مرجع CLI - ClickHouse Documentation

يُوزَّع الموصل كملف ثنائي واحد باسم clicklink، وتوجد الأوامر التي تشغّلها ضمن clicklink clctl. تغطي هذه الصفحة الأوامر المستخدمة أثناء التثبيت والتشغيل اليومي. شغّل أي أمر باستخدام --help لعرض نص المساعدة الكامل. يمكن أيضًا تمرير العلامات ضمن التفرعات الفرعية troubleshoot وscraper وpreflight وexecutor وinstances create وplatform، إضافةً إلى العلامتين العامتين --endpoint و--cluster، عبر متغيرات البيئة CLCTL_* (المذكورة في مخرجات المساعدة لكل علامة) أو عبر ~/.clicklink/clctl.yaml. تسجّل العلامة العامة -v طلبات واجهة برمجة تطبيقات الإدارة التي يُجريها الأمر، بينما تضيف -vv متون الطلبات. يقرأ الأمران instances وcommands، وكذلك executor teardown، واجهة برمجة التطبيقات المحلية للمنفّذ. وتحدّدها علامتان عامتان: --endpoint <url> (القيمة الافتراضية http://127.0.0.1:9999، متغير البيئة CLCTL_ENDPOINT) و--cluster <name> (متغير البيئة CLCTL_CLUSTER) التي تحدّد اسم العنقود المُدار عندما يحتاج الأمر إلى ذلك. في Kubernetes، افتح kubectl port-forward إلى Deployment المنفّذ أولًا؛ انظر الخدمات المُدارة.

clicklink clctl init

يُهيّئ الموصل باستخدام رمز تسجيل، أو حزمة تسجيل محفوظة، أو شهادة موقّعة خارج النطاق. ينفّذ استدعاء واحد إعداد التكوين، ويوفّر الوصول إلى ClickHouse، ويحصل على شهادة عميل mTLS، وينشر المكوّنات (مخطط Helm أو وحدات systemd)، ويتحقق من سلامتها. ومع --managed يُفعّل أيضًا المنفّذ لعنقود EKS الذي يكتشفه ويمنح المنفّذ وصولًا على مستوى العنقود. إعادة التشغيل آمنة: يحافظ init على التكوين ومعرّف UUID للعنقود، ويستبدل بيانات الاعتماد ذريًا، ويُعيد استخدام مفتاح العميل الحالي ما لم تمرّر --force. راجع الإعداد الأولي للاطلاع على التدفق الكامل والخدمات المُدارة لمعرفة ما يقوم به المنفّذ.

نقاط الدخول

يلزم تحديد نقطة دخول واحدة فقط.

العلامة	الوصف
`--enroll <url>`	التدفق القياسي. يستخدم نقطة نهاية الموصل الخاصة بك (`https://<subdomain>.<connector-domain>`) ويستبدل رمز تسجيل أحادي الاستخدام، يُطلب دون عرضه في الطرفية أو يُقرأ من السطر الأول من stdin. يكتب الحزمة الناتجة إلى `handoff.yaml` (بالوضع 0600) ثم يتابع باستخدام `--handoff handoff.yaml`. لا يصل الرمز مطلقًا إلى سطر الأوامر أو القرص أو السجلات.
`--handoff <path>`	يُجري Bootstrap من حزمة تسجيل محفوظة. تستخدم عمليات إعادة التشغيل والاسترداد هذا الخيار بعد إنشاء `handoff.yaml`.
`--signed-cert <path>`	المرحلة الثانية من تدفق البيئة المعزولة عن الشبكة: يثبّت شهادة عميل موقعة خارج النطاق ويكمل التثبيت المرحلي. ويمكن لـ `--chain <path>` استبدال سلسلة CA اختياريًا إلى جانبها.

العلامات الشائعة

علامة	Description
`--target <shape>`	شكل النشر: `systemd` (الافتراضي؛ تهيئة الجهاز الافتراضي الذي تعمل عليه) أو `helm` (تحضير مخطط `clicklink-connector` من محطة عمل لديها kubeconfig).
`--instance <spec>`	مثيل ClickHouse الذي تشغّله بنفسك، على هيئة أزواج `key=value` مفصولة بفواصل (`name`، `host`، `port`، `secure`، `database`، `namespace`، `cluster`)؛ قابل للتكرار. تتخطى المطالبات التفاعلية الخاصة بالمثيل. وهو مرفوض في الوضع المُدار على Kubernetes: إذ يراقب هذا المثيل نشرٌ منفصل مثبّت باستخدام `--no-managed`.
`--env <label>`	وسم البيئة الذي يُحقن في كل مقياس مُصدَر باسم `scraper.labels.env` (الافتراضي `production`). مرّر `staging` للتثبيت في بيئة التحضير.
`--operators <emails>`	عناوين بريد المشغّلين، مفصولة بفواصل، المسموح لهم بفتح جلسات الدعم؛ يفعّل بوابة الجلسات ويتخطى المطالبة.
`--no-gateway`	يعطّل بوابة الجلسات (لا جلسات مُدارة عبر OIDC)؛ ويتخطى المطالبة. أما على الجهاز الافتراضي، فلا يزال بإمكان مستخدم الجذر على المضيف إدارة الجلسات عبر ملف الجلسة المحلي.
`--managed`	يفعّل الوضع المُدار: يشغّل المنفّذ بحيث تدير ClickHouse Cloud دورة حياة خدمات ClickHouse في هذا العنقود؛ ويتخطى المطالبة. يتطلب عنقود Amazon EKS.
`--no-managed`	يُبقي الوضع المُدار (المنفّذ) معطّلاً؛ ويتخطى المطالبة.
`--from-terraform <path>`	مخرجات وحدة Terraform الجذرية كما يطبعها الأمر `terraform output -json` (تعني `-` القراءة من stdin). يملأ `--cluster-name` و`--server` و`--ca-data` على الجهاز الافتراضي، أو `--target-namespace` ودور IRSA ومحدِّد العُقد الخاصين بطبقة الوضع المُدار على Kubernetes. وتُرفض أي علامة تتعارض مع الملف.
`--force`	يستبدل أي إعداد أو طبقة موجودة ويعيد توليد مفتاح العميل؛ كما يقرّ بتجاوز شهادة موقّعة تلقائياً لم تنتهِ صلاحيتها بعد. ويُحتفظ بمعرّف UUID الخاص بالعنقود حتى مع `--force`.
`--skip-provision`	التحضير فقط: يتخطى تجهيز وصول ClickHouse لكل دور (وعلى هدف systemd، يتخطى تفعيل الوحدة والتحقق منها). شغّل `clicklink clctl {scraper,troubleshoot} access provision` بشكل منفصل. ولا يزال `--target helm` يطبّق منح المنفّذ؛ أما الجهاز الافتراضي فيتخطاه أيضاً.
`--ch-user-suffix <suffix>`	لاحقة اختيارية لأسماء مستخدمي ClickHouse المُجهَّزين (فيصبح `pcm_scraper` بالشكل `pcm_scraper_<suffix>`)، بحيث يمكن لنشر موصل ثانٍ أن يشارك المثيل ذاته دون التعارض مع مستخدمي النشر الأول.
`--ch-admin-password-stdin`	يقرأ كلمة مرور مدير ClickHouse من stdin عندما يحتاج تجهيز SQL إليها؛ أما التشغيل عبر الطرفية فيطالب بها بدلاً من ذلك.

