` | `certificate-authority-data` encodé en Base64 pour `--server` (par défaut : kubeconfig de cet hôte, sinon demandée). |
### Conflits entre indicateurs
* `--handoff`, `--enroll` et `--signed-cert` s’excluent mutuellement ; un seul doit être spécifié.
* Les indicateurs propres à Kubernetes sont rejetés sauf avec `--target helm` ; `--server` et `--ca-data` sont rejetés avec `--target helm` (le processus Helm lit le kubeconfig du poste de travail).
* `--no-auto-sign` et `--sign-endpoint` s’excluent mutuellement, et tous deux (ainsi que `--api-private-ca`) sont rejetés avec `--signed-cert`.
* `--operators` et `--no-gateway` s’excluent mutuellement.
* `--skip-provision` rejette `--ch-pod`, `--ch-user-suffix`, `--server`, `--ca-data` et `--ch-admin-password-stdin` (aucun provisionnement n’est effectué).
## clicklink clctl preflight
Exécute la suite de vérifications du connecteur, regroupées par catégorie : configuration, fichiers, réseau, ClickHouse, systemd, accès, disque, masquage. Chaque vérification indique une réussite, un avertissement, un échec ou une omission. Le code de sortie 0 signifie que toutes les vérifications ont réussi (les avertissements ne sont pas bloquants) ; le code de sortie 2 signifie qu'une ou plusieurs vérifications ont échoué.
Par défaut, la commande s'exécute localement. Avec `--k8s-namespace`, elle exécute le binaire du connecteur dans son propre pod via `kubectl exec` et affiche le rapport localement (les vérifications systemd sont toujours ignorées dans les pods). Avec les [options du canal distant](#channel-flags), elle exécute à la place le binaire installé sur une VM distante.
| Option | Description |
| ------------------------ | -------------------------------------------------------------------------------------------------------- |
| `--config ` | Chemin vers le fichier de configuration du connecteur ; pour une cible distante, chemin sur cet hôte. |
| `--output `, `-o` | Format de sortie : `text` (par défaut) ou `json`. |
| `--timeout ` | Délai d'expiration global pour toutes les vérifications (par défaut : `30s`). |
| `--skip-systemd` | Ignore les vérifications de l'état des unités systemd (hôtes sans systemd). |
| `--k8s-namespace ` | Espace de noms du chart du connecteur ; exécute preflight dans le pod du connecteur via `kubectl exec`. |
| `--k8s-component ` | Pod du connecteur dans lequel exécuter la commande : `scraper` (par défaut) ou `troubleshooter`. |
| `--k8s-pod [` | Nom du pod ou remplacement du sélecteur de labels `k=v` (par défaut : les labels de composant du chart). |
| `--k8s-container ` | Conteneur dans lequel exécuter la commande (par défaut : le nom du composant). |
Les options `--k8s-*` et les options du canal distant s'excluent mutuellement ; choisissez une cible.
]
## clicklink clctl troubleshoot session
Active, désactive et inspecte la session de support : la période limitée pendant laquelle le composant de dépannage accepte les commandes. Lorsqu'aucune session n'est active, le démon refuse toutes les commandes, même lorsque son WebSocket est connecté. Consultez les [sessions de support](/docs/fr/products/bring-your-own-cloud/connector/support-sessions).
Les commandes fonctionnent dans l'un des deux modes suivants :
* **Fichier local** (par défaut) : lit et écrit le fichier d'état de session sur l'hôte sur lequel le composant de dépannage s'exécute (par défaut, `/var/lib/clicklink/session.json`).
* **Gateway** : avec `--gateway-url`, obtient un jeton d'ID OIDC et appelle à la place la gateway de session du composant de dépannage depuis votre poste de travail.
