
|
|
<query>GRANT SELECT ON dic.*</query>
|
|
</grants>
|
|
</dict_reader>
|
|
</roles>
|
|
|
|
<users>
|
|
<default>
|
|
<password from_env="CLICKHOUSE_DEFAULT_PASSWORD"/>
|
|
</default>
|
|
<etl>
|
|
<password from_env="CLICKHOUSE_ETL_PASSWORD"/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT etl_writer</query>
|
|
</grants>
|
|
</etl>
|
|
<lifecycle>
|
|
<password from_env="CLICKHOUSE_LIFECYCLE_PASSWORD"/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT lifecycle_owner</query>
|
|
</grants>
|
|
</lifecycle>
|
|
<bi>
|
|
<password from_env="CLICKHOUSE_BI_PASSWORD"/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT bi_reader</query>
|
|
</grants>
|
|
</bi>
|
|
<analyst>
|
|
<password from_env="CLICKHOUSE_ANALYST_PASSWORD"/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT analyst_reader</query>
|
|
</grants>
|
|
</analyst>
|
|
<student>
|
|
<password from_env="CLICKHOUSE_STUDENT_PASSWORD"/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT analyst_reader</query>
|
|
<query>GRANT student_writer</query>
|
|
</grants>
|
|
</student>
|
|
<grafana>
|
|
<password from_env="CLICKHOUSE_GRAFANA_PASSWORD"/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT monitoring_reader</query>
|
|
</grants>
|
|
</grafana>
|
|
<dict>
|
|
<no_password/>
|
|
<quota>default</quota>
|
|
<grants>
|
|
<query>GRANT dict_reader</query>
|
|
</grants>
|
|
</dict>
|
|
</users>
|
|
</clickhouse>
|