`), чтобы второе развертывание коннектора могло совместно использовать экземпляр без конфликтов с пользователями первого. |
| `--ch-admin-password-stdin` | Считывает пароль администратора ClickHouse из stdin, когда он требуется для настройки SQL; при запуске из терминала вместо этого запрашивает пароль. |
### Флаги подписания (только для фазы 1)
| Флаг | Описание |
| ----------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--no-auto-sign` | Только для стадии: отключает автоматическое подписание CSR через конечную точку регистрации; предназначен для изолированных от интернета сред или сценариев подписания вне основного канала. |
| `--sign-endpoint ` | Переопределяет конечную точку подписания при регистрации (по умолчанию: формируется из конечной точки bundle добавлением DNS-метки `enroll`). Должен быть HTTPS URL. |
### Флаги только для Kubernetes
Действуют только с `--target helm`.
| Флаг | Описание |
| --------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--target-namespace ` | Пространство имен, в которое устанавливается чарт и создаются его Secrets (по умолчанию `clicklink`; запрашивается в терминале). |
| `--instance-namespace ` | Пространство имен целевого экземпляра ClickHouse; используется для обнаружения нативного Service и в запросах, связанных с экземпляром. |
| `--storage-class ` | Класс хранилища для тома состояния troubleshooter (по умолчанию: класс хранилища кластера по умолчанию; запрашивается или обязателен, если в кластере такой класс не задан). |
| `--values ` | Путь к подготовленному наложению values (по умолчанию `clicklink-values.yaml`). |
| `--chart [` | Чарт для развертывания: имя, разрешаемое через `--chart-repo`, или прямая ссылка `oci://`, URL либо локальная ссылка для зеркальных установок (по умолчанию `clicklink-connector`). |
| `--chart-repo ` | Репозиторий Helm, в котором разрешается имя чарта (по умолчанию `https://releases.clicklink.clickhouse.com/charts`); игнорируется для прямых ссылок в `--chart`. |
| `--chart-version ` | Версия чарта для развертывания (по умолчанию: версия релиза этого бинарного файла). |
| `--ch-pod ][` | Под ClickHouse для этапов подготовки внутри пода; указывается именем или селектором меток `k=v` (по умолчанию: запущенный под, обслуживающий Service каждого экземпляра). |
| `--api-private-ca` | Конечная точка API использует сертификат, выданный CA пакета регистрации: вместо системных корневых сертификатов задается `api.tls.caFile`, указывающий на смонтированную цепочку CA. |
]
### Флаги только для ВМ
Действуют только с `--target systemd`.
| Флаг | Описание |
| -------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--server ` | URL API-сервера Kubernetes, на который указывают пакеты доступа (по умолчанию: kubeconfig этого хоста; в противном случае будет предложено указать). |
| `--ca-data ` | Base64 `certificate-authority-data` для `--server` (по умолчанию: kubeconfig этого хоста; в противном случае будет предложено указать). |
### Конфликты флагов
* `--handoff`, `--enroll` и `--signed-cert` взаимоисключающие; необходимо указать ровно один из них.
* Флаги, предназначенные только для Kubernetes, не принимаются без `--target helm`; `--server` и `--ca-data` не принимаются при `--target helm` (процесс Helm использует kubeconfig рабочей станции).
* `--no-auto-sign` и `--sign-endpoint` взаимоисключающие; оба они, а также `--api-private-ca`, не принимаются вместе с `--signed-cert`.
* `--operators` и `--no-gateway` взаимоисключающие.
* При `--skip-provision` не принимаются `--ch-pod`, `--ch-user-suffix`, `--server`, `--ca-data` и `--ch-admin-password-stdin` (подготовка не выполняется).
## clicklink clctl preflight
Запускает набор проверок коннектора, сгруппированных по категориям: config, files, network, clickhouse, systemd, access, disk, redaction. Каждая проверка возвращает один из статусов: pass, warn, fail или skip. Код выхода 0 означает, что все проверки успешно пройдены (предупреждения не блокируют выполнение); код выхода 2 означает, что одна или несколько проверок завершились ошибкой.