### Options communes
| Option | Description |
| -------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--session-file ` | Chemin du fichier d'état de session (par défaut : `/var/lib/clicklink/session.json`). |
| `--config ` | Fichier de configuration du connecteur ; le chemin du fichier de session est déterminé à partir de sa section `troubleshooter`. |
| `--gateway-url ` | URL de base de la passerelle de session. Lorsqu'elle est définie, la commande obtient un jeton Bearer OIDC et appelle la passerelle au lieu d'utiliser le fichier d'état local. S'exclut mutuellement avec `--session-file` et `--config`. |
| `--gateway-audience ` | Claim d'audience auquel le jeton OIDC est associé (par défaut : `clicklink-clctl`, qui correspond également à la valeur par défaut de la passerelle). Ne le définissez que si l'audience de la passerelle a été reconfigurée. |
| `--gateway-issuer ` | Émetteur OIDC que la passerelle valide. Une valeur vide sélectionne le flux Google ; définissez-le avec `--oidc-client-id` pour exécuter le flux Device Code avec un fournisseur d'identité autre que Google. |
| `--oidc-client-id ` | ID de client OIDC public pour le flux Device Code, enregistré auprès de `--gateway-issuer` avec le grant Device Code activé. |
| `--token-file ` | Fichier contenant un jeton d'ID OIDC préémis, utilisé comme jeton Bearer et contournant les autres fournisseurs de jetons. |
| `--gateway-ca ` | Bundle d'AC vérifiant le certificat de la passerelle (certificat fourni par vos soins). Lorsqu'il n'est pas défini, un certificat épinglé via `gateway trust` est utilisé ; une passerelle autosignée sans certificat épinglé échoue de manière sécurisée. |
### activation de session
| Indicateur | Description |
| ------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--duration ` | Durée pendant laquelle la session reste active (par défaut : `4h`, maximum : `24h`). |
| `--reason ` | Raison facultative en texte libre enregistrée avec la session (jusqu’à 256 caractères). |
| `--user ` | Identité de l’opérateur à enregistrer en mode fichier local ; par défaut, `$SUDO_USER` ou `$USER` est utilisé. En mode gateway, l’e-mail attesté par le token fait autorité. |
L’activation échoue si une session est déjà active ; désactivez-la d’abord ou attendez qu’elle expire.
### session disable
Désactive immédiatement la session. Cette commande est sans effet lorsqu’aucune session n’est active.
### état de la session
Indique si la session est active, qui l’a activée et à quelle date elle expire. `--output` (`-o`) sélectionne `table` (par défaut) ou `json`.
Sur Kubernetes, accédez à la passerelle à l’aide d’un transfert de port :
```bash theme={null}
kubectl -n port-forward \
statefulset/clicklink-connector-troubleshooter 8443:8443
clicklink clctl troubleshoot session enable \
--gateway-url http://localhost:8443 \
--duration 1h --reason "support ticket 1234"
```
## clicklink clctl troubleshoot gateway trust
Sur une VM, la passerelle de session utilise un certificat TLS auto-signé. Cette commande enregistre l’empreinte SHA-256 du certificat dans `~/.clicklink/clctl.yaml` afin que les commandes `session` puissent le vérifier ; si une empreinte épinglée ne correspond plus, la vérification échoue de manière sécurisée. La relation de confiance est établie hors bande de l’une des deux manières suivantes :
* Avec les [options du canal distant](#channel-flags), le certificat est lu directement sur la VM via le canal déjà authentifié, puis épinglé.
* Sans canal, transmettez `--gateway-fingerprint` avec la valeur SHA-256 journalisée par le connecteur lors de la génération du certificat ; le certificat récupéré n’est épinglé que s’il correspond. Si vous omettez l’option, l’empreinte présentée s’affiche sans qu’aucune empreinte ne soit épinglée.
| Indicateur | Description |
| -------------------------------- | -------------------------------------------------------------------------------------------------------------------------------- |
| `--gateway-url ` | URL de base de la passerelle à approuver (obligatoire), par exemple `https://:8443`. |
| `--gateway-fingerprint ` | Empreinte SHA-256 attendue issue du journal du connecteur, vérifiée avant l’épinglage. Les deux-points et la casse sont ignorés. |
| `--remote-cert-file ` | Chemin du certificat de la passerelle sur la VM, lu via le canal (par défaut : `/var/lib/clicklink/gateway/tls/server.crt`). |
```bash theme={null}
clicklink clctl troubleshoot gateway trust \
--gateway-url https://:8443 \
--gateway-fingerprint
```
Sur Kubernetes, le pinning n’est pas utilisé : exposez la passerelle via un Ingress avec un certificat émis par une CA, ou utilisez un port-forward.
## clicklink clctl troubleshoot audit tail
Affiche les dernières entrées du journal d’audit de l’utilitaire de dépannage : JSON délimité par des sauts de ligne, avec une entrée pour chaque commande acceptée ou bloquée par le démon. La commande ouvre le journal en lecture seule et ne le modifie jamais.