خيارات التوقيع (المرحلة 1 فقط)

العلامة	الوصف
`--no-auto-sign`	للمرحلة فقط: يتخطى التوقيع التلقائي لـ CSR عبر نقطة نهاية التسجيل، لتدفقات التوقيع في البيئات المعزولة عن الشبكة أو خارج النطاق.
`--sign-endpoint <url>`	يتجاوز نقطة نهاية توقيع التسجيل (الافتراضي: تُشتق من نقطة نهاية الحزمة بإدراج تسمية DNS ‏`enroll`). يجب أن يكون عنوان URL عبر HTTPS.

العلامات الخاصة بـ Kubernetes

صالحة فقط مع --target helm.

العلامة	الوصف
`--target-namespace <ns>`	مساحة الاسم التي يُثبَّت فيها المخطط وتُنشأ فيها موارد Secret (الافتراضي: `clicklink`؛ يُطلب إدخالها في الطرفية).
`--instance-namespace <ns>`	مساحة اسم مثيل ClickHouse الهدف؛ تُستخدم لبدء اكتشاف الخدمة الأصلية وطلبات إدخال معلومات المثيل. تُرفض مع `--managed`: فالتثبيت المُدار لا يسجّل أي مثيل قائم.
`--storage-class <name>`	StorageClass لوحدات تخزين حالة مستكشف الأخطاء ومصلحها والمنفّذ (الافتراضي: StorageClass الافتراضي للعنقود؛ يُطلب إدخاله أو يكون مطلوبًا عندما لا يعيّن العنقود أيًّا منها).
`--values <path>`	مسار تراكب values المُرحَّل (الافتراضي: `clicklink-values.yaml`).
`--chart <ref>`	المخطط المراد نشره: اسم يُحلّ ضمن `--chart-repo`، أو مرجع مباشر من نوع `oci://` أو URL أو مرجع محلي لعمليات التثبيت المُطابَقة (الافتراضي: `clicklink-connector`).
`--chart-repo <url>`	مستودع Helm الذي يُحلّ فيه اسم المخطط (الافتراضي: `https://releases.clicklink.clickhouse.com/charts`)؛ يُتجاهل عند استخدام مراجع `--chart` المباشرة.
`--chart-version <ver>`	إصدار المخطط المراد نشره (الافتراضي: إصدار هذا الملف الثنائي).
`--ch-pod <ref>`	كبسولة ClickHouse لخطوات التجهيز داخل الـ كبسولة، كاسم أو محدِّد label بصيغة `k=v` (الافتراضي: كبسولة بحالة Running يدعم Service لكل مثيل).
`--api-private-ca`	تعرض نقطة نهاية الموصّل لديك شهادة صادرة عن CA لحزمة التسجيل: تُجهِّز `api.tls.caFile` ليشير إلى سلسلة CA المُربطة، والتي تُضاف إلى جذور النظام.
`--egress-cidrs <cidrs>`	نطاقات CIDR لنقطة نهاية الموصّل لديك، مفصولة بفواصل، من أجل NetworkPolicy الافتراضية بالرفض الخاصة بالمخطط: تُجهَّز مُفعَّلة مع هذه النطاقات بوصفها `networkPolicy.allowEgressCIDRs` (يُطلب إدخالها في الطرفية في الوضع المُدار). وبدونها تُجهَّز السياسة معطَّلة لتفعّلها لاحقًا.
`--platform-bundle <path\|from-api>`	بيان المنصة المُصيَّر (الملف الذي يقرؤه `clicklink clctl platform approve --bundle`)، أو `from-api` لجلب البيان الذي صيّرته ClickHouse Cloud للبنية التحتية المسجّلة لديك عبر واجهة برمجة تطبيقات الموصّل. عند استخدامه مع `--managed` و`--from-terraform`، يثبّت Karpenter ومجمّعات العقد الخاصة به، ووحدة التحكم AWS Load Balancer، وStorageClass المسمّى `gp3-encrypted`، والمكوّنات التي تحدّد الحزمة إصداراتها، وذلك حيثما كانت غير موجودة. راجع Terraform على AWS.
`--server-instance-families <families>`	يتطلب `--platform-bundle`. عائلات مثيلات EC2 بمعمارية arm64 المزوّدة بتخزين مثيل على أقراص NVMe محلية، مفصولة بفواصل، لـ NodePool الخاص بـ `clickhouse-server` (الافتراضي: `m7gd`). لا تؤثر علامات المجمّعات إلا في NodePools الجديدة؛ ولا تُعدَّل المجمّعات القائمة.
`--keeper-instance-families <families>`	يتطلب `--platform-bundle`. عائلات مثيلات EC2 بمعمارية arm64، مفصولة بفواصل، لـ NodePool الخاص بـ `clickhouse-keeper` (الافتراضي: `m7g`).
`--server-pool-limits <limits>`	يتطلب `--platform-bundle`. حدود الموارد بصيغة `key=quantity`، مفصولة بفواصل، لـ NodePool الخاص بـ `clickhouse-server` (الافتراضي: `cpu=1000,memory=4Ti`).
`--keeper-pool-limits <limits>`	يتطلب `--platform-bundle`. حدود الموارد بصيغة `key=quantity`، مفصولة بفواصل، لـ NodePool الخاص بـ `clickhouse-keeper` (الافتراضي: `cpu=100,memory=400Gi`).

العلامات الخاصة بـ جهاز افتراضي فقط

صالحة فقط مع --target systemd.

العلامة	الوصف
`--server <url>`	عنوان URL لخادم API في Kubernetes الذي تشير إليه حزم الوصول (الافتراضي: kubeconfig الخاص بهذا المضيف، وإلا فستتم المطالبة بإدخاله).
`--ca-data <base64>`	قيمة `certificate-authority-data` بترميز Base64 لـ `--server` (الافتراضي: kubeconfig الخاص بهذا المضيف، وإلا فستتم المطالبة بإدخالها).
`--cluster-name <name>`	اسم عنقود EKS الذي يديره الوضع المُدار (الافتراضي: عنقود EKS الوحيد في kubeconfig الخاص بهذا المضيف؛ وتتم المطالبة به على الطرفية).
`--no-instance`	يبدأ بسجل instance فارغ ويتخطى مطالبات instance.

