Справочник CLI - ClickHouse Documentation

Коннектор поставляется в виде единого бинарного файла clicklink; команды запускаются через clicklink clctl. На этой странице описаны команды для установки и повседневной эксплуатации. Чтобы просмотреть полную справку, запустите любую команду с флагом --help. Флаги в поддеревьях troubleshoot, scraper, preflight, executor, instances create и platform, а также глобальные --endpoint и --cluster, также можно задавать через переменные окружения CLCTL_* (их имена указаны в справке для каждого флага) или в файле ~/.clicklink/clctl.yaml. Глобальный флаг -v выводит в журнал запросы к административному API, выполняемые командой; -vv дополнительно добавляет тела запросов. Команды instances и commands, а также executor teardown, обращаются к локальному API исполнителя. Его задают два глобальных флага: --endpoint <url> (по умолчанию http://127.0.0.1:9999, переменная окружения CLCTL_ENDPOINT) и --cluster <name> (переменная окружения CLCTL_CLUSTER), который указывает управляемый кластер, если он нужен команде. В Kubernetes сначала откройте kubectl port-forward к Развертыванию исполнителя; см. управляемые сервисы.

clicklink clctl init

Инициализирует коннектор с помощью токена регистрации, сохранённого пакета регистрации или подписанного сертификата, полученного вне основного канала. Один запуск подготавливает конфигурацию, настраивает доступ к ClickHouse, получает клиентский сертификат mTLS, выполняет развёртывание (Helm-чарт или модули systemd) и проверяет работоспособность. С флагом --managed он также включает исполнитель для обнаруженного EKS cluster и выдаёт исполнителю доступ в рамках всего кластера. Повторный запуск безопасен: init сохраняет конфигурацию и UUID кластера, атомарно перезаписывает учётные данные и повторно использует существующий клиентский ключ, если не указан --force. Полное описание процесса см. в разделе онбординг, а описание работы исполнителя — в разделе управляемые сервисы.

Точки входа

Требуется указать ровно одну точку входа.

Флаг	Описание
`--enroll <url>`	Стандартный сценарий. Принимает конечную точку коннектора (`https://<subdomain>.<connector-domain>`) и использует одноразовый токен регистрации, который в терминале запрашивается без отображения вводимых символов либо считывается из первой строки stdin. Записывает полученный пакет регистрации в `handoff.yaml` (режим 0600) и продолжает работу как `--handoff handoff.yaml`. Токен никогда не попадает в командную строку, на диск или в журналы.
`--handoff <path>`	Выполняет начальную настройку из сохранённого пакета регистрации. Повторные запуски и восстановление используют этот вариант после создания `handoff.yaml`.
`--signed-cert <path>`	Фаза 2 сценария для среды, изолированной от интернета: устанавливает клиентский сертификат, подписанный вне основного канала, и завершает поэтапную установку. Параметр `--chain <path>` при необходимости заменяет вместе с ним цепочку CA.

Общие флаги

Флаг	Описание
`--target <shape>`	Форма развертывания: `systemd` (по умолчанию; первичная настройка ВМ, на которой вы находитесь) или `helm` (подготовка чарта `clicklink-connector` с рабочей станции с kubeconfig).
`--instance <spec>`	Экземпляр ClickHouse, который вы обслуживаете самостоятельно, в виде разделенных запятыми пар `key=value` (`name`, `host`, `port`, `secure`, `database`, `namespace`, `cluster`); можно указывать несколько раз. Пропускает интерактивные промпты об экземпляре. Отклоняется в управляемом режиме на Kubernetes: за таким экземпляром наблюдает отдельное развертывание, установленное с `--no-managed`.
`--env <label>`	Метка окружения, добавляемая в каждую отправляемую метрику как `scraper.labels.env` (по умолчанию `production`). Передайте `staging` для установки в промежуточное окружение.
`--operators <emails>`	Разделенный запятыми список адресов электронной почты операторов, которым разрешено открывать сеансы поддержки; включает шлюз сеанса и пропускает промпт.
`--no-gateway`	Отключает шлюз сеанса (без сеансов, управляемых OIDC); пропускает промпт. На ВМ пользователь root на хосте по-прежнему может управлять сеансами через локальный файл сеанса.
`--managed`	Включает управляемый режим: запускает исполнителя, чтобы ClickHouse Cloud управлял жизненным циклом сервисов ClickHouse в этом кластере; пропускает промпт. Требуется кластер Amazon EKS.
`--no-managed`	Оставляет управляемый режим (исполнителя) выключенным; пропускает промпт.
`--from-terraform <path>`	Выходные значения корневого модуля Terraform в том виде, в котором их выводит `terraform output -json` (`-` читает из stdin). На ВМ заполняет `--cluster-name`, `--server` и `--ca-data`, а на Kubernetes — `--target-namespace`, роль IRSA и селектор узлов для оверлея управляемого режима. Флаг, противоречащий файлу, отклоняется.
`--force`	Перезаписывает существующую конфигурацию или оверлей и заново генерирует клиентский ключ; также подтверждает замену еще не истекшего автоматически подписанного сертификата. UUID кластера сохраняется даже при `--force`.
`--skip-provision`	Только подготовка: пропускает настройку доступа к ClickHouse для каждой роли (а для цели systemd — также включение и проверку unit-файла). Выполните `clicklink clctl {scraper,troubleshoot} access provision` отдельно. При `--target helm` грант для исполнителя все равно применяется; на ВМ он также пропускается.
`--ch-user-suffix <suffix>`	Необязательный suffix для создаваемых имен пользователей ClickHouse (`pcm_scraper` становится `pcm_scraper_<suffix>`), чтобы второе развертывание коннектора могло использовать тот же экземпляр без конфликта с пользователями первого.
`--ch-admin-password-stdin`	Читает пароль администратора ClickHouse из stdin, когда он требуется для SQL-настройки доступа; при запуске в терминале вместо этого выводится запрос.

