カスタムロールの管理

このページでは、管理者がカスタムロールを追加、変更、削除する方法を説明します

このガイドは、ClickHouse Cloud で Admin ロールを持つユーザーを対象としています。

ClickHouse Cloud のお客様は、あらかじめ定義されたシステムロールを選択することも、ユーザーに割り当てるカスタムロールを作成することもできます。システムロールと、それに関連付けられた権限の詳細については、Console roles and permissionsを参照してください。このガイドでは、カスタムロールの管理方法について詳しく説明します。

​

カスタムロールを作成する

カスタムロールには、組織、サービス、データベースの権限を組み合わせて含めることができます。権限は、すべてのサービスとデータベース、またはその一部に適用できます。

1. 組織設定にアクセスし、`Users and roles` を選択する

   サービスページで、組織名を選択します。ポップアップメニューから Users and roles を選択します。

2. `Roles` タブを選択する

   画面上部中央の Roles タブを選択します。

3. 右上の Create new role を選択する

   画面右上の Create new role ボタンを選択します。

4. ロールに名前を付ける

   わかりやすいロール名を入力します。この名前は、ユーザーや API キーにロールを割り当てる際に表示されます。

5. `Allow` をクリックし、権限のスコープを選択する

   Allow ボタンをクリックし、Organization、Service、Database の権限から選択します。すべての権限の説明については、Console roles and permissions を参照してください。

   コンソールにログインするユーザーには、最低でも Organization > Access organization 権限が必要です。

   Data Sources タブへのアクセス

   Data Sources タブにアクセスするには、現在このロールに Manage selected services 権限が必要です。

6. 新しいロールを確認する

   作成を確定する前に、新しいロールに割り当てた権限を確認します。完了したら Create role をクリックします。

​

データベースロールを管理する (ベータ)

コンソールの権限に加え、カスタムロールには、選択したサービスのデータベースへのアクセスを制御するデータ権限を含めることができます。これにより、各データベースで個別にロールを管理する代わりに、コンソールとデータベースへのアクセスを一元管理できます。

この機能はベータ版であり、ClickHouse バージョン 26.4 以降を実行しているサービスで利用できます。

カスタムロールにデータ権限を追加すると、ClickHouse Cloud は選択した各サービスに、cloud: をプレフィックスとする対応するロールを作成します。たとえば、readonly というカスタムロールは、データベースでは cloud:readonly として表示されます。カスタムロールのメンバーは、SQL コンソールのパスワードレス認証を使用してサービスに接続すると、これらのデータベース権限を取得します。

データベースで手動で割り当てられた、sql-console-role:<email> 命名規則を使用するロールは、コンソールを通じて割り当てられたロールよりも優先されます。

1. ロールにデータ権限を追加する

   カスタムロールを作成するか、既存のロールを編集します。ロールダイアログで、Allow permissions ボタンをクリックし、Data を選択します。

2. サービスを選択する

   権限を適用するサービスを選択します。複数のサービスに権限を適用するには、サービスを追加します。

3. アクセスレベルを選択する

   Read-only、Admin、または Custom アクセスを選択します。Custom アクセスでは、ClickHouse の GRANT ステートメントを使用して、特定のデータアクセス権限を定義します。

4. ロールを作成する

   Create role をクリックします。選択したサービスにデータベースロールが作成されます。

​

データベースロールを確認する

コンソール で管理されるロールは、データベース内に cloud: プレフィックスと cloud ストレージタイプを使用して作成されます。これらを一覧表示するには、サービス の system.roles テーブルにクエリを実行します。

SELECT * FROM system.roles;

┌─name───────────┬─id───────────────────────────────────┬─storage─┐
│ cloud:readonly │ 9a4910f4-abcf-4904-466a-717c8c75ac42 │ cloud   │
└────────────────┴──────────────────────────────────────┴─────────┘

​

カスタムロールを更新する

カスタムロールは、作成後に更新できます。ロールから削除された権限はユーザーから失われ、追加された権限はユーザーに付与されます。

ユーザーの権限は加算式です。ユーザーが複数のロールを通じてある操作を実行する権限を持っている場合、1 つのロールからのみ権限が削除されても、すぐにアクセスできなくなるとは限りません。

1. 組織設定に移動し、Users and roles を選択します
2. Roles タブを選択します
3. 更新するロールの横にある三点メニューを選択します
4. Edit を選択します
5. 権限を変更します
6. Edit role を選択します

​

カスタムロールを削除する

カスタムロールはいつでも削除できます。

組織内には、管理権限を持つユーザーが少なくとも 1 人必要です。ロールを削除すると最後のユーザーから管理権限が失われる場合、そのロールは削除できません。この問題を回避するには、カスタムロールを削除する前に、少なくとも 1 人のユーザーに Admin システムロールを割り当ててください。

1. 組織設定に移動し、Users and roles を選択します
2. Roles タブを選択します
3. 削除するロールの横にある 3 点メニューを選択します
4. ロールの削除によってアクセスを失うユーザーと API キーを確認します。必要に応じて割り当てを調整してください。
5. Delete role を選択して完了します