تعارضات العلامات

العلامات --handoff و--enroll و--signed-cert متنافية؛ ويجب تحديد واحد منها فقط.
تُرفض العلامات الخاصة بـ Kubernetes ما لم يُستخدم --target helm؛ كما يُرفض --server و--ca-data و--cluster-name و--no-instance عند استخدام --target helm (إذ يعتمد تدفق Helm على ملف kubeconfig لمحطة العمل ويكتشف المثيل داخل العنقود).
يتنافى --no-instance و--instance.
يتنافى --managed و--no-managed، ويُرفض --cluster-name مع --no-managed. وعند استخدام --target helm، يُرفض --instance و--instance-namespace مع --managed.
يتنافى --no-auto-sign و--sign-endpoint مع بعضهما، ويُرفض كلاهما (بالإضافة إلى --api-private-ca و--managed و--no-managed و--cluster-name) مع --signed-cert.
يتطلب --platform-bundle استخدام --target helm و--managed و--from-terraform، ويُرفض مع --no-managed أو --signed-cert. وتُرفض علامات المجمّعات الأربع دون --platform-bundle، كما تُرفض إذا كانت NodePools موجودة مسبقًا.
يتنافى --operators و--no-gateway.
يرفض --skip-provision العلامات --ch-pod و--ch-user-suffix و--server و--ca-data و--ch-admin-password-stdin (إذ لا يتم توفير أي شيء).

clicklink clctl preflight

يشغّل مجموعة فحوصات الموصل، المجمّعة حسب الفئات: الإعدادات، الملفات، الشبكة، ClickHouse، systemd، الوصول، القرص، وحجب المعلومات الحساسة. يُبلغ كل فحص عن إحدى الحالات التالية: نجاح أو تحذير أو فشل أو تخطٍّ. يشير رمز الخروج 0 إلى نجاح جميع الفحوصات (فالتحذيرات غير حاجبة)، بينما يشير رمز الخروج 2 إلى فشل فحص واحد على الأقل. يُشغَّل الأمر محليًا افتراضيًا. عند استخدام --k8s-namespace، يشغّل الملف الثنائي الخاص بكبسولة الموصل عبر kubectl exec ويعرض التقرير محليًا (تُتخطى فحوصات systemd دائمًا في الكبسولات). وعند استخدام علامات القناة البعيدة، يشغّل بدلًا من ذلك الملف الثنائي المثبّت على آلة افتراضية بعيدة.

العلامة	الوصف
`--config <path>`	مسار ملف إعدادات الموصل؛ وعند استخدام هدف بعيد، يكون المسار على ذلك المضيف.
`--output <fmt>`, `-o`	تنسيق الإخراج: `text` (الافتراضي) أو `json`.
`--timeout <dur>`	المهلة الإجمالية لجميع الفحوصات (الافتراضي `30s`).
`--skip-systemd`	يتخطى فحوصات حالة وحدة systemd (للمضيفين الذين لا يستخدمون systemd).
`--k8s-namespace <ns>`	مساحة الاسم الخاصة بمخطط الموصل؛ يشغّل فحص Preflight داخل كبسولة الموصل عبر `kubectl exec`.
`--k8s-component <name>`	كبسولة الموصل التي سيُشغَّل فيها: `scraper` (الافتراضي) أو `troubleshooter`.
`--k8s-pod <ref>`	تجاوز اسم الكبسولة أو محدد تسميات `k=v` (الافتراضي: تسميات المكوّن في المخطط).
`--k8s-container <name>`	الحاوية التي يُنفَّذ فيها الأمر (الافتراضي: اسم المكوّن).

علامات --k8s-* وعلامات القناة البعيدة متنافية؛ اختر هدفًا واحدًا.

clicklink clctl troubleshoot session

يتيح تفعيل جلسة الدعم وتعطيلها وفحصها، وهي نافذة زمنية محددة يقبل خلالها troubleshooter الأوامر. بدون جلسة نشطة، يرفض البرنامج الخفي كل أمر، حتى لو كان WebSocket متصلاً. راجع جلسات الدعم. تعمل الأوامر بأحد الوضعين التاليين:

ملف محلي (افتراضيًا): تقرأ ملف حالة الجلسة وتكتب إليه على المضيف الذي يعمل عليه troubleshooter (المسار الافتراضي: /var/lib/clicklink/session.json).
بوابة: باستخدام --gateway-url، يحصل على رمز مميز للهوية من OIDC ويستدعي بوابة جلسة troubleshooter بدلًا من ذلك من محطة العمل لديك.

الخيارات المشتركة

العلامة	الوصف
`--session-file <path>`	مسار ملف حالة الجلسة (القيمة الافتراضية `/var/lib/clicklink/session.json`).
`--config <path>`	ملف تهيئة الموصل؛ يُشتق منه مسار ملف الجلسة من قسم `troubleshooter`.
`--gateway-url <url>`	عنوان URL الأساسي لبوابة الجلسة. عند تعيينه، يحصل الأمر على رمز حامل OIDC ويستدعي البوابة بدلاً من التعامل مع ملف الحالة المحلي. لا يمكن استخدامه مع `--session-file` أو `--config`.
`--gateway-audience <aud>`	مطالبة الجمهور المرتبط بها رمز OIDC (القيمة الافتراضية `clicklink-clctl`، وهي مطابقة للقيمة الافتراضية للبوابة). عيّنه فقط إذا أُعيدت تهيئة جمهور البوابة.
`--gateway-issuer <url>`	جهة إصدار OIDC التي تتحقق البوابة منها. تؤدي القيمة الفارغة إلى اختيار مسار Google؛ عيّنه مع `--oidc-client-id` لتشغيل تدفق رمز الجهاز مع موفر هوية غير تابع لـ Google.
`--oidc-client-id <id>`	معرّف عميل OIDC العام لتدفق رمز الجهاز، والمسجّل لدى `--gateway-issuer` مع تفعيل منح الجهاز.
`--token-file <path>`	ملف يحتوي على رمز معرّف OIDC مُنشأ مسبقًا، يُستخدم كرمز حامل ويتجاوز موفري الرموز الآخرين.
`--gateway-ca <path>`	حزمة CA للتحقق من شهادة البوابة (شهادة توفرها بنفسك). عند عدم تعيينه، يستخدم الأمر شهادة مثبّتة عبر `gateway trust`؛ وتفشل البوابة ذات الشهادة الموقعة ذاتيًا ومن دون تثبيت بشكل آمن.

تفعيل الجلسة

العلامة	الوصف
`--duration <dur>`	مدة بقاء الجلسة نشطة (المدة الافتراضية `4h`، والحد الأقصى `24h`).
`--reason <text>`	سبب اختياري بنص حر يُسجَّل مع الجلسة (بحد أقصى 256 حرفًا).
`--user <name>`	هوية المشغّل المراد تسجيلها في وضع الملف المحلي؛ تُستخدم قيمة `$SUDO_USER` أو `$USER` افتراضيًا. في وضع البوابة، يُعتمد البريد الإلكتروني الموثَّق بالرمز المميز.