По умолчанию команда выполняется локально. При использовании `--k8s-namespace` она запускает бинарный файл в поде коннектора через `kubectl exec`, а отчет формирует локально (проверки systemd в подах всегда пропускаются). При использовании [флагов удаленного канала](#channel-flags) вместо этого запускается установленный бинарный файл на удаленной ВМ.
| Флаг | Описание |
| ------------------------ | ---------------------------------------------------------------------------------------------------- |
| `--config ` | Путь к файлу конфигурации коннектора; для удаленной цели — путь на соответствующем хосте. |
| `--output `, `-o` | Формат вывода: `text` (по умолчанию) или `json`. |
| `--timeout ` | Общий тайм-аут для всех проверок (по умолчанию `30s`). |
| `--skip-systemd` | Пропускает проверки состояния модулей systemd (для хостов без systemd). |
| `--k8s-namespace ` | Пространство имен чарта коннектора; запускает preflight внутри пода коннектора через `kubectl exec`. |
| `--k8s-component ` | Под коннектора, в котором выполняется запуск: `scraper` (по умолчанию) или `troubleshooter`. |
| `--k8s-pod [` | Переопределение имени пода или селектора меток `k=v` (по умолчанию: метки компонента чарта). |
| `--k8s-container ` | Контейнер, в котором выполняется exec (по умолчанию: имя компонента). |
Флаги `--k8s-*` и флаги удаленного канала взаимоисключающие; выберите одну цель.
]
## clicklink clctl troubleshoot session
Включает, отключает и проверяет сеанс поддержки — ограниченный по времени период, в течение которого troubleshooter принимает команды. Когда сеанс не активен, демон отклоняет все команды, даже если его WebSocket подключён. См. [сеансы поддержки](/docs/ru/products/bring-your-own-cloud/connector/support-sessions).
Команды работают в одном из двух режимов:
* **Локальный файл** (по умолчанию): считывают и записывают файл состояния сеанса на хосте, где запущен troubleshooter (по умолчанию `/var/lib/clicklink/session.json`).
* **Шлюз**: при использовании `--gateway-url` получают токен OIDC ID и вместо этого обращаются к шлюзу сеансов troubleshooter с вашей рабочей станции.
### Общие флаги
| Флаг | Описание |
| -------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--session-file ` | Путь к файлу состояния сеанса (по умолчанию `/var/lib/clicklink/session.json`). |
| `--config ` | Файл конфигурации коннектора; путь к файлу сеанса определяется по разделу `troubleshooter`. |
| `--gateway-url ` | Базовый URL шлюза сеанса. Если задан, команда получает Bearer-токен OIDC и обращается к шлюзу вместо локального файла состояния. Взаимоисключается с `--session-file` и `--config`. |
| `--gateway-audience ` | Claim audience, с которым связан токен OIDC (по умолчанию `clicklink-clctl`, совпадает со значением шлюза по умолчанию). Указывайте его только при изменении audience шлюза. |
| `--gateway-issuer ` | Издатель OIDC, по которому шлюз выполняет проверку. Пустое значение выбирает путь Google; задайте его вместе с `--oidc-client-id`, чтобы запустить поток device-code для провайдера идентификации, отличного от Google. |
| `--oidc-client-id ` | ID публичного клиента OIDC для потока device-code, зарегистрированного в `--gateway-issuer` с включенным device grant. |
| `--token-file ` | Файл с заранее выпущенным ID-токеном OIDC, используемым как Bearer-токен и заменяющим другие способы получения токена. |
| `--gateway-ca ` | Набор CA для проверки сертификата шлюза (собственный сертификат). Если не задан, используется сертификат, закрепленный через `gateway trust`; самоподписанный шлюз без закрепленного сертификата отклоняется. |
### включение сеанса
| Флаг | Описание |
| ------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `--duration ` | Время, в течение которого сеанс остаётся активным (по умолчанию `4h`, максимум `24h`). |
| `--reason ` | Необязательная текстовая причина, сохраняемая вместе с сеансом (до 256 символов). |
| `--user ` | Идентификатор оператора, сохраняемый в режиме локального файла; по умолчанию используется `$SUDO_USER` или `$USER`. В режиме шлюза источником истины служит адрес электронной почты, подтверждённый токеном. |
Включить сеанс не получится, если он уже активен: сначала отключите его или дождитесь истечения срока действия.
