資料庫安全性與權限管理（RBAC, Role-Based Access Control）是不可或缺的基礎設施。ClickHouse 支援細緻的權限設計與 RBAC 機制，能夠確保數據資源的正確隔離與授權，降低操作風險與資安威脅。

RBAC 架構與核心概念

RBAC 設計以 User → Role → Privilege 的方式進行權限授予，能讓權限管理變得簡單且可重複使用。

啟用 RBAC 與使用者權限管理

1. 啟用 Access Management

確保 config.xml 中已啟用：

<access_control>
    <enabled>true</enabled>
</access_control>

或使用 Docker 時，指定環境變數：

CLICKHOUSE_DEFAULT_ACCESS_MANAGEMENT: 1

2. 建立 User

CREATE USER analyst IDENTIFIED WITH plaintext_password BY 'analyst_pass';

3. 建立 Role 並授予權限

CREATE ROLE analytics_reader;
GRANT SELECT ON default.user_events TO analytics_reader;

4. 將 Role 指派給 User

GRANT analytics_reader TO analyst;

5. 檢查授權結果

SHOW GRANTS FOR analyst;

進階：Profile 與 Quota 設定

1. 建立資源限制 (Quota)

CREATE QUOTA daily_quota KEYED BY user_name FOR INTERVAL 1 DAY MAX queries = 1000, errors = 100;

2. 建立 Profile（用於參數限制）

CREATE SETTINGS PROFILE analyst_profile SETTINGS
    max_memory_usage = 1000000000,
    readonly = 1;

3. 將 Quota 與 Profile 指派給 User

ALTER USER analyst
    SETTINGS PROFILE analyst_profile
    QUOTA daily_quota;

模擬登入與權限驗證

1. 使用權限帳號進行查詢

clickhouse-client --user=analyst --password=analyst_pass --query="SELECT * FROM default.user_events LIMIT 10"

2. 測試未授權操作

clickhouse-client --user=analyst --password=analyst_pass --query="DROP TABLE default.user_events"
-- Expected: DB::Exception: analyst: Not enough privileges.

RBAC 實作策略建議

結語

ClickHouse 的 RBAC 機制，能夠協助你從「靜態權限管理」升級到「動態可控的使用者行為治理」，不僅能細緻控管資料資源存取權限，還能結合 Quota、Profile 等策略進行資源保護與行為限制，提升系統安全性與穩定性。