يفشل التفعيل إذا كانت هناك جلسة نشطة بالفعل؛ عطّلها أولًا أو انتظر انتهاء صلاحيتها.

تعطيل الجلسة

يعطّل الجلسة فورًا. ولا يكون له أي تأثير إذا لم تكن هناك جلسة نشطة.

حالة الجلسة

يوضح ما إذا كانت الجلسة نشطة، ومن فعّلها، ومتى تنتهي صلاحيتها. يحدد --output (-o) إما table (الخيار الافتراضي) أو json. في Kubernetes، يمكنك الوصول إلى البوابة باستخدام إعادة توجيه المنفذ:

kubectl -n <connector-namespace> port-forward \
  statefulset/clicklink-connector-troubleshooter 8443:8443
clicklink clctl troubleshoot session enable \
  --gateway-url http://localhost:8443 \
  --duration 1h --reason "support ticket 1234"

clicklink clctl troubleshoot gateway trust

على جهاز افتراضي، تقدّم بوابة الجلسة شهادة TLS موقّعة ذاتيًا. يسجّل هذا الأمر بصمة SHA-256 للشهادة في ~/.clicklink/clctl.yaml كي تتمكن أوامر session من التحقق منها؛ وإذا لم تعد البصمة المثبّتة مطابقة، يُرفض الاتصال. تُنشأ الثقة خارج النطاق بإحدى طريقتين:

باستخدام علامات القناة البعيدة، يقرأ الأمر الشهادة من الجهاز الافتراضي عبر القناة التي تمت مصادقتها مسبقًا ويثبّتها.
بدون قناة، مرّر --gateway-fingerprint مع قيمة SHA-256 التي سجّلها الموصل عند إنشاء الشهادة؛ ولا يثبّت الأمر الشهادة التي تم جلبها إلا إذا كانت مطابقة. يؤدي حذف العلامة إلى طباعة البصمة المقدَّمة دون تثبيت أي شيء.

العلامة	الوصف
`--gateway-url <url>`	عنوان URL الأساسي للبوابة المطلوب الوثوق بها (مطلوب)، مثلًا: `https://<vm-host>:8443`. ويجب أن يكون `https://`.
`--gateway-fingerprint <sha256>`	بصمة SHA-256 المتوقعة من سجل الموصل، ويجري التحقق منها قبل التثبيت. تُتجاهل النقطتان وحالة الأحرف.
`--remote-cert-file <path>`	المسار إلى شهادة البوابة على الجهاز الافتراضي، وتُقرأ عبر القناة (القيمة الافتراضية: `/var/lib/clicklink/gateway/tls/server.crt`).

clicklink clctl troubleshoot gateway trust \
  --gateway-url https://<vm-host>:8443 \
  --gateway-fingerprint <sha256-from-connector-log>

في Kubernetes، لا يُستخدم التثبيت: اعرض البوابة عبر مورد Ingress باستخدام شهادة صادرة عن جهة إصدار شهادات موثوقة (CA)، أو استخدم إعادة توجيه المنفذ.

clicklink clctl troubleshoot audit tail

يطبع أحدث الإدخالات في سجل تدقيق مستكشف الأخطاء ومصلحها: ‏JSON مفصول بأسطر جديدة، مع إدخال واحد لكل أمر قبله البرنامج الخفي أو حظره. ويفتح السجل للقراءة فقط.

العلامة	الوصف
`--lines <n>`, `-n`	عدد الإدخالات الأخيرة المطلوب طباعتها (الافتراضي 50).
`--path <path>`	مسار ملف سجل التدقيق (الافتراضي `/var/log/clicklink/troubleshoot-audit.log`).

لا تتضمن صورة وقت تشغيل الموصل صدفة، لذا يُعد هذا الأمر القارئ المدعوم في Kubernetes:

kubectl -n <connector-namespace> exec <troubleshooter-pod> -- \
  /clicklink clctl troubleshoot audit tail

تهيئة الوصول

ينشئ الأمران clicklink clctl scraper access provision وclicklink clctl troubleshoot access provision حزمة وصول لكل مثيل من المكوّن، ويُدوّرانها عند استخدام --force. تشمل الحزمة مستخدم ClickHouse بصلاحية القراءة فقط وصلاحياته، بالإضافة إلى حساب خدمة Kubernetes وRBAC والرمز المميز الذي يستخدمه المكوّن. ينفّذ init ذلك مباشرةً أثناء التثبيت؛ أما الأوامر المستقلة فتُستخدم لإعادة التنفيذ وتدوير بيانات الاعتماد.

العلامة	الوصف
`--instance <name>`	اسم المثيل من الإعدادات (مطلوب).
`--server <url>`	عنوان URL لخادم API في Kubernetes (مطلوب).
`--ca-data <base64>`	شهادة CA للمجموعة بترميز Base64 لملف kubeconfig المُنشأ.
`--config <path>`	ملف إعدادات الموصل لقراءة المثيل منه.
`--target <shape>`	`systemd` (الافتراضي: إرسال الحزمة إلى جهاز افتراضي عبر قناة بعيدة، أو إنشاؤها محليًا باستخدام `--provider local`) أو `helm` (دفع الحزمة بوصفها Kubernetes Secret للمخطط).
`--target-namespace <ns>`	مساحة الاسم التي يُنشأ فيها Secret الحزمة (مطلوب مع `--target helm`).
`--instance-namespace <ns>`	مساحة اسم مثيل ClickHouse الهدف؛ وعند استخدامها لا يحتاج الأمر إلى مدخل في السجل لـ`--instance`.
`--force`	يستبدل حزمة موجودة؛ ويُستخدم لإعادة التنفيذ وتدوير بيانات الاعتماد.
`--secret-name <name>`	يتجاوز اسم Secret الحزمة (الافتراضي `clicklink-connector-<component>-access-<instance>`).
`--output-dir <path>`	(`--target helm` أو `--provider local`) الدليل الجذر الذي توضع فيه الحزمة (الافتراضي: `./<component>/` في دليل العمل عند استخدام `helm`، ودليل الوصول الخاص بالمكوّن عند استخدام `local`).
`--audit-log <path>`	سجل تدقيق التهيئة، بصيغة NDJSON، يُضاف إليه (الافتراضي `clctl-audit.log` بجوار دليل إخراج الحزمة؛ وتعطّله القيمة `none`).
`--ch-admin-user <name>`	مستخدم ClickHouse إداري لتطبيق الصلاحيات (الافتراضي `default`).
`--ch-admin-password-stdin`	يقرأ كلمة مرور مستخدم ClickHouse الإداري من stdin.
`--ch-user-suffix <suffix>`	لاحقة اختيارية لاسم مستخدم ClickHouse الذي تمت تهيئته.
`--ch-user-via <mode>`	كيفية تهيئة مستخدم ClickHouse: `sql` (الافتراضي؛ يطبّق الصلاحيات المُنشأة باستخدام `--ch-admin-user`) أو `cr` (يكتب المستخدم في المورد المخصص للمثيل، للمثيلات التي يديرها المشغّل ولا يتوفر لها مستخدم إداري قادر على تنفيذ SQL).
`--apply-ch-grants`	(`--target helm`) يطبّق الصلاحيات المُنشأة داخل كبسولة عبر `kubectl exec` بدلًا من تركها لتطبيقها بنفسك.
`--ch-pod <ref>`, `--ch-pod-namespace <ns>`, `--ch-container <name>`	(`--target helm` مع `--apply-ch-grants` أو `--ch-user-via cr`) حدّد كبسولة وحاوية ClickHouse لتنفيذ الأمر داخلهما.
`--token-duration <dur>`	مدة صلاحية رمز حساب الخدمة (الافتراضي `2160h`، 90 يومًا؛ يقيّد EKS مدة الصلاحية بـ24 ساعة).
`--skip-restart`	يتخطى إعادة تشغيل المكوّن بعد التهيئة.
`--dry-run`	يطبع الخطة ثم ينهي التنفيذ؛ دون أي عمليات كتابة في Kubernetes أو عن بُعد أو في ClickHouse.