Флаги подписания (только для фазы 1)

Флаг	Описание
`--no-auto-sign`	Только для стадии: отключает автоматическое подписание CSR через конечную точку регистрации; предназначен для изолированных от интернета сред или сценариев подписания вне основного канала.
`--sign-endpoint <url>`	Переопределяет конечную точку подписания при регистрации (по умолчанию: формируется из конечной точки bundle добавлением DNS-метки `enroll`). Должен быть HTTPS URL.

Флаги только для Kubernetes

Действуют только с --target helm.

Флаг	Описание
`--target-namespace <ns>`	Пространство имен, в которое устанавливается чарт и создаются его Secrets (по умолчанию `clicklink`; запрашивается в терминале).
`--instance-namespace <ns>`	Пространство имен целевого экземпляра ClickHouse; используется для обнаружения нативного Service и в запросах, связанных с экземпляром. Отклоняется вместе с `--managed`: управляемая установка не регистрирует существующий экземпляр.
`--storage-class <name>`	Класс хранилища для томов состояния troubleshooter и исполнителя (по умолчанию: класс хранилища кластера по умолчанию; запрашивается или обязателен, если в кластере такой класс не задан).
`--values <path>`	Путь к подготовленному оверлею values (по умолчанию `clicklink-values.yaml`).
`--chart <ref>`	Чарт для развертывания: имя, разрешаемое через `--chart-repo`, или прямая ссылка `oci://`, URL либо локальная ссылка для зеркальных установок (по умолчанию `clicklink-connector`).
`--chart-repo <url>`	Репозиторий Helm, в котором разрешается имя чарта (по умолчанию `https://releases.clicklink.clickhouse.com/charts`); игнорируется для прямых ссылок в `--chart`.
`--chart-version <ver>`	Версия чарта для развертывания (по умолчанию: версия релиза этого бинарного файла).
`--ch-pod <ref>`	Под ClickHouse для этапов подготовки внутри пода; указывается именем или селектором меток `k=v` (по умолчанию: запущенный под, обслуживающий Service каждого экземпляра).
`--api-private-ca`	Ваша конечная точка коннектора использует сертификат, выданный CA пакета регистрации: задается `api.tls.caFile`, указывающий на смонтированную цепочку CA, которая добавляется к системным корневым сертификатам.
`--egress-cidrs <cidrs>`	Список CIDR вашей конечной точки коннектора через запятую для NetworkPolicy чарта с политикой запрета по умолчанию: NetworkPolicy задается включенной с этими значениями в `networkPolicy.allowEgressCIDRs` (запрашивается в терминале в управляемом режиме). Без них политика задается отключенной, чтобы вы включили ее позже.
`--platform-bundle <path\|from-api>`	Сформированный манифест платформы (файл, который читает `clicklink clctl platform approve --bundle`), либо `from-api`, чтобы получить через API коннектора манифест, сформированный ClickHouse Cloud для вашей зарегистрированной инфраструктуры. Вместе с `--managed` и `--from-terraform` устанавливает недостающие компоненты: Karpenter и его пулы узлов, контроллер AWS Load Balancer, класс хранилища `gp3-encrypted`, а также компоненты, закрепленные в манифесте. См. Terraform в AWS.
`--server-instance-families <families>`	Требует `--platform-bundle`. Список семейств инстансов EC2 arm64 с локальными NVMe-дисками (instance store) через запятую для NodePool `clickhouse-server` (по умолчанию `m7gd`). Флаги пулов применяются только к новым NodePool; существующие пулы не изменяются.
`--keeper-instance-families <families>`	Требует `--platform-bundle`. Список семейств инстансов EC2 arm64 через запятую для NodePool `clickhouse-keeper` (по умолчанию `m7g`).
`--server-pool-limits <limits>`	Требует `--platform-bundle`. Список ограничений ресурсов `key=quantity` через запятую для NodePool `clickhouse-server` (по умолчанию `cpu=1000,memory=4Ti`).
`--keeper-pool-limits <limits>`	Требует `--platform-bundle`. Список ограничений ресурсов `key=quantity` через запятую для NodePool `clickhouse-keeper` (по умолчанию `cpu=100,memory=400Gi`).

Флаги только для ВМ

Действуют только с --target systemd.

Флаг	Описание
`--server <url>`	URL API-сервера Kubernetes, на который указывают пакеты доступа (по умолчанию: kubeconfig этого хоста; в противном случае будет предложено указать).
`--ca-data <base64>`	Base64 `certificate-authority-data` для `--server` (по умолчанию: kubeconfig этого хоста; в противном случае будет предложено указать).
`--cluster-name <name>`	Имя EKS cluster, которым управляет managed mode (по умолчанию: единственный EKS cluster в kubeconfig этого хоста; в терминале будет предложено указать).
`--no-instance`	Запуск с пустым registry экземпляров и пропуском промптов об экземплярах.