### отключение сеанса
Немедленно деактивирует сеанс. Если активного сеанса нет, команда ничего не делает.
### Статус сеанса
Показывает, активен ли сеанс, кто его включил и когда срок его действия истекает. `--output` (`-o`) задаёт формат вывода: `table` (по умолчанию) или `json`.
В Kubernetes подключитесь к шлюзу с помощью проброса порта:
```bash theme={null}
kubectl -n port-forward \
statefulset/clicklink-connector-troubleshooter 8443:8443
clicklink clctl troubleshoot session enable \
--gateway-url http://localhost:8443 \
--duration 1h --reason "support ticket 1234"
```
## clicklink clctl troubleshoot gateway trust
На ВМ шлюз сеанса использует самоподписанный TLS-сертификат. Эта команда сохраняет SHA-256-отпечаток сертификата в `~/.clicklink/clctl.yaml`, чтобы команды `session` могли его проверять; если закреплённый отпечаток перестаёт совпадать, подключение блокируется. Доверие устанавливается одним из двух способов вне канала:
* С помощью [флагов удалённого канала](#channel-flags) сертификат считывается непосредственно с ВМ по уже аутентифицированному каналу и закрепляется.
* Без канала передайте `--gateway-fingerprint` со значением SHA-256, записанным коннектором в журнал при создании сертификата; полученный сертификат закрепляется, только если он совпадает. Если не указывать этот флаг, отображается представленный отпечаток без закрепления.
| Флаг | Описание |
| -------------------------------- | ------------------------------------------------------------------------------------------------------------------------- |
| `--gateway-url ` | Базовый URL шлюза, которому следует доверять (обязательно), например `https://:8443`. |
| `--gateway-fingerprint ` | Ожидаемый SHA-256-отпечаток из журнала коннектора, проверяемый перед закреплением. Двоеточия и регистр букв игнорируются. |
| `--remote-cert-file ` | Путь к сертификату шлюза на ВМ, считываемому через канал (по умолчанию `/var/lib/clicklink/gateway/tls/server.crt`). |
```bash theme={null}
clicklink clctl troubleshoot gateway trust \
--gateway-url https://:8443 \
--gateway-fingerprint
```
В Kubernetes закрепление не используется: предоставьте доступ к шлюзу через входной шлюз с сертификатом, выданным CA, или выполните проброс порта.
## clicklink clctl troubleshoot audit tail
Выводит последние записи журнала аудита troubleshooter в формате JSON, по одной записи в строке для каждой команды, принятой или заблокированной демоном. Команда открывает журнал только для чтения и не изменяет его.
| Флаг | Описание |
| ------------------- | --------------------------------------------------------------------------------------- |
| `--lines `, `-n` | Количество выводимых последних записей (по умолчанию 50). |
| `--path ` | Путь к файлу журнала аудита (по умолчанию `/var/log/clicklink/troubleshoot-audit.log`). |
Образ среды выполнения коннектора не содержит оболочки, поэтому в Kubernetes эта команда является поддерживаемым средством чтения:
```bash theme={null}
kubectl -n exec -- \
/clicklink clctl troubleshoot audit tail
```
## Настройка доступа
`clicklink clctl scraper access provision` и `clicklink clctl troubleshoot access provision` создают пакет доступа для каждого экземпляра компонента, а с `--force` выполняют его ротацию: пользователя ClickHouse только для чтения и его привилегии, а также ServiceAccount Kubernetes, RBAC и токен, используемые компонентом. `init` выполняет это встроенно при установке; автономные команды используются для повторного запуска и ротации учетных данных.