دوّر بيانات اعتماد مكوّن واحد لمثيل معيّن:

clicklink clctl scraper access provision --target helm \
  --target-namespace <connector-namespace> \
  --instance <instance-name> --instance-namespace <clickhouse-namespace> \
  --server <kubernetes-api-server-url> \
  --apply-ch-grants --ch-pod <clickhouse-pod-or-label-selector> --ch-pod-namespace <clickhouse-namespace> \
  --force

clicklink clctl executor access

يطبّق init --managed صلاحية منفّذ على مستوى العنقود بأكمله باستخدام بيانات اعتمادك. وعند تعذّر ذلك، يطبع init الأوامر الواجب تنفيذها من kubeconfig يملك صلاحيات admin على العنقود: access apply وحده على جهاز افتراضي (إذ تكون الحزمة مُجهّزة مسبقًا)، وaccess grant ثم access apply على Kubernetes. راجع onboarding.

منفّذ access grant

يُنشئ حزمة وصول المنفّذ (منفّذ) على مستوى العنقود ضمن <output-dir>/_cluster/: ServiceAccount واحد، وClusterRole وClusterRoleBinding، وValidatingAdmissionPolicy تَقصُر الـ ServiceAccount على مساحات الأسماء الواقعة تحت بادئة مساحة أسماء المنفّذ. راجع الـ RBAC المُنشأ قبل تطبيقه.

الخيار	الوصف
`--cluster`	يُنشئ الحزمة على مستوى العنقود (مطلوب لهذا الاستخدام؛ وبدونه يُنشئ الأمر حزمة خاصة بخدمة واحدة لـ `--instance`).
`--config <path>`	ملف تهيئة الـ موصّل (متغير البيئة `CLCTL_EXECUTOR_CONFIG`).
`--sa-namespace <ns>`	مساحة الأسماء الرئيسية لـ ServiceAccount الخاص بالمنفّذ (الافتراضي `clicklink-system`؛ وهي مساحة أسماء الـ موصّل في تثبيت Kubernetes).
`--context <name>`	سياق kubeconfig للعنقود المُدار، كما في `prepare`.
`--server <url>`, `--ca-data <base64>`	عنوان URL لخادم واجهة برمجة تطبيقات الخاص بـ Kubernetes وشهادة الـ CA المراد تضمينها في kubeconfig (الافتراضي: الخاصة بسياق kube).
`--output-dir <path>`	جذر المخرجات (الافتراضي `/etc/clicklink/access/executor`؛ متغير البيئة `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--force`	يستبدل حزمة موجودة مسبقًا.
`--dry-run`	يطبع الخطة دون كتابة أي ملفات.

منفّذ access apply

يطبّق حزمة grant المُولَّدة على مستوى العنقود: الـ مساحة أسماء الأصلي لـ ServiceAccount، وServiceAccount نفسه، وClusterRole وClusterRoleBinding، وسياسة admission، ثم يُنشئ رمز الخاص بـ ServiceAccount ويضعه في الحزمة. ولا يسجّل أي service.

Flag	Description
`--cluster`	يطبّق الحزمة على مستوى العنقود من `<output-dir>/_cluster/` (مطلوب لهذا الاستخدام).
`--config <path>`	ملف تهيئة الـ موصّل (متغير البيئة `CLCTL_EXECUTOR_CONFIG`).
`--context <name>`	سياق Kubeconfig للعنقود المُدار، كما في `prepare`.
`--output-dir <path>`	جذر المخرجات (الافتراضي `/etc/clicklink/access/executor`؛ متغير البيئة `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--token-duration <dur>`	مدة صلاحية رمز الخاص بـ ServiceAccount (الافتراضي `2160h`، أي 90 يومًا).
`--dry-run`	يطبع ما سيُطبَّق دون تنفيذه فعليًا.

clicklink clctl executor access grant --cluster --sa-namespace <connector-namespace> --server <kubernetes-api-server-url> --output-dir <dir>
clicklink clctl executor access apply --cluster --output-dir <dir>

clicklink clctl منفّذ prepare

يُجهّز كل ما يلزم من جانبك لإنشاء managed service، في تنفيذ واحد خامل التأثير يتوقف عند أول إخفاق. فهو يختار اسم service أو يتحقق منه وينشئ حاويتَي البيانات والنسخ الاحتياطي ودور IAM (أو يتحقق من دور IAM تُحضره بنفسك). وعلى جهاز افتراضي يُولّد أيضاً حزمة وصول منفّذ ويطبّقها على مساحة أسماء service؛ أما على Kubernetes فيتخطى الحزمة لأن منفّذ يعمل بهوية ServiceAccount الخاصة بالـ pod. ثم يُصدر كلمة مرور المستخدم default (تُعرض مرة واحدة فقط) ويكتب جسم طلب الإنشاء الخاص بـ instances create. راجع managed services. على الجهاز الافتراضي يعمل الأمر على مضيف موصّل. أما في تثبيت Kubernetes فيعمل على محطة عمل تتوفر فيها AWS credentials وسياق kube للعنقود المُدار. وتحتاج تلك المحطة أيضاً إلى نسخة من تهيئة موصّل (‏--config)، وإعادة توجيه منفذ إلى واجهة برمجة تطبيقات المحلية لـ منفّذ، ودليل --output-dir قابل للكتابة.