Конфликты флагов

--handoff, --enroll и --signed-cert взаимоисключающие; необходимо указать ровно один из них.
Флаги, предназначенные только для Kubernetes, не принимаются без --target helm; --server, --ca-data, --cluster-name и --no-instance не принимаются при --target helm (процесс Helm использует kubeconfig рабочей станции и определяет экземпляр внутри кластера).
--no-instance и --instance взаимоисключающие.
--managed и --no-managed взаимоисключающие, а --cluster-name не принимается вместе с --no-managed. При --target helm флаги --instance и --instance-namespace не принимаются вместе с --managed.
--no-auto-sign и --sign-endpoint взаимоисключающие; оба они, а также --api-private-ca, --managed, --no-managed и --cluster-name, не принимаются вместе с --signed-cert.
Для --platform-bundle требуются --target helm, --managed и --from-terraform; этот флаг не принимается вместе с --no-managed или --signed-cert. Четыре флага пулов не принимаются без --platform-bundle и отклоняются, если NodePools уже существуют.
--operators и --no-gateway взаимоисключающие.
При --skip-provision не принимаются --ch-pod, --ch-user-suffix, --server, --ca-data и --ch-admin-password-stdin (подготовка не выполняется).

clicklink clctl preflight

Запускает набор проверок коннектора, сгруппированных по категориям: config, files, network, clickhouse, systemd, access, disk, redaction. Каждая проверка возвращает один из статусов: pass, warn, fail или skip. Код выхода 0 означает, что все проверки успешно пройдены (предупреждения не блокируют выполнение); код выхода 2 означает, что как минимум одна проверка завершилась ошибкой. По умолчанию команда выполняется локально. При использовании --k8s-namespace она запускает бинарный файл в поде коннектора через kubectl exec, а отчет формирует локально (проверки systemd в подах всегда пропускаются). При использовании флагов удаленного канала вместо этого запускается установленный бинарный файл на удаленной ВМ.

Флаг	Описание
`--config <path>`	Путь к файлу конфигурации коннектора; для удаленной цели — путь на соответствующем хосте.
`--output <fmt>`, `-o`	Формат вывода: `text` (по умолчанию) или `json`.
`--timeout <dur>`	Общий тайм-аут для всех проверок (по умолчанию `30s`).
`--skip-systemd`	Пропускает проверки состояния модулей systemd (для хостов без systemd).
`--k8s-namespace <ns>`	Пространство имен чарта коннектора; запускает preflight внутри пода коннектора через `kubectl exec`.
`--k8s-component <name>`	Под коннектора, в котором выполняется запуск: `scraper` (по умолчанию) или `troubleshooter`.
`--k8s-pod <ref>`	Переопределение имени пода или селектора меток `k=v` (по умолчанию: метки компонента чарта).
`--k8s-container <name>`	Контейнер, в котором выполняется exec (по умолчанию: имя компонента).

Флаги --k8s-* и флаги удаленного канала взаимоисключающие; выберите одну цель.

clicklink clctl troubleshoot session

Включает, отключает и проверяет сеанс поддержки — ограниченный по времени период, в течение которого troubleshooter принимает команды. Без активного сеанса демон отклоняет любую команду, даже если его WebSocket подключён. См. сеансы поддержки. Команды работают в одном из двух режимов:

Локальный файл (по умолчанию): считывают и записывают файл состояния сеанса на хосте, где запущен troubleshooter (по умолчанию /var/lib/clicklink/session.json).
Шлюз: при использовании --gateway-url получают ID-токен OIDC и вместо этого обращаются к шлюзу сеанса troubleshooter с вашей рабочей станции.

Общие флаги

Флаг	Описание
`--session-file <path>`	Путь к файлу состояния сеанса (по умолчанию `/var/lib/clicklink/session.json`).
`--config <path>`	Файл конфигурации коннектора; путь к файлу сеанса определяется по разделу `troubleshooter`.
`--gateway-url <url>`	Базовый URL шлюза сеанса. Если задан, команда получает Bearer-токен OIDC и обращается к шлюзу вместо локального файла состояния. Взаимоисключается с `--session-file` и `--config`.
`--gateway-audience <aud>`	Claim audience, с которым связан токен OIDC (по умолчанию `clicklink-clctl`, совпадает со значением шлюза по умолчанию). Указывайте его только при изменении audience шлюза.
`--gateway-issuer <url>`	Издатель OIDC, по которому шлюз выполняет проверку. Пустое значение выбирает путь Google; задайте его вместе с `--oidc-client-id`, чтобы запустить поток device-code для провайдера идентификации, отличного от Google.
`--oidc-client-id <id>`	ID публичного клиента OIDC для потока device-code, зарегистрированного в `--gateway-issuer` с включенным device grant.
`--token-file <path>`	Файл с заранее выпущенным ID-токеном OIDC, используемым как Bearer-токен и заменяющим другие способы получения токена.
`--gateway-ca <path>`	Набор CA для проверки сертификата шлюза (собственный сертификат). Если не задан, команда использует сертификат, закрепленный через `gateway trust`; самоподписанный шлюз без закрепленного сертификата отклоняется.

включение сеанса

Флаг	Описание
`--duration <dur>`	Время, в течение которого сеанс остаётся активным (по умолчанию `4h`, максимум `24h`).
`--reason <text>`	Необязательная текстовая причина, сохраняемая вместе с сеансом (до 256 символов).
`--user <name>`	Идентификатор оператора, сохраняемый в режиме локального файла; по умолчанию используется `$SUDO_USER` или `$USER`. В режиме шлюза источником истины служит адрес электронной почты, подтверждённый токеном.

Включить сеанс не получится, если он уже активен: сначала отключите его или дождитесь истечения срока действия.

отключение сеанса

Немедленно деактивирует сеанс. Если активного сеанса нет, команда ничего не делает.

