特权模型

​

Identities

• 连接器的 mTLS 客户端证书以你的 organization ID 作为通用名 (common name) ，用于向你的连接器端点认证每个守护进程。clicklink clctl instances create 调用该端点时使用同一份证书和 HMAC key。
• pcm_scraper 和 pcm_troubleshooter 是抓取器和故障排查工具连接时所用的只读 ClickHouse 用户。executor 没有对应的 ClickHouse 用户。
• Troubleshooter ServiceAccount (每个已 provisioned 的部署各一个) 承载 support session 可使用的只读 Kubernetes 视图。
• pcm-executor 是 executor 用于托管 services 生命周期管理的 Kubernetes ServiceAccount。ValidatingAdmissionPolicy 会将其 writes 限制在 service 命名空间内。
• pcm-platform 是 executor 用于平台更新的身份。你执行 clicklink clctl platform approve 会为其签发有效期 2 小时的令牌，且不会续期；在两次批准之间，executor 对平台层没有写入 access。
• 按 service 划分的 IAM role (默认为 CH-S3-<service>-<region>-00-Role) 由 clicklink clctl executor prepare 使用你的凭证创建。其作用范围仅限该 service 的数据桶和 backup 桶，且仅被该 service 的 Kubernetes ServiceAccount 信任，因此 executor 和 ClickHouse 都无法 assume 该 role。
• 连接器 EC2 虚拟机的 instance profile 会 assume 你环境中的只读 ECR puller role，以进行直接的平台 access，用于 chart 登录和镜像检查。批准用的命令行客户端使用同一条 instance-profile 路径；workstation 上的 AWS profile 或 SSO 凭证无法替代它。其他 ECR chart registry 使用 ambient AWS 凭证。Image pulls 发生在你的节点上，使用节点各自的 pull role。executor 不持有任何针对你的桶或 IAM 的凭证，也不会发起任何 S3 或 IAM 调用。参见 registry credentials。
• 你自己的凭证 用于授予每一项 授权：在 init --managed 时授予 executor 的 access 授权，在 prepare 时创建桶和 role，在 approve 时提供每次平台更新的 permission 部分，以及在 teardown 时执行清理。

​

连接器 的功能

​

出站连接

​

ClickHouse 授权

CREATE USER IF NOT EXISTS `pcm_scraper` IDENTIFIED WITH bcrypt_hash BY '<bcrypt-hash>';
ALTER USER `pcm_scraper` IDENTIFIED WITH bcrypt_hash BY '<bcrypt-hash>';

GRANT SELECT ON `system`.`asynchronous_metric_log` TO `pcm_scraper`;
GRANT SELECT ON `system`.`metric_log` TO `pcm_scraper`;
GRANT SELECT ON `system`.`server_settings` TO `pcm_scraper`;
GRANT SELECT ON `system`.`tables` TO `pcm_scraper`;
GRANT SELECT ON `system`.`warnings` TO `pcm_scraper`;
GRANT SELECT ON `system`.`user_directories` TO `pcm_scraper`;
GRANT READ ON REMOTE TO `pcm_scraper`;
GRANT SYSTEM FLUSH LOGS ON *.* TO `pcm_scraper`;

CREATE USER IF NOT EXISTS `pcm_troubleshooter` IDENTIFIED WITH bcrypt_hash BY '<bcrypt-hash>';
ALTER USER `pcm_troubleshooter` IDENTIFIED WITH bcrypt_hash BY '<bcrypt-hash>';

GRANT SELECT ON `system`.`asynchronous_metrics` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`build_options` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`clusters` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`columns` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`databases` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`detached_parts` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`disks` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`events` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`formats` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`functions` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`grants` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`merges` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`metrics` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`mutations` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`parts` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`parts_columns` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`parts_summary` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`processes` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`replicas` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`replication_queue` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`roles` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`settings` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`settings_profile_elements` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`settings_profiles` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`storage_policies` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`table_engines` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`tables` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`users` TO `pcm_troubleshooter`;
GRANT SELECT ON `system`.`user_directories` TO `pcm_troubleshooter`;

