ck pr check grant

ClickHouse权限管理实践

原创已于 2024-10-22 20:43:32 修改 · 341 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#clickhouse

于 2024-08-10 16:55:45 首次发布

在这里插入图片描述 Parse, AST, Interpreter 需要修改 show grants用于参考

新增一个check grant（基于show grants）
src/Parsers/CommonParsers.h
src/Interpreters/registerInterpreters.cpp
src/Parsers/ParserQueryWithOutput.cpp (很重要容易漏掉）
src/Interpreters/InterpreterFactory.cpp

在这里插入图片描述

查看grant如何处理readonly

在这里可以抛出update readonly问题

create user

我想要create一个新的用户去测，但是遇到了没有权限问题，下面这个链接解决了这个问题https://www.markhneedham.com/blog/2023/11/07/clickhouse-no-writeable-access-storage/ ，即需要在user.xml下加这个配置：

在这里插入图片描述
在config.xml里可以指定对应的user.xml的路径

配置clickhouse-server的config，用-C指定配置路径

./build/programs/clickhouse-server -C /data/home/unashi/ck_issue/ClickHouse/programs/server/config.xml

自动生成了几个文件夹，之前找不到的etc也自动生成了。看来默认的配置文件文件夹是自己生成的。（也许）在这里插入图片描述

继续开发
在这里验证elements有无权
在这里插入图片描述
CHECK GRANT SELECT (column1) ON database.table
element就是我们这里的 SELECT (column1) ON database.table
element.access_flags, element.database, element.table, element.columns

在这里插入图片描述

感觉可以通过checkAccess或者isGranted得到有没有element的权限。
然后再查一下表/列是否存在就可以了。

GRANT [ON CLUSTER cluster_name] role [,...] TO {user | another_role | CURRENT_USER} [,...] [WITH ADMIN OPTION] [WITH REPLACE OPTION]

之后需要修改一下parse和ast，parse从语句里不用读取这里的TO之后的所有，ast也不要建这些部分。

修改后，替换grant实现的check grant可以正常工作，但是复制了Parse, AST, Interepter文件的新的check grant n 就不可以。\

进一步补全二者差异
src/Access/AccessEntityIO.cpp
现在讲check grant的实现换成我们自己的类，有这样的问题：
在这里插入图片描述

在parse，ast中打点，证明甚至都没有进入parse。又因为 check grant select （con) on 这个语句没有抛出bad_case，那么猜测，这个error是在syntax检查之后发生的。进行验证，并找出可能的问题。
在这里插入图片描述
验证过程中，又重新看了一下这几个文件的内容，发现之前的grant的parseImpl不在ParserQueryWithOutput.cpp中，而是在ParserQuery.cpp中。

在这里插入图片描述
改了以后可以正常工作了。
hint. 有个小点，两个函数如果keyword是一个，好像有一个就没法工作。

接下来，把原来的grant替换成原先的就好了。

为了去除cluster 删了哪些地方
/data/home/unashi/ck_issue/ClickHouse/src/Parsers/Access/ASTCheckGrantQuery.h
直接继承IAST 不继承oncluster
删除很多函数，gratees，修改clone()。
加一个formatImpl

设计case

default create tuser
default grant tb1 -> tuser
tuser -> check grant (0)

default create tb1
tuser -> check grant (1)

default revoke tb1 -> tuser
tuser -> check grant (0)

default create trole
default grant tb1 -> trole
tuser -> set trole
tuser -> check grant (1)