Статус сеанса

Показывает, активен ли сеанс, кто его включил и когда срок его действия истекает. --output (-o) задаёт формат вывода: table (по умолчанию) или json. В Kubernetes подключитесь к шлюзу с помощью проброса порта:

kubectl -n <connector-namespace> port-forward \
  statefulset/clicklink-connector-troubleshooter 8443:8443
clicklink clctl troubleshoot session enable \
  --gateway-url http://localhost:8443 \
  --duration 1h --reason "support ticket 1234"

clicklink clctl troubleshoot gateway trust

На ВМ шлюз сеанса использует самоподписанный TLS-сертификат. Эта команда сохраняет SHA-256-отпечаток сертификата в ~/.clicklink/clctl.yaml, чтобы команды session могли его проверять; если закреплённый отпечаток перестаёт совпадать, подключение блокируется. Доверие устанавливается одним из двух способов вне канала:

С помощью флагов удалённого канала команда считывает сертификат с ВМ по уже аутентифицированному каналу и закрепляет его.
Без канала передайте --gateway-fingerprint со значением SHA-256, записанным коннектором в журнал при создании сертификата; команда закрепляет полученный сертификат, только если он совпадает. Если не указывать этот флаг, отображается представленный отпечаток без закрепления.

Флаг	Описание
`--gateway-url <url>`	Базовый URL шлюза, которому следует доверять (обязательно), например `https://<vm-host>:8443`. Должен быть `https://`.
`--gateway-fingerprint <sha256>`	Ожидаемый SHA-256-отпечаток из журнала коннектора, проверяемый перед закреплением. Двоеточия и регистр букв игнорируются.
`--remote-cert-file <path>`	Путь к сертификату шлюза на ВМ, считываемому через канал (по умолчанию `/var/lib/clicklink/gateway/tls/server.crt`).

clicklink clctl troubleshoot gateway trust \
  --gateway-url https://<vm-host>:8443 \
  --gateway-fingerprint <sha256-from-connector-log>

В Kubernetes закрепление не используется: предоставьте доступ к шлюзу через входной шлюз с сертификатом, выданным CA, или выполните проброс порта.

clicklink clctl troubleshoot audit tail

Выводит последние записи журнала аудита troubleshooter в формате JSON, по одной записи в строке для каждой команды, принятой или заблокированной демоном. Журнал открывается только для чтения.

Флаг	Описание
`--lines <n>`, `-n`	Количество выводимых последних записей (по умолчанию 50).
`--path <path>`	Путь к файлу журнала аудита (по умолчанию `/var/log/clicklink/troubleshoot-audit.log`).

Образ среды выполнения коннектора не содержит оболочки, поэтому в Kubernetes эта команда является поддерживаемым средством чтения:

kubectl -n <connector-namespace> exec <troubleshooter-pod> -- \
  /clicklink clctl troubleshoot audit tail

Настройка доступа

clicklink clctl scraper access provision и clicklink clctl troubleshoot access provision создают пакет доступа для каждого экземпляра компонента, а с --force выполняют его ротацию: пользователя ClickHouse только для чтения и его привилегии, а также ServiceAccount Kubernetes, RBAC и токен, используемые компонентом. init выполняет это встроенно при установке; автономные команды используются для повторного запуска и ротации учетных данных.

Флаг	Описание
`--instance <name>`	Имя экземпляра из конфигурации (обязательно).
`--server <url>`	URL API-сервера Kubernetes (обязательно).
`--ca-data <base64>`	CA‑сертификат кластера в формате Base64 для сгенерированного kubeconfig.
`--config <path>`	Файл конфигурации коннектора, из которого считывается экземпляр.
`--target <shape>`	`systemd` (по умолчанию: передать пакет на ВМ по удаленному каналу или сгенерировать локально с помощью `--provider local`) либо `helm` (создать Kubernetes Secret с пакетом для чарт).
`--target-namespace <ns>`	Пространство имен, в котором будет создан Secret с пакетом (обязательно с `--target helm`).
`--instance-namespace <ns>`	Пространство имен целевого экземпляра ClickHouse; при его указании команде не требуется запись в registry для `--instance`.
`--force`	Перезаписывает существующий пакет: используется при повторном запуске и ротации учетных данных.
`--secret-name <name>`	Переопределяет имя Secret с пакетом (по умолчанию `clicklink-connector-<component>-access-<instance>`).
`--output-dir <path>`	(`--target helm` или `--provider local`) Корневой каталог, в который будет помещен пакет (по умолчанию: `./<component>/` в рабочем каталоге для `helm`, каталог доступа компонента для `local`).
`--audit-log <path>`	Журнал аудита настройки доступа в формате NDJSON, дописывается (по умолчанию `clctl-audit.log` рядом с каталогом вывода пакета; `none` отключает его).
`--ch-admin-user <name>`	Административный пользователь ClickHouse для применения привилегий (по умолчанию `default`).
`--ch-admin-password-stdin`	Считывает пароль администратора ClickHouse из stdin.
`--ch-user-suffix <suffix>`	Необязательный суффикс для подготовленного имени пользователя ClickHouse.
`--ch-user-via <mode>`	Способ подготовки пользователя ClickHouse: `sql` (по умолчанию; применяет сгенерированные привилегии от имени `--ch-admin-user`) или `cr` (записывает пользователя в custom resource экземпляра для экземпляров под управлением оператора без администратора, способного выполнять SQL).
`--apply-ch-grants`	(`--target helm`) Применяет сгенерированные привилегии внутри пода через `kubectl exec`, а не оставляет их для ручного применения.
`--ch-pod <ref>`, `--ch-pod-namespace <ns>`, `--ch-container <name>`	(`--target helm` с `--apply-ch-grants` или `--ch-user-via cr`) Выбирает под ClickHouse и контейнер для выполнения `exec`.
`--token-duration <dur>`	Срок действия токена ServiceAccount (по умолчанию `2160h`, 90 дней; EKS ограничивает срок действия до 24 часов).
`--skip-restart`	Пропускает перезапуск компонента после подготовки доступа.
`--dry-run`	Выводит план и завершает работу; записи в Kubernetes, удаленные системы или ClickHouse не выполняются.