​

Kubernetes RBAC

​

抓取器与故障排查工具

​

Executor

​

平台身份

​

该连接器无法做什么

• 无法写入 ClickHouse 数据或状态。 上述授权不包含 INSERT、DDL，也不包含任何用户管理、设置或进程控制方面的特权。唯一一项系统类授权，即抓取器的 SYSTEM FLUSH LOGS，只会让日志表把已经缓冲的内容落盘。executor 没有 ClickHouse 用户。任何组件都无法通过 ClickHouse 修改数据、schema、用户或设置。
• 无法执行 exec。 所有 RBAC 中都不含 pods/exec；没有任何组件能在你的 Pod (容器组) 中运行命令。
• 无法在服务命名空间和平台命名空间之外写入。 抓取器与故障排查工具不具备 delete 或 patch 权限。它们唯一的变更是对连接器自身 mTLS Secret 按精确名称执行 update，以及对 serviceaccounts/token 执行 create——后者为它们自己的 ServiceAccount 签发短期令牌，不会修改任何已存储的对象。admission 会拒绝executor在服务前缀之外的写入，其平台写入也仅在你签发的令牌有效期内成立。
• 没有授予权限的权限。 执行 approve 时，平台的命名空间、CRD、ServiceAccount、RBAC、webhook 与 admission 配置、PriorityClass 和存储类均以你的凭证应用。executor的平台身份无法提权、绑定或冒充他人。在服务命名空间内，executor只能创建授予其自身已持有权限的 Role。
• 没有访问你的桶或 IAM 的凭证。 clicklink clctl executor prepare 创建桶和按服务划分的角色，clicklink clctl executor teardown 将其移除，两者均在你的凭证下执行。该角色只能由相应服务的 Pod (容器组) 担任。对于平台的直接访问，executor 使用连接器 EC2 虚拟机的实例配置文件来担任只读 ECR 拉取角色，用于 chart 登录和镜像检查。其他 ECR chart 注册表则使用环境 AWS 凭证；详见 identities。它唯一的云 API 调用指向 ECR 和 STS；它无法读取或删除你的数据。
• 不知道你的 default user 密码。 clicklink clctl executor prepare 在你这一侧生成该密码并只显示一次 (若你以标志方式传入这些输入，则由 clicklink clctl instances create 完成) 。提交的只有其哈希值，因此连接器和 ClickHouse Cloud 都无法还原该密码。
• 不存在入站访问。 ClickHouse Cloud 绝不会向你的环境发起连接。唯一的命令通道是两条出站 WebSocket。除非你启用的 support session 处于活动状态，否则故障排查工具会拒绝一切命令。executor只接受你委托 ClickHouse 管理的服务的生命周期命令，且不超出上述范围。即使在会话期间，故障排查工具在两侧同样受限。ClickHouse 查询仅限于表允许列表，该列表拒绝 query_log 和 text_log，因此二者永远不会被授权。Kubernetes 访问仅限于命名空间级 Role 所授予的只读视图和 pod (容器组) 日志。

​

需要您采取操作的事项

• 启用托管模式。 只有在您于 init 时启用托管模式之后，executor 才会运行，其 Kubernetes 授权才会存在；该授权以 cluster admin 权限应用。请参阅托管服务。
• 创建服务。 clicklink clctl executor prepare 使用您的 AWS 凭证运行，以创建桶和 IAM role，随后由 clicklink clctl instances create 提交定义。缺少其中任何一步，ClickHouse Cloud 都无法在您的 cluster 中创建服务。请参阅创建服务。
• 平台更新。 平台组件的每次更新，都只有在您针对该特定支持包运行 clicklink clctl platform approve 之后才会应用；它所签发的标记将在 2 小时后过期，且不会续期。请参阅平台更新。
• 删除后的清理。 删除服务仅会移除其 Kubernetes 资源。使用您的凭证运行 clicklink clctl executor teardown 会移除 IAM role，并且只有在显式指定相应标志时才会移除数据和备份。请参阅删除服务。
• support session。 交互式故障排查只能在您启用的 support session 中进行；默认时长为 4 小时，最长不超过 24 小时。禁用后立即生效。请参阅support session。
• 操作员允许列表。 每个 Gateway 请求都必须携带 OIDC 标记，且其声明的电子邮件地址必须在您的允许列表中。允许列表为空时，访问默认关闭。该列表由您管理；请参阅配置指南。
• Gateway 暴露。 会话网关默认关闭，需由您启用；除非您选择使用入口，否则只能通过端口转发访问。在 VM 上，每位操作员都必须固定其自签名证书的指纹，或使用通过 --gateway-ca 传入的 CA bundle 对其进行验证，会话命令才能与之通信。
• 网络出站流量。 在强制实施 CNI 的环境中，除非您在 networkPolicy.allowEgressCIDRs 中列出连接器端点的 CIDR，否则任何守护进程都无法访问该端点。executor 还需要 Kubernetes API server 的 CIDR (networkPolicy.apiserverCIDRs) ，init --managed 会从 cluster 的 VPC 中推导出这些值。如果平台 chart 来自 Amazon ECR，还需添加 ECR 和 STS 的地址范围。