Flag	الوصف
`--config <path>`	ملف تهيئة موصّل (مطلوب؛ متغير البيئة `CLCTL_EXECUTOR_CONFIG`). تُبنى حزمة الوصول منه، ويجب أن يتوافق سياق kube مع `executor.cluster` الوارد فيه.
`--instance <name>`	اسم service (متغير البيئة `CLCTL_EXECUTOR_INSTANCE`). الافتراضي: اسم مُولَّد، يُسجَّل في `<output-dir>/_prepare/<eks-cluster-name>.name` ويُستأنف في التنفيذ التالي.
`--new-name`	يتجاهل الاسم المُسجَّل في تنفيذ سابق ويختار اسماً جديداً.
`--context <name>`	سياق kubeconfig للعنقود المُدار: اسم، أو نمط (يُؤخذ التطابق إن كان واحداً، وتتعدد الخيارات للاختيار إن تعدّدت المطابقات)؛ متغير البيئة `CLCTL_CONTEXT`. الافتراضي: السياق الوحيد، وإلا فأداة اختيار.
`--server <url>`, `--ca-data <base64>`	عنوان URL لخادم واجهة برمجة تطبيقات الخاص بـ Kubernetes وشهادة CA المراد تضمينهما في kubeconfig الخاص بـ منفّذ (الافتراضي: ما يحدده سياق kube).
`--data-bucket <name>`, `--backup-bucket <name>`	الحاويات المراد التحقق منها أو إنشاؤها (الافتراضي `<cluster>-clickhouse-data-<rand>` و`<cluster>-clickhouse-backup-<rand>`).
`--role-name <name>`	اسم دور IAM (الافتراضي `CH-S3-<instance>-<region>-00-Role`).
`--role-arn <arn>`	إحضار دور IAM خاص بك: يتحقق من علاقة الثقة وأذونات S3 الخاصة به، ولا ينشئ IAM أو يعدّله إطلاقاً.
`--restore-from <name>`	الـ service الذي تُستعاد منه النسخ الاحتياطية لهذا الـ service؛ كما يحصل دور IAM على صلاحية قراءة حاوية النسخ الاحتياطي الخاصة به.
`--region <region>`	منطقة AWS (الافتراضي: منطقة العنقود الذي يشير إليه سياق kube).
`--token-duration <dur>`	مدة صلاحية رمز ServiceAccount (الافتراضي `2160h`، أي 90 يوماً).
`--force`	يُنشئ حزمة وصول كاملة من جديد بدلاً من إعادة استخدام القائمة.
`--output-dir <path>`	جذر المخرجات (الافتراضي `/etc/clicklink/access/executor`؛ متغير البيئة `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--output <fmt>`	`text` (الافتراضي) أو `json`. ولا يتضمن أي منهما كلمة المرور.
`--dry-run`	ينفّذ كل خطوة في وضع التجربة؛ فلا يُنشأ شيء ولا يُكتب.

clicklink clctl executor teardown

يزيل ما أنشأه prepare لخدمة حذفتها ClickHouse Cloud، أي دور IAM، والاسم المسجَّل، وسجل المنفِّذ الخاص بالخدمة؛ وعلى جهاز افتراضي أيضًا: ClusterRole وClusterRoleBinding الخاصين بالخدمة، وحزمة الوصول المحلية، ومُدخل السجل. يجب أن يكون المنفِّذ قيد التشغيل وأن تكون الخدمة terminated (أو stale)؛ ويرفض التنفيذ ما دامت مساحة أسماء الخدمة تحتوي على عنقود ClickHouse. ويُحتفظ بالحاويات التي أنشأها prepare، بما فيها من بيانات ونسخ احتياطية، ما لم تطلب حذفها، ويُعاد وسم الحاويات المحتفظ بها بـ clicklink:retained-from=<name>. ويقرأ الأمر كل شيء قبل أن يحذف أي شيء. راجع حذف خدمة.

الراية	الوصف
`--instance <name>`	اسم الخدمة (متغير البيئة `CLCTL_EXECUTOR_INSTANCE`).
`--config <path>`	ملف تهيئة الموصّل (متغير البيئة `CLCTL_EXECUTOR_CONFIG`)؛ يُقرأ من `/etc/clicklink/config.yaml` على مضيف الموصّل عند إغفاله. يوفّر `delete_instance_data`.
`--context <name>`	سياق Kubeconfig للعنقود المُدار، كما في `prepare`.
`--delete-data`	يحذف بيانات الخدمة حتى عندما يكون `delete_instance_data` معطّلًا. يتطلب `--yes`.
`--delete-backups`	يحذف حاوية النسخ الاحتياطية وما بداخلها من نسخ احتياطية (يُحتفظ بها افتراضيًا). يتطلب `--yes`.
`--yes`	يؤكّد `--delete-data` و`--delete-backups`؛ وبدونه يتوقف التنفيذ بعد خطوة السجل ويذكر أسماء الحاويات التي كان سيفرغها.
`--data-bucket <name>`، `--backup-bucket <name>`	يتجاوز الحاويات المسجّلة في سجل المنفِّذ (افتراضيًا: تلك المرتبطة بدور الخدمة أو الموسومة لها).
`--role-name <name>`	اسم دور IAM (افتراضيًا `CH-S3-<instance>-<region>-00-Role`).
`--region <region>`	منطقة AWS (افتراضيًا: منطقة العنقود).
`--namespace-prefix <prefix>`	بادئة مساحة أسماء الخدمة (افتراضيًا `ns-`)؛ يجب أن تتوافق مع الإعداد المحمَّل.
`--output-dir <path>`	جذر المخرجات (افتراضيًا `/etc/clicklink/access/executor`).
`--output <fmt>`	`text` (الافتراضي) أو `json`.
`--dry-run`	يطبع ما سيُزال ثم يخرج دون حذف أي شيء.

clicklink clctl instances

instances create

يُرسل طلب إنشاء مُجهّزًا إلى ClickHouse Cloud عبر نقطة نهاية الموصّل الخاصة بك، مستخدِمًا بيانات اعتماد الموصّل نفسه. ويُفعَّل الإنشاء لكل بيئة على حدة؛ انظر إنشاء خدمة. ويطبع الاسم المنطوق الذي خصّصته ClickHouse Cloud، والحالة، وتلميح watch: يستخدم اسم خدمتك. ويأتي متن الإنشاء من الملف الذي كتبه prepare، أو من الرايات الأربع --deployed-name و--data-bucket و--backup-bucket و--irsa-role-arn مجتمعةً. وإعادة المحاولة بالمدخلات نفسها تُعيد طلب الإنشاء الأول.