Выполните ротацию учетных данных одного компонента для экземпляра:

clicklink clctl scraper access provision --target helm \
  --target-namespace <connector-namespace> \
  --instance <instance-name> --instance-namespace <clickhouse-namespace> \
  --server <kubernetes-api-server-url> \
  --apply-ch-grants --ch-pod <clickhouse-pod-or-label-selector> --ch-pod-namespace <clickhouse-namespace> \
  --force

clicklink clctl executor access

init --managed применяет cluster-wide grant исполнителя с вашими учётными данными. Если это невозможно, init выводит команды, которые нужно выполнить из kubeconfig с правами cluster admin: только access apply на ВМ (bundle уже подготовлен) либо access grant, а затем access apply в Kubernetes. См. онбординг.

executor access grant

Формирует bundle доступа исполнителя уровня кластера в каталоге <output-dir>/_cluster/: один ServiceAccount, РольКластера и ClusterRoleBinding, а также ValidatingAdmissionPolicy, ограничивающую ServiceAccount пространствами имен, вложенными в префикс пространства имен исполнителя. Проверьте сформированный RBAC перед его применением.

Флаг	Описание
`--cluster`	Формирует bundle уровня кластера (обязателен в данном случае; без него команда формирует bundle для отдельного сервиса, указанного в `--instance`).
`--config <path>`	Файл конфигурации коннектора (переменная окружения `CLCTL_EXECUTOR_CONFIG`).
`--sa-namespace <ns>`	Домашнее пространство имен ServiceAccount исполнителя (по умолчанию `clicklink-system`; при установке в Kubernetes — пространство имен connector).
`--context <name>`	Контекст kubeconfig управляемого кластера, как и для `prepare`.
`--server <url>`, `--ca-data <base64>`	URL API-сервера Kubernetes и CA, которые нужно записать в kubeconfig (по умолчанию — из текущего контекста kube).
`--output-dir <path>`	Корневой каталог вывода (по умолчанию `/etc/clicklink/access/executor`; переменная окружения `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--force`	Перезаписывает существующий bundle.
`--dry-run`	Выводит план без записи файлов.

executor access apply

Применяет сформированный общекластерный bundle grant: домашнее Пространство имен ServiceAccount, сам ServiceAccount, РольКластера и ClusterRoleBinding, а также политику допуска, затем выпускает токен ServiceAccount и помещает его в bundle. Сервис при этом не регистрируется.

Флаг	Описание
`--cluster`	Применяет общекластерный бандл из `<output-dir>/_cluster/` (обязателен в этом случае).
`--config <path>`	Файл конфигурации коннектора (переменная окружения `CLCTL_EXECUTOR_CONFIG`).
`--context <name>`	контекст kubeconfig управляемого кластера, как и для `prepare`.
`--output-dir <path>`	Корневой каталог вывода (по умолчанию `/etc/clicklink/access/executor`; переменная окружения `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--token-duration <dur>`	Время жизни токена ServiceAccount (по умолчанию `2160h`, 90 дней).
`--dry-run`	Выводит, что было бы применено, без фактического выполнения.

clicklink clctl executor access grant --cluster --sa-namespace <connector-namespace> --server <kubernetes-api-server-url> --output-dir <dir>
clicklink clctl executor access apply --cluster --output-dir <dir>

clicklink clctl executor prepare

Подготавливает на вашей стороне всё, что необходимо для создания managed service, за один идемпотентный запуск, который прерывается на первой же ошибке. Команда выбирает или проверяет имя сервиса и создаёт бакеты для данных и резервных копий, а также роль IAM (или проверяет роль, которую вы предоставили). На ВМ она также формирует и применяет пакет доступа исполнителя для пространства имён сервиса; в Kubernetes bundle не используется, поскольку исполнитель работает под ServiceAccount своего пода. Затем команда выпускает пароль пользователя default (показывается один раз) и записывает тело запроса на создание для instances create. См. managed services. На ВМ команда выполняется на хосте коннектора. При установке в Kubernetes — на рабочей станции, где есть AWS credentials и kube-контекст управляемого кластера. Такой рабочей станции также нужны копия конфигурации коннектора (--config), проброс порта к локальному API исполнителя и доступный для записи --output-dir.