​

访问如何归属

• 部署身份。 mTLS 客户端证书的通用名称即为你的组织 ID，其单个 DNS name 绑定到你的端点主机。这使得每一次 API 连接都可归属到你的组织。续订自动完成且在守护进程内进行；不会有任何操作员接触密钥材料。
• 请求完整性。 每个 API request 还会携带一个 HMAC-SHA256 签名 (Authorization: HMAC-SHA256 AccessKey=..., Signature=..., Timestamp=...) ，该签名使用 enrollment 时签发的密钥对，基于 method、path、timestamp 和 body 哈希计算得出。
• 操作员身份。 Gateway 调用归属于操作员的 OIDC ID token 所证明的电子邮件地址，并针对你的身份提供商的 JWKS 进行验证。只要存在 token，就绝不信任自行上报的名称。
• 生命周期命令。 executor 会将收到的每条命令连同其来源 (ClickHouse Cloud 或本地 clicklink clctl 调用) 、stage 及结果一并记入本地存储，并通过命令通道回报结果。可使用 clicklink clctl commands list 和 clicklink clctl commands get 读取记录；参见 CLI reference。
• 平台审批。 你所批准的支持包的摘要会记录在 pcm-platform ServiceAccount 上。你的凭证所应用的每个 object 都带有内容哈希，executor 在写入任何内容之前都会加以校验。摘要不一致的支持包将被拒绝。
• 审计追踪。 每条 session 命令，无论被接受还是被阻止，都会连同来自命令通道的组织身份一起追加到 NDJSON audit log 中。Gateway 调用会以结构化的 clctl.gateway 行记录在故障排查工具日志中，并附带已证明的操作员电子邮件地址。虚拟机本地 session 变更会在 session.json 中记录主机用户。可使用 clicklink clctl troubleshoot audit tail 读取 audit log；参见 CLI reference。

​

数据最小化默认设置

• query_log 默认不参与抓取。 其列中保存的是带字面量值的原始 SQL，可能包含个人数据或机密信息。除非你主动添加，否则这些数据不会离开你的边界。
• 故障排查工具仅读取允许列表中的表。 query_log 和 text_log 在允许列表配置中即被拒绝，因此永远不会被授予访问权限，查询历史也始终不可读。默认允许列表中包含 system.processes (正在运行的查询文本) ；如果会话期间必须隐藏这部分内容，请将其从列表中移除 (Kubernetes 上为 troubleshooter.allowedTables，虚拟机上为 troubleshooter.allowed_tables) 。
• 故障排查工具的所有输出都会脱敏，既使用内置模式，也使用你自定义的模式。内置模式涵盖 IPv4 和 IPv6 地址、bearer 令牌、AWS 访问密钥、电子邮件、JWT、SSH 私钥以及连接字符串中的凭据。模式文件无效时，守护进程会直接拒绝启动，而不会以未脱敏的状态运行。
• 托管服务状态仅涉及元数据。 executor只报告服务的状态、副本数量、版本以及命令执行结果，绝不会读取该服务的表或桶。
• 凭据在静态存储时保持最小化。 预配 SQL 中只包含 bcrypt 哈希，绝不含明文密码。托管服务的 default 用户密码仅显示一次，且仅以哈希形式留存。注册标记绝不会写入命令行、磁盘或日志。密钥保存在 Kubernetes Secrets 中，或保存在权限模式为 0600 的文件中。