Перейти к основному содержанию
ClickStack поддерживает ролевое управление доступом (RBAC), поэтому вы можете определять пользовательские роли с детально настроенными разрешениями для панелей мониторинга, сохранённых поисков, источников, оповещений, вебхуков и блокнотов. Разрешения работают на двух уровнях: доступ на уровне ресурсов (нет доступа, чтение или управление для каждого типа ресурса) и необязательные детализированные правила, ограничивающие доступ к отдельным ресурсам по имени, тегу или ID. В ClickStack есть три встроенные роли, и вы можете создавать пользовательские роли под потребности своей команды.
Только в Управляемом ClickStackRBAC доступен только в развертываниях Управляемого ClickStack.

​
Предварительные требования для доступа пользователей

Аутентификация в ClickStack выполняется через ClickHouse Cloud. Прежде чем вы сможете назначать роли ClickStack, каждый пользователь должен:
  1. Быть приглашён в вашу организацию ClickHouse Cloud. Администратор организации приглашает пользователей из консоли Cloud. Подробнее см. в разделе Manage cloud users.
  2. Иметь доступ к SQL Console в сервисе. Перейдите в Settings → SQL Console Access вашего сервиса и задайте подходящий уровень разрешений:
После того как пользователь получит доступ к Cloud, он появится на странице ClickStack Team Settings, где вы сможете назначить ему роль ClickStack.

​
Встроенные роли

ClickStack включает три системные роли. Их нельзя редактировать или удалять. Роль Admin по умолчанию назначается создателю команды.

​
Назначение ролей участникам команды

На странице Team Settings показаны все участники команды и их текущие роли. Чтобы изменить роль, нажмите Edit рядом с именем пользователя и выберите новую роль. У каждого пользователя может быть только одна роль.

​
Роль по умолчанию для новых пользователей

Вы можете задать роль по умолчанию для новых пользователей в разделе Политики безопасности. Пользователям, которые автоматически добавляются в команду, эта роль назначается автоматически.

​
Создание пользовательской роли

1

​
Перейдите в Team Settings

Откройте Team Settings и прокрутите страницу до раздела RBAC Roles.
2

​
Добавьте новую роль

Нажмите + Add Role. Введите Role Name и при необходимости добавьте Description.
3

​
Настройте разрешения и сохраните

Задайте разрешения для роли, затем нажмите Create Role.
Пользовательские роли отображаются рядом с системными ролями в разделе RBAC Roles с кнопками Edit и Delete.

​
Разрешения роли

​
Разрешения на ресурсы

Каждая роль задаёт уровень доступа для каждого типа ресурсов. Всего предусмотрено три уровня: Доступ можно настраивать для следующих типов ресурсов:
  • Панели мониторинга — сохранённые панели мониторинга и диаграммы.
  • Сохранённые поиски — сохранённые запросы к логам/трейсам/событиям.
  • Sources — конфигурации источников для ингестии.
  • Alerts — правила оповещений и их настройки уведомлений.
  • Webhooks — пункты назначения для исходящих уведомлений (например, Slack, PagerDuty и универсальные HTTP-конечные точки), в которые отправляются alerts. Это не относится к API ClickStack.
  • Notebooks — совместные блокноты для расследований.

​
Административные разрешения

Помимо разрешений на ресурсы, каждая роль включает два административных параметра:
  • Пользователи (Нет доступа · Ограниченный доступ) — определяет, может ли роль просматривать участников команды и их роли. Только пользователи с ролью Admin могут приглашать, удалять или изменять пользователей.
  • Команда (Чтение · Управление) — определяет, может ли роль просматривать или изменять настройки уровня команды, такие как политики безопасности и конфигурация RBAC.

​
Детализированные правила доступа

панели мониторинга, сохранённые поиски, Sources и блокноты поддерживают детальную настройку прав доступа, позволяющую ограничивать доступ к отдельным ресурсам внутри категории. Используйте её, когда нужно ограничить роль доступом только к определённым ресурсам, а не выдавать общий доступ ко всему типу ресурсов.

​
Доступ по умолчанию и точная настройка

У каждого типа ресурса есть режим управления доступом:
  • Доступ по умолчанию — задаёт единый уровень доступа (Нет доступа, Чтение или Управление) для всех ресурсов этого типа.
  • Точная настройка — позволяет задавать правила доступа, которые по условиям применяются к конкретным ресурсам. Для ресурсов, не подпадающих ни под одно правило, по умолчанию доступ отсутствует.
Чтобы переключить режим, нажмите на шеврон, чтобы развернуть тип ресурса в редакторе роли, а затем переключите режим управления доступом.

​
Настройка правил доступа

Каждое правило доступа состоит из условия и уровня доступа. Условия позволяют сопоставлять ресурсы по их свойствам: На следующем снимке экрана показаны выделенный в адресной строке ID панели мониторинга и тег “TESTING” на панели тегов (в правом верхнем углу). Для каждого типа ресурса можно добавить несколько правил. Каждое правило проверяется независимо по логике OR — ресурс доступен, если он соответствует хотя бы одному правилу. Ресурсы, не соответствующие ни одному правилу, недоступны. Пример: Чтобы предоставить роли доступ только для чтения к тестовым панелям мониторинга, раскройте панели мониторинга, переключитесь на точную настройку и добавьте два правила:
  • Name contains testing с уровнем доступа Read
  • Tag is testing с уровнем доступа Read
Панель мониторинга, соответствующая любому из этих правил, будет доступна.

​
Политики безопасности

Раздел Политики безопасности в Team Settings содержит дополнительные элементы управления. Роль по умолчанию для новых пользователей определяет роль, которая автоматически назначается новым пользователям при присоединении к команде. Generative AI позволяет включать или отключать функции на базе LLM (например, генерацию запросов на естественном языке), работающие через Anthropic или Amazon Bedrock. Если эта опция отключена, данные не отправляются внешним ИИ-провайдерам.
Последнее изменение 2 июля 2026 г.