Флаг	Описание
`--config <path>`	Файл конфигурации коннектора (обязательный; переменная окружения `CLCTL_EXECUTOR_CONFIG`). На его основе формируется пакет доступа, и kube-контекст должен совпадать с указанным в нём `executor.cluster`.
`--instance <name>`	Имя сервиса (переменная окружения `CLCTL_EXECUTOR_INSTANCE`). По умолчанию: сгенерированное имя, которое записывается в `<output-dir>/_prepare/<eks-cluster-name>.name` и переиспользуется при следующем запуске.
`--new-name`	Игнорирует имя, записанное предыдущим запуском, и выбирает новое.
`--context <name>`	Контекст kubeconfig управляемого кластера: имя или шаблон (при одном совпадении оно используется, при нескольких выводится запрос); переменная окружения `CLCTL_CONTEXT`. По умолчанию: единственный контекст, иначе — выбор из списка.
`--server <url>`, `--ca-data <base64>`	URL API-сервера Kubernetes и CA, которые будут записаны в kubeconfig исполнителя (по умолчанию: значения из kube-контекста).
`--data-bucket <name>`, `--backup-bucket <name>`	Бакеты, которые нужно проверить или создать (по умолчанию `<cluster>-clickhouse-data-<rand>` и `<cluster>-clickhouse-backup-<rand>`).
`--role-name <name>`	Имя роли IAM (по умолчанию `CH-S3-<instance>-<region>-00-Role`).
`--role-arn <arn>`	Использовать собственную роль IAM: проверяются её доверительные отношения и привилегии на S3; IAM при этом никогда не создаётся и не изменяется.
`--restore-from <name>`	Сервис, из резервных копий которого выполняется восстановление; роль IAM также получает доступ на чтение к его бакету с резервными копиями.
`--region <region>`	Регион AWS (по умолчанию: регион кластера, на который указывает kube-контекст).
`--token-duration <dur>`	Время жизни токена ServiceAccount (по умолчанию `2160h`, 90 дней).
`--force`	Формирует пакет доступа заново вместо его переиспользования.
`--output-dir <path>`	Корневой каталог вывода (по умолчанию `/etc/clicklink/access/executor`; переменная окружения `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--output <fmt>`	`text` (по умолчанию) или `json`. Ни один из форматов не содержит пароль.
`--dry-run`	Выполняет все шаги в режиме пробного запуска; ничего не создаётся и не записывается.

clicklink clctl executor teardown

Удаляет то, что prepare создал для сервиса, удалённого в ClickHouse Cloud. А именно: роль IAM, записанное имя и запись исполнителя о сервисе; на ВМ — также РольКластера и ClusterRoleBinding сервиса, локальный пакет доступа и запись в registry. Исполнитель должен быть запущен, а сервис — находиться в состоянии terminated (или stale); выполнение отклоняется, пока в пространстве имён сервиса ещё есть ClickHouse cluster. Созданные prepare бакеты вместе с их данными и резервными копиями сохраняются, если вы не запросите удаление, а сохранённым бакетам присваивается тег clicklink:retained-from=<name>. Команда считывает все данные, прежде чем что-либо удалить. См. удалить сервис.

Флаг	Описание
`--instance <name>`	Имя сервиса (переменная окружения `CLCTL_EXECUTOR_INSTANCE`).
`--config <path>`	Файл конфигурации коннектора (переменная окружения `CLCTL_EXECUTOR_CONFIG`); если не указан, читается из `/etc/clicklink/config.yaml` на хосте коннектора. Задаёт `delete_instance_data`.
`--context <name>`	контекст kubeconfig управляемого кластера, как и для `prepare`.
`--delete-data`	Удаляет данные сервиса, даже если `delete_instance_data` отключён. Требует `--yes`.
`--delete-backups`	Удаляет бакет резервных копий вместе с содержащимися в нём копиями (по умолчанию они сохраняются). Требует `--yes`.
`--yes`	Подтверждает `--delete-data` и `--delete-backups`; без него выполнение останавливается после шага с записью и выводит имена бакетов, которые были бы очищены.
`--data-bucket <name>`, `--backup-bucket <name>`	Переопределяют бакеты в записи исполнителя (по умолчанию — привязанные к роли сервиса или помеченные тегом для него).
`--role-name <name>`	Имя роли IAM (по умолчанию `CH-S3-<instance>-<region>-00-Role`).
`--region <region>`	Регион AWS (по умолчанию — регион кластера).
`--namespace-prefix <prefix>`	Префикс пространства имён сервиса (по умолчанию `ns-`); должен совпадать с загруженной конфигурацией.
`--output-dir <path>`	Корневой каталог вывода (по умолчанию `/etc/clicklink/access/executor`).
`--output <fmt>`	`text` (по умолчанию) или `json`.
`--dry-run`	Выводит, что было бы удалено, и завершает работу, ничего не удаляя.

clicklink clctl instances

instances create

Отправляет подготовленный запрос на создание в ClickHouse Cloud через конечную точку вашего коннектора, используя собственные учётные данные коннектора. Создание включается для каждого окружения отдельно; см. создание сервиса. Выводит произносимое имя, присвоенное ClickHouse Cloud, state и подсказку watch:, в которой используется ваш Service name. Тело запроса на создание берётся либо из файла, записанного командой prepare, либо из четырёх флагов --deployed-name, --data-bucket, --backup-bucket и --irsa-role-arn, указанных вместе. Повторная попытка с теми же входными данными возвращает результат первого создания.