| Indicateur | Description |
| ------------------- | --------------------------------------------------------------------------------------------- |
| `--lines `, `-n` | Nombre d’entrées finales à afficher (50 par défaut). |
| `--path ` | Chemin du fichier journal d’audit (par défaut : `/var/log/clicklink/troubleshoot-audit.log`). |
L’image d’exécution du connecteur ne contient pas de shell ; sur Kubernetes, cette commande est donc le lecteur pris en charge :
```bash theme={null}
kubectl -n exec -- \
/clicklink clctl troubleshoot audit tail
```
## Provisionnement des accès
`clicklink clctl scraper access provision` et `clicklink clctl troubleshoot access provision` créent et, avec `--force`, renouvellent le bundle d'accès par instance d'un composant : l'utilisateur ClickHouse en lecture seule et ses privilèges, ainsi que le ServiceAccount Kubernetes, les RBAC et le jeton utilisés par le composant. `init` exécute cette opération directement lors de l'installation ; les commandes autonomes permettent de la relancer ou de renouveler les identifiants.
| Indicateur | Description |
| -------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--instance ` | Nom de l'instance issu de la configuration (obligatoire). |
| `--server ` | URL du serveur d'API Kubernetes (obligatoire). |
| `--ca-data ` | Certificat CA du cluster encodé en Base64 pour le kubeconfig généré. |
| `--config ` | Fichier de configuration du connecteur à partir duquel lire l'instance. |
| `--target ` | `systemd` (par défaut : envoie le bundle vers une VM via un canal distant, ou le génère localement avec `--provider local`) ou `helm` (transfère le bundle sous forme de secret Kubernetes pour le chart). |
| `--target-namespace ` | Espace de noms dans lequel le secret du bundle est créé (obligatoire avec `--target helm`). |
| `--instance-namespace ` | (`--target helm`) Espace de noms de l'instance ClickHouse cible. |
| `--force` | Écrase un bundle existant : permet de relancer l'opération ou de renouveler les identifiants. |
| `--secret-name ` | Remplace le nom du secret du bundle (par défaut `clicklink-connector--access-`). |
| `--output-dir ` | (`--target helm` ou `--provider local`) Répertoire racine dans lequel le bundle est créé. |
| `--ch-admin-user ` | Utilisateur administrateur ClickHouse pour appliquer les privilèges (par défaut `default`). |
| `--ch-admin-password-stdin` | Lit le mot de passe de l'administrateur ClickHouse depuis l'entrée standard. |
| `--ch-user-suffix ` | Suffixe facultatif pour le nom d'utilisateur ClickHouse provisionné. |
| `--ch-user-via ` | Méthode de provisionnement de l'utilisateur ClickHouse : `sql` (par défaut ; applique les privilèges générés en tant que `--ch-admin-user`) ou `cr` (écrit l'utilisateur dans la ressource personnalisée de l'instance, pour les instances gérées par un opérateur sans administrateur compatible SQL). |
| `--apply-ch-grants` | (`--target helm`) Applique les privilèges générés dans le pod via `kubectl exec` au lieu de vous laisser le faire. |
| `--ch-pod [`, `--ch-pod-namespace `, `--ch-container ` | (`--target helm` avec `--apply-ch-grants` ou `--ch-user-via cr`) Sélectionne le pod ClickHouse et le conteneur dans lesquels exécuter la commande. |
| `--token-duration ` | Durée de vie du jeton ServiceAccount (par défaut `2160h`, 90 jours ; EKS limite les attributions à 24 heures). |
| `--skip-restart` | Ignore le redémarrage du composant après le provisionnement. |
| `--dry-run` | Affiche le plan et quitte ; aucune écriture dans Kubernetes, à distance ou dans ClickHouse. |
Renouvelez les identifiants d'une instance pour un composant :
```bash theme={null}
clicklink clctl scraper access provision --target helm \
--target-namespace \
--instance --instance-namespace \
--server \
--apply-ch-grants --ch-pod --ch-pod-namespace \
--force
```
]
## Options du canal distant
`preflight`, `gateway trust` et `access provision` acceptent un ensemble commun d'options qui déterminent comment accéder à une VM cible :
| Option | Description |
| ------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--provider ` | Canal d'exécution : `ssh`, `aws` (SSM) ou `gcp` (IAP) pour les VM distantes, ou `local` lors de l'exécution directement sur la VM cible. Déduit des options propres à chaque fournisseur s'il n'est pas défini explicitement ; `local` n'est jamais déduit. |
| `--ssh-host `, `--ssh-user `, `--ssh-port `, `--ssh-identity-file ` | Informations de connexion SSH (`--provider ssh`) ; l'utilisateur, le port et la clé sont définis par défaut à partir de votre configuration SSH. |
| `--instance-id `, `--region `, `--profile ` | Instance EC2, région et profil de configuration partagée pour SSM (`--provider aws`). |
| `--project `, `--zone `, `--instance-name ` | Projet, zone et instance pour le tunneling IAP (`--provider gcp`). |