الراية	الوصف
`--from-prepare <path>`	متن الإنشاء الذي كتبه `executor prepare` (`<output-dir>/_prepare/<instance>.create.json`)، متضمنًا تجزئات كلمة مرور المستخدم `default`. لا يمكن استخدامها مع `--deployed-name` و`--default-user-password-file`.
`--deployed-name <name>`، `--data-bucket <name>`، `--backup-bucket <name>`، `--irsa-role-arn <arn>`	المدخلات المُجهّزة، على هيئة رايات؛ ويلزم تمريرها مجتمعةً.
`--default-user-password-file <path>`	ملف يحتوي كلمة مرور المستخدم `default` (في السطر الأول)، ويُستخدم مع مسار الرايات. وفي غيابه، يُولّد الأمر كلمة مرور ويعرضها مرة واحدة؛ ويجب عندئذٍ أن تمررها إعادة المحاولة عبر هذا الملف، وإلا احتفظت الخدمة بكلمة المرور الأولى بينما تُعرض كلمة مرور جديدة.
`--config <path>`	ملف تهيئة الموصّل (متغير البيئة `CLCTL_EXECUTOR_CONFIG`؛ والافتراضي `/etc/clicklink/config.yaml` عند وجوده). يوفّر نقطة النهاية وبيانات اعتمادها وهوية البيئة.
`--connector-namespace <ns>`	لـ Kubernetes فقط، عندما لا تتوفر على هذا المضيف ملفات تهيئة الموصّل أو بيانات اعتماده: مساحة أسماء الموصّل التي يوفّرها ConfigMap و Secrets الموجودان فيها (الافتراضي `clicklink`). ويُعلَن عن كل قراءة من العنقود.
`--connector-configmap <name>`	ConfigMap الذي يحتوي ملف `config.yaml` الخاص بالمنفّذ في مساحة الأسماء تلك (الافتراضي `clicklink-connector-executor`).
`--hmac-secret-name <name>`، `--mtls-secret-name <name>`	الـ Secrets التي تحتوي بيانات اعتماد واجهة برمجة التطبيقات وشهادة العميل عند غياب الملفات (الافتراضيان `clicklink-hmac` و`clicklink-mtls`). ويُحتفظ بزوج الشهادة في الذاكرة.
`--context <name>`	سياق Kube لتلك القراءات (متغير البيئة `CLCTL_CONTEXT`)؛ نمط أو المُنتقي التفاعلي، كما في أوامر `executor`.
`--idempotency-key <key>`	مفتاح تعيد إعادة المحاولة استخدامه لاسترجاع طلب الإنشاء الأول (الافتراضي: مشتق من البيئة واسم الخدمة).
`--wait`	يستطلع واجهة برمجة التطبيقات المحلية للمنفّذ حتى تصبح الخدمة `running`. ويفشل سريعًا عند فشل إنشاء بذلك الاسم، أو عندما تتحول الخدمة إلى `terminating` أو `terminated` أو `stale`.
`--wait-timeout <dur>`	مدة استطلاع `--wait` قبل الفشل (الافتراضي `30m`).

instances list

يطبع كل service معروف لدى الـ منفّذ بصيغة JSON. ويؤدي --cluster <name> إلى التصفية حسب العنقود المُدار.

instances get

يطبع خدمة واحدة بصيغة JSON، مع التخزين الذي أُنشئت به. الخيار --name <name> مطلوب، وكذلك العنقود: مرِّر --cluster، أو اضبط CLCTL_CLUSTER، أو ضعه في ~/.clicklink/clctl.yaml. ترسل الأوامر الفرعية الثلاثة أدناه أوامرها مباشرةً إلى واجهة برمجة التطبيقات المحلية للمنفِّذ، متجاوزةً ClickHouse Cloud. لا تستخدمها إلا بناءً على طلب من فريق حسابك. ويحتاج كل منها إلى --name <name> وإلى العنقود (--cluster أو CLCTL_CLUSTER أو ~/.clicklink/clctl.yaml)، ويطبع كل منها الأمر بصيغة JSON. مرِّر معرّفه id إلى commands get لتتبّعه؛ أما الأمر الفاشل فيحتوي الحقل result الخاص به على تفاصيل الخطأ.

instances scale

يضبط عدد نسخ الخادم (server replicas) لخدمة واحدة عبر ScalingOverride. الخيار --server-replicas <n> مطلوب ويجب أن تكون قيمته أكبر من الصفر. ويُبلّغ المنفّذ (executor) عن الأمر بحالة running عند تطبيق الـ override، وبحالة completed عندما تصبح النسخ جاهزة.

instances patch

يغيّر خدمة واحدة في موضعها. والخيار --create-nlb هو التصحيح الوحيد المتاح؛ ومن دونه يرفض الأمر التنفيذ مع الرسالة nothing to patch. وهو يجهّز NLB داخليًا على هيئة Service في Kubernetes، على AWS فقط، ليتمكن ساحب المقاييس الموجود خارج العنقود من الوصول إلى الخوادم. ويتولى المنفّذ تعبئة مضيف الساحب رجعيًا من موازن التحميل عند المزامنة التالية.

instances delete

يزيل خدمة واحدة من العنقود. يوقف الخدمة وينتظر إتمام إيقاف التشغيل المرتّب الذي يقوم به المشغّل. ثم يزيل تثبيت عبء العمل، ويحذف مساحة الأسماء ns-<name> ومخرجات أداة السحب، وينتظر إلى أن تختفي مساحة الأسماء، ثم يضع علامة terminated على الخدمة. أما حاويات الخدمة ودور IAM الخاص بها فتبقى كما هي؛ ويزيلها executor teardown باستخدام بيانات الاعتماد الخاصة بك. وإعادة محاولة عملية حذف مكتملة لا تُحدث أي تأثير. والمسار المعتاد هو حذف الخدمة في ClickHouse Cloud؛ راجع حذف خدمة.

أوامر clicklink clctl

commands list

يطبع الأوامر التي سجّلها المنفّذ بصيغة JSON، بدءاً من الأحدث. يحتوي الحقل result للأمر الفاشل على الخطأ الذي حدث؛ أما مزامنة المنصة التي تنتظر موافقتك فتُظهر هناك أمر platform approve المطلوب تحديداً.

العَلَم	الوصف
`--status <status>`	التصفية: `pending` أو `running` أو `completed` أو `failed`.
`--action <action>`	التصفية حسب الإجراء، على سبيل المثال `create_instance` أو `sync_platform`.
`--cluster <name>`	التصفية حسب العنقود المُدار.

commands get

يطبع clicklink clctl commands get <id> أمرًا واحدًا، مع stage الخاص به ونتيجته.

clicklink clctl platform approve

يصرّح بتغيير واحد في المنصة باستخدام بيانات اعتماد العنقود الخاصة بك. يقرأ الحزمة التي جهّزها المنفّذ (executor)، ويحسب تجزئتها، ويُصيّر كل مخطط (chart) فيها تمامًا كما سيفعل المنفّذ. ويطبّق نصف الصلاحيات باستخدام سياق kube الذي تختاره، وينشئ هوية pcm-platform الخاصة بالمنفّذ إذا لزم الأمر، ويُصدر رمزها. ولا يرسل أي طلب إلى نقطة نهاية الموصّل لديك. ويشمل نصف الصلاحيات: Namespaces، وCustomResourceDefinitions، وServiceAccounts، وClusterRoles وارتباطاتها، وRoles وارتباطاتها، وتهيئات webhook وadmission، وPriorityClasses، وStorageClass. ثم يطبّق المنفّذ نصف عبء العمل فقط، وطالما كان ذلك الرمز صالحًا فقط. راجع تحديثات المنصة. للوصول المباشر إلى سجل ClickHouse، شغّل الموافقة على جهاز EC2 الافتراضي الخاص بالموصّل: تستخدم واجهة سطر الأوامر ملف تعريف المثيل الخاص به لتولي دور السحب للقراءة فقط، بشكل مستقل عن بيانات اعتماد kubeconfig لديك. أما سجلات مخططات ECR الأخرى فتستخدم بيانات اعتماد AWS المحيطة. راجع بيانات اعتماد السجل.