Флаг	Описание
`--from-prepare <path>`	Тело запроса на создание, записанное командой `executor prepare` (`<output-dir>/_prepare/<instance>.create.json`), включая хеши пароля пользователя `default`. Взаимоисключающий с `--deployed-name` и `--default-user-password-file`.
`--deployed-name <name>`, `--data-bucket <name>`, `--backup-bucket <name>`, `--irsa-role-arn <arn>`	Подготовленные входные данные в виде флагов; указываются только вместе.
`--default-user-password-file <path>`	Файл с паролем пользователя `default` (в первой строке), для варианта с флагами. Если он не указан, команда генерирует пароль и показывает его один раз; при повторной попытке пароль необходимо передать через этот файл, иначе сервис сохранит первый пароль, а показан будет новый.
`--config <path>`	Файл конфигурации коннектора (переменная окружения `CLCTL_EXECUTOR_CONFIG`; по умолчанию `/etc/clicklink/config.yaml`, если он есть). Задаёт конечную точку, её учётные данные и identity окружения.
`--connector-namespace <ns>`	Только для Kubernetes, когда на этом хосте нет файлов конфигурации коннектора или учётных данных: пространство имен коннектора, ConfigMap и Secrets которого их предоставляют (по умолчанию `clicklink`). О каждом чтении из cluster выводится сообщение.
`--connector-configmap <name>`	ConfigMap, содержащий `config.yaml` исполнителя в этом пространстве имен (по умолчанию `clicklink-connector-executor`).
`--hmac-secret-name <name>`, `--mtls-secret-name <name>`	Secrets, содержащие учётные данные для API и клиентский certificate, когда файлы отсутствуют (по умолчанию `clicklink-hmac` и `clicklink-mtls`). Пара сертификата хранится в памяти.
`--context <name>`	Kube context для этих чтений (переменная окружения `CLCTL_CONTEXT`); шаблон регулярного выражения или интерактивный picker, как и для команд `executor`.
`--idempotency-key <key>`	Ключ, который повторно используется при повторной попытке, чтобы получить результат первого создания (по умолчанию: выводится из окружения и Service name).
`--wait`	Опрашивает локальный API исполнителя, пока сервис не перейдёт в состояние `running`. Сразу завершается с ошибкой при неудачном создании для этого имени, либо когда сервис переходит в `terminating`, `terminated` или `stale`.
`--wait-timeout <dur>`	Как долго `--wait` выполняет опрос до завершения с ошибкой (по умолчанию `30m`).

instances list

Выводит в формате JSON все сервисы, известные исполнителю. --cluster <name> выполняет фильтрацию по управляемому кластеру.

instances get

Выводит один сервис в формате JSON вместе с хранилищем, с которым он был создан. Параметр --name <name> обязателен, как и кластер: передайте --cluster, задайте CLCTL_CLUSTER или укажите его в ~/.clicklink/clctl.yaml. Три подкоманды ниже отправляют команды напрямую в локальный API исполнителя, минуя ClickHouse Cloud. Запускайте их только по просьбе команды сопровождения аккаунта ClickHouse. Каждой из них нужны --name <name> и кластер (--cluster, CLCTL_CLUSTER или ~/.clicklink/clctl.yaml), и каждая выводит команду в формате JSON. Передайте её id в commands get, чтобы отслеживать выполнение; у неуспешной команды поле result содержит описание ошибки.

instances scale

Задаёт количество реплик сервера для одного сервиса с помощью ScalingOverride. Параметр --server-replicas <n> обязателен и должен быть больше нуля. Исполнитель отображает статус команды как выполняющуюся в момент применения override и как завершённую, когда реплики готовы.

instances patch

Изменяет один сервис на месте. --create-nlb — единственный доступный patch; без него команда завершается с сообщением nothing to patch. Он создаёт внутренний NLB в виде объекта Kubernetes Service (только на AWS), чтобы scraper за пределами кластера мог обращаться к серверам. При следующей синхронизации исполнитель выполнит дозагрузку хоста scraper’а из load balancer.

instances delete

Удаляет один сервис из кластера. Останавливает сервис и дожидается упорядоченной остановки, выполняемой оператором. Затем удаляет рабочую нагрузку, пространство имен ns-<name> и артефакты scraper’а, дожидается исчезновения пространства имен и помечает сервис как terminated. Бакеты сервиса и роль IAM сохраняются; их удаляет команда executor teardown, используя ваши учетные данные. Повторный вызов уже завершенного удаления ничего не делает. Штатный способ — удалить сервис в ClickHouse Cloud; см. удалить сервис.

Команды clicklink clctl

commands list

Выводит команды, записанные исполнителем, в формате JSON, начиная с самых новых. У неудачно выполненной команды поле result содержит её ошибку; для синхронизации платформы, ожидающей вашего подтверждения, там указывается точная команда platform approve.

Флаг	Описание
`--status <status>`	Фильтр: `pending`, `running`, `completed` или `failed`.
`--action <action>`	Фильтрация по действию, например `create_instance` или `sync_platform`.
`--cluster <name>`	Фильтрация по управляемому кластеру.

commands get

clicklink clctl commands get <id> выводит одну команду с её стадией и результатом.

clicklink clctl platform approve

Авторизует одно изменение платформы с использованием ваших собственных учетных данных кластера. Команда читает bundle, подготовленный исполнителем, вычисляет его хеш и рендерит каждый chart в нем ровно так же, как это сделает исполнитель. Она применяет половину с разрешениями в выбранном вами kube-контексте, при необходимости создает identity pcm-platform исполнителя и выпускает для него токен. Запросы к вашей конечной точке коннектора при этом не выполняются. Половина с разрешениями — это Namespaces, CustomResourceDefinitions, ServiceAccounts, РолиКластера и bindings, Roles и bindings, конфигурации webhook и admission, PriorityClasses и класс хранилища. Исполнитель затем применяет только половину с рабочими нагрузками и только пока этот токен действителен. См. обновления платформы. Для прямого доступа к registry ClickHouse выполняйте одобрение на EC2-ВМ коннектора: CLI использует ее instance profile, чтобы принять роль загрузки только для чтения, независимо от учетных данных вашего kubeconfig. Другие ECR-registry с chart используют окружающие учётные данные AWS. См. учетные данные registry.

