Всем привет, подскажите можно ли ограничить пользователя на использование смены Profile,

Question

Всем привет, подскажите можно ли ограничить пользователя на использование смены Profile,

через SET profile при использовании sql юзеров?
В грантах ничего такого не нашел https://clickhouse.com/docs/ru/sql-reference/statements/grant#grant-select

#backend #clickhouse #database #devops #programming #russian

0

13.07.2023

11 ответов

14 просмотров

Pavel Si Автор вопроса

Denny [Altinity]
set profile ? такая команда есть? вы из будущего?

есть. https://clickhouse.com/docs/en/operations/settings/settings-profiles И кажется позволяет любому юзеру переключиться на другой profile если он знает название. :/

0

13.07.2023

Slach [altinity]

Pavel Si
есть. https://clickhouse.com/docs/en/operations/se...

ну вы документацию перечитайте на которую ссылаетесь может сами поймете в чем ошибаетесь

0

13.07.2023

Denny [Altinity]

Pavel Si
есть. https://clickhouse.com/docs/en/operations/se...

действительно, я не знал такого. но в общем, profile это просто множесто settings , если пользователь может менять настройки, то какая разница как он их поменяет, по отдельности, либо скопом. Надо либо задавать что пользователь readonly, либо задавать констрейнты в рамках которых он может менять настройки.

0

13.07.2023

Slach [altinity]

Pavel Si
есть. https://clickhouse.com/docs/en/operations/se...

извините, ерунду сказал =(

0

13.07.2023

Slach [altinity]

Pavel Si
есть. https://clickhouse.com/docs/en/operations/se...

=( всегда считал что профиль задается в XML или в RBAC но как часть юзера, и что его потом не переключить... если принудительно не поменять... очень странная возможность

0

13.07.2023

Pavel Si Автор вопроса

Denny [Altinity]
действительно, я не знал такого. но в общем, prof...

логично, но надеюсь что если я роли укажу max memory usage, то при смене на профиль где это значение выше, оно всё равно останется в рамках лимита роли. А то я думал именно на уровне профиля такие параметры задавать

0

13.07.2023

Denny [Altinity]

Pavel Si
логично, но надеюсь что если я роли укажу max memo...

ну вы если нашли дыру в безопасности, вы сразу заполняйте Bug Bounty https://github.com/ClickHouse/ClickHouse/issues/38986 вам куча денег светит

0

13.07.2023

Pavel Si Автор вопроса

Slach [altinity]
=( всегда считал что профиль задается в XML или в ...

ничего страшного) меня еще удивляет почему нет команды SET DEFAULT ROLE on cluster , но подозреваю потому что SET ROLE работает в рамках сессии, и тогда придется переписывать всю логику команды https://clickhouse.com/docs/ru/sql-reference/statements/set-role

0

13.07.2023

Pavel Si Автор вопроса

Denny [Altinity]
ну вы если нашли дыру в безопасности, вы сразу зап...

спасибо, потестируем :D

0

13.07.2023

Denny [Altinity]

Pavel Si
ничего страшного) меня еще удивляет почему нет ко...

SET DEFAULT ROLE on cluster забыли сделать

0

13.07.2023