العَلَم	الوصف
`--config <path>`	ملف تهيئة الموصّل (متغير البيئة `CLCTL_EXECUTOR_CONFIG`). يوفّر بادئة مساحة الأسماء؛ وعلى محطة العمل، نسخة من تهيئة الموصّل.
`--context <name>`	سياق kubeconfig للعنقود المُدار، بصلاحيات cluster-admin؛ اسم أو نمط (متغير البيئة `CLCTL_CONTEXT`). الافتراضي: السياق الوحيد، وإلا فأداة اختيار.
`--ttl <dur>`	مدة صلاحية رمز المنصة (الافتراضي `2h`). لا يجدّده المنفّذ أبدًا.
`--output-dir <path>`	جذر الوصول: تُقرأ منه الحزمة المُجهّزة ويُكتب تحته الرمز، في `_platform` (الافتراضي `/etc/clicklink/access/executor`؛ متغير البيئة `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--secret-namespace <ns>`	عمليات التثبيت على Kubernetes: يقرأ الحزمة المُجهّزة من واجهة برمجة التطبيقات المحلية للمنفّذ ويسلّم حزمة الرمز على هيئة Secret في مساحة الأسماء هذه (مساحة أسماء الموصّل) بدلًا من `<output-dir>/_platform`.
`--secret-name <name>`	اسم الـ Secret الخاص بـ `--secret-namespace` (الافتراضي `clicklink-platform-bundle`)؛ ويجب أن يطابق `executor.platformBundleSecret` في المخطط.
`--endpoint <url>`	عمليات التثبيت على Kubernetes: واجهة برمجة التطبيقات المحلية للمنفّذ، ويُوصل إليها عبر `kubectl port-forward` (الافتراضي `http://127.0.0.1:9999`؛ متغير البيئة `CLCTL_ENDPOINT`).
`--bundle <path>`	تجاوز: بيان منصة مُصيَّر يُسلَّم خارج المسار المعتاد، ويُقرأ بدلًا من الحزمة المُجهّزة. يُحذف عادةً.
`--dry-run`	يُصيّر نصف الصلاحيات ويسرده دون تطبيق أو إصدار رمز.

clicklink clctl platform reset

للعناقيد الاختبارية التي لا تحتوي على خدمات: يزيل تثبيت إصدارات المنصة بترتيب عكسي للاعتماديات ويحذف حزمة رموز المنصة الخاصة بالمنفّذ، بحيث يمكن تنفيذ التثبيت الأول من جديد. وقبل إجراء أي تغيير، يسرد عناقيد ClickHouse في مساحات الأسماء التي يملكها هذا الموصّل ويرفض المتابعة إن وُجد أي منها. أما CustomResourceDefinitions وRBAC وStorageClass فتبقى كما هي. شغّل platform approve مرة أخرى قبل مزامنة المنصة التالية.

الراية	الوصف
`--bundle <path>`	مسار بيان المنصة المُولَّد (مطلوب، ويُقرأ بعد التحقق من خلو العنقود).
`--config <path>`	ملف تهيئة الموصّل (متغير البيئة `CLCTL_EXECUTOR_CONFIG`).
`--context <name>`	سياق kubeconfig للعنقود المُدار، مع صلاحيات cluster-admin.
`--output-dir <path>`	جذر الوصول الذي تُزال منه حزمة `_platform` (الافتراضي `/etc/clicklink/access/executor`).
`--secret-namespace <ns>`، `--secret-name <name>`	لعمليات التثبيت على Kubernetes: يزيل بدلاً من ذلك Secret حزمة المنصة في مساحة أسماء الموصّل (الاسم الافتراضي `clicklink-platform-bundle`).
`--dry-run`	يتحقق من وجود خدمات ويطبع خطة إعادة التعيين دون تغيير العنقود.

علامات القناة البعيدة

تشترك preflight وgateway trust وaccess provision في مجموعة من العلامات التي تحدد كيفية الوصول إلى جهاز افتراضي الهدف:

العلامة	الوصف
`--provider <name>`	قناة التنفيذ: `ssh` أو `aws` (SSM) أو `gcp` (IAP) لأجهزة افتراضية البعيدة، أو `local` عند التشغيل على جهاز افتراضي الهدف نفسه. يُستنتج من الخيارات الخاصة بكل موفر عند عدم تعيينه؛ والقيمة الافتراضية هي `aws` عند عدم تعيين أي منها. ولا يُستنتج `local` مطلقًا، لذا مرّر دائمًا `--provider local` على جهاز افتراضي نفسه.
`--ssh-host <host>`, `--ssh-user <user>`, `--ssh-port <port>`, `--ssh-identity-file <path>`	تفاصيل اتصال SSH (`--provider ssh`)؛ تُستخدم إعدادات SSH لديك افتراضيًا للمستخدم والمنفذ والمفتاح.
`--instance-id <id>`, `--region <region>`, `--profile <name>`	مثيل EC2 والمنطقة (الافتراضية `us-east-1`) وملف تعريف الإعدادات المشتركة لـ SSM (`--provider aws`).
`--project <id>`, `--zone <zone>`, `--instance-name <name>`	المشروع والنطاق والمثيل لنفق IAP (`--provider gcp`).

​clicklink clctl init

​نقاط الدخول

​العلامات الشائعة

​خيارات التوقيع (المرحلة 1 فقط)

​العلامات الخاصة بـ Kubernetes

​العلامات الخاصة بـ جهاز افتراضي فقط

​تعارضات العلامات

​clicklink clctl preflight

​clicklink clctl troubleshoot session

​الخيارات المشتركة

​تفعيل الجلسة

​تعطيل الجلسة

​حالة الجلسة

​clicklink clctl troubleshoot gateway trust

​clicklink clctl troubleshoot audit tail

​تهيئة الوصول

​clicklink clctl executor access

​منفّذ access grant

​منفّذ access apply

​clicklink clctl منفّذ prepare

​clicklink clctl executor teardown

​clicklink clctl instances

​instances create

​instances list

​instances get

​instances scale

​instances patch

​instances delete

​أوامر clicklink clctl

​commands list

​commands get

​clicklink clctl platform approve

​clicklink clctl platform reset

​علامات القناة البعيدة