| Флаг | Описание |
| -------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--instance ` | Имя экземпляра из конфигурации (обязательно). |
| `--server ` | URL API-сервера Kubernetes (обязательно). |
| `--ca-data ` | CA‑сертификат кластера в формате Base64 для сгенерированного kubeconfig. |
| `--config ` | Файл конфигурации коннектора, из которого считывается экземпляр. |
| `--target ` | `systemd` (по умолчанию: передать пакет на ВМ по удаленному каналу или сгенерировать локально с помощью `--provider local`) либо `helm` (создать Kubernetes Secret с пакетом для чарт). |
| `--target-namespace ` | Пространство имен, в котором будет создан Secret с пакетом (обязательно с `--target helm`). |
| `--instance-namespace ` | (`--target helm`) Пространство имен целевого экземпляра ClickHouse. |
| `--force` | Перезаписывает существующий пакет: используется при повторном запуске и ротации учетных данных. |
| `--secret-name ` | Переопределяет имя Secret с пакетом (по умолчанию `clicklink-connector--access-`). |
| `--output-dir ` | (`--target helm` или `--provider local`) Корневой каталог, в который будет помещен пакет. |
| `--ch-admin-user ` | Административный пользователь ClickHouse для применения привилегий (по умолчанию `default`). |
| `--ch-admin-password-stdin` | Считывает пароль администратора ClickHouse из stdin. |
| `--ch-user-suffix ` | Необязательный суффикс для подготовленного имени пользователя ClickHouse. |
| `--ch-user-via ` | Способ подготовки пользователя ClickHouse: `sql` (по умолчанию; применяет сгенерированные привилегии от имени `--ch-admin-user`) или `cr` (записывает пользователя в custom resource экземпляра для экземпляров под управлением оператора без администратора, способного выполнять SQL). |
| `--apply-ch-grants` | (`--target helm`) Применяет сгенерированные привилегии внутри пода через `kubectl exec`, а не оставляет их для ручного применения. |
| `--ch-pod [`, `--ch-pod-namespace `, `--ch-container ` | (`--target helm` с `--apply-ch-grants` или `--ch-user-via cr`) Выбирает под ClickHouse и контейнер для выполнения `exec`. |
| `--token-duration ` | Срок действия токена ServiceAccount (по умолчанию `2160h`, 90 дней; EKS ограничивает срок действия до 24 часов). |
| `--skip-restart` | Пропускает перезапуск компонента после подготовки доступа. |
| `--dry-run` | Выводит план и завершает работу; записи в Kubernetes, удаленные системы или ClickHouse не выполняются. |
Выполните ротацию учетных данных экземпляра для одного компонента:
```bash theme={null}
clicklink clctl scraper access provision --target helm \
--target-namespace \
--instance --instance-namespace \
--server \
--apply-ch-grants --ch-pod --ch-pod-namespace \
--force
```
]
## Флаги каналов удалённого доступа
`preflight`, `gateway trust` и `access provision` принимают общий набор флагов для выбора способа подключения к целевой ВМ:
| Флаг | Описание |
| ------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `--provider ` | Канал выполнения: `ssh`, `aws` (SSM) или `gcp` (IAP) для удалённых ВМ либо `local` при запуске на самой целевой ВМ. Если параметр не задан явно, он определяется по флагам соответствующего провайдера; `local` никогда не определяется автоматически. |
| `--ssh-host `, `--ssh-user `, `--ssh-port `, `--ssh-identity-file ` | Сведения о подключении по SSH (`--provider ssh`); пользователь, порт и ключ по умолчанию берутся из вашей конфигурации SSH. |
| `--instance-id `, `--region `, `--profile ` | Экземпляр EC2, регион и профиль общей конфигурации для SSM (`--provider aws`). |
| `--project `, `--zone `, `--instance-name ` | Проект, зона и экземпляр для туннелирования через IAP (`--provider gcp`). |