Флаг	Описание
`--config <path>`	Файл конфигурации коннектора (переменная окружения `CLCTL_EXECUTOR_CONFIG`). Задает префикс пространства имен; на рабочей станции — копия конфигурации коннектора.
`--context <name>`	Контекст kubeconfig управляемого кластера с правами cluster-admin; имя или шаблон (переменная окружения `CLCTL_CONTEXT`). По умолчанию: единственный контекст, иначе — выбор из списка.
`--ttl <dur>`	Время жизни токена платформы (по умолчанию `2h`). Исполнитель его не продлевает.
`--output-dir <path>`	Корень доступа: из него читается подготовленный bundle, и в него же, в `_platform`, записывается токен (по умолчанию `/etc/clicklink/access/executor`; переменная окружения `CLCTL_EXECUTOR_OUTPUT_DIR`).
`--secret-namespace <ns>`	Установки в Kubernetes: читает подготовленный bundle из локального API исполнителя и передает bundle с токеном в виде Secret в этом пространстве имен (пространстве имен коннектора) вместо `<output-dir>/_platform`.
`--secret-name <name>`	Имя Secret для `--secret-namespace` (по умолчанию `clicklink-platform-bundle`); должно совпадать с `executor.platformBundleSecret` в chart.
`--endpoint <url>`	Установки в Kubernetes: локальный API исполнителя, доступный через `kubectl port-forward` (по умолчанию `http://127.0.0.1:9999`; переменная окружения `CLCTL_ENDPOINT`).
`--bundle <path>`	Переопределение: сформированный манифест платформы, переданный по внешнему каналу, читается вместо подготовленного bundle. Обычно не указывается.
`--dry-run`	Рендерит и выводит состав половины с разрешениями, ничего не применяя и не выпуская токен.

clicklink clctl platform reset

Для тестовых кластеров без сервисов: удаляет релизы платформы в порядке, обратном порядку зависимостей, и удаляет bundle платформенных токенов исполнителя, чтобы первую установку можно было выполнить заново. Перед внесением каких-либо изменений выводит список кластеров ClickHouse в пространствах имён, принадлежащих этому коннектору, и прерывает работу, если такие кластеры найдены. CustomResourceDefinitions, RBAC и класс хранилища сохраняются. Перед следующей синхронизацией платформы снова выполните platform approve.

Флаг	Описание
`--bundle <path>`	Путь к сформированному manifest платформы (обязательный, считывается после проверки на отсутствие кластеров).
`--config <path>`	Файл конфигурации коннектора (переменная окружения `CLCTL_EXECUTOR_CONFIG`).
`--context <name>`	Контекст kubeconfig управляемого кластера с правами cluster-admin.
`--output-dir <path>`	Корневой каталог доступа, из которого удаляется bundle `_platform` (по умолчанию `/etc/clicklink/access/executor`).
`--secret-namespace <ns>`, `--secret-name <name>`	Установки в Kubernetes: вместо этого удалить Secret с bundle платформы в пространстве имён коннектора (имя по умолчанию `clicklink-platform-bundle`).
`--dry-run`	Проверяет наличие сервисов и выводит план сброса, не изменяя кластер.

Флаги каналов удалённого доступа

preflight, gateway trust и access provision используют общий набор флагов для выбора способа подключения к целевой ВМ:

Флаг	Описание
`--provider <name>`	Канал выполнения: `ssh`, `aws` (SSM) или `gcp` (IAP) для удалённых ВМ либо `local` при запуске на самой целевой ВМ. Если параметр не задан, он определяется по флагам соответствующего провайдера; если не задан ни один, по умолчанию используется `aws`. `local` никогда не определяется автоматически, поэтому на самой ВМ всегда указывайте `--provider local`.
`--ssh-host <host>`, `--ssh-user <user>`, `--ssh-port <port>`, `--ssh-identity-file <path>`	Сведения о подключении по SSH (`--provider ssh`); пользователь, порт и ключ по умолчанию берутся из вашей конфигурации SSH.
`--instance-id <id>`, `--region <region>`, `--profile <name>`	Экземпляр EC2, регион (по умолчанию `us-east-1`) и профиль общей конфигурации для SSM (`--provider aws`).
`--project <id>`, `--zone <zone>`, `--instance-name <name>`	Проект, зона и экземпляр для туннелирования через IAP (`--provider gcp`).

​clicklink clctl init

​Точки входа

​Общие флаги

​Флаги подписания (только для фазы 1)

​Флаги только для Kubernetes

​Флаги только для ВМ

​Конфликты флагов

​clicklink clctl preflight

​clicklink clctl troubleshoot session

​Общие флаги

​включение сеанса

​отключение сеанса

​Статус сеанса

​clicklink clctl troubleshoot gateway trust

​clicklink clctl troubleshoot audit tail

​Настройка доступа

​clicklink clctl executor access

​executor access grant

​executor access apply

​clicklink clctl executor prepare

​clicklink clctl executor teardown

​clicklink clctl instances

​instances create

​instances list

​instances get

​instances scale

​instances patch

​instances delete

​Команды clicklink clctl

​commands list

​commands get

​clicklink clctl platform approve

​clicklink clctl platform reset

​Флаги каналов удалённого доступа

clicklink clctl init

Точки входа

Общие флаги

Флаги подписания (только для фазы 1)

Флаги только для Kubernetes

Флаги только для ВМ

Конфликты флагов

clicklink clctl preflight

clicklink clctl troubleshoot session

Общие флаги

включение сеанса

отключение сеанса

Статус сеанса

clicklink clctl troubleshoot gateway trust

clicklink clctl troubleshoot audit tail

Настройка доступа

clicklink clctl executor access

executor access grant

executor access apply

clicklink clctl executor prepare

clicklink clctl executor teardown

clicklink clctl instances

instances create

instances list

instances get

instances scale

instances patch

instances delete

Команды clicklink clctl

commands list

commands get

clicklink clctl platform approve

clicklink clctl platform reset

Флаги каналов удалённого доступа