一、账户体系介绍
腾讯云数据仓库 TCHouse-C 提供 XML 和 RBAC 两种账户，二者差异如下：
·XML 账户：在 users.xml 配置文件里定义的用户，可自行在 user.xml 中进行修改。
·RBAC 账户：用户在控制台账户管理界面创建的账户，建议不要命名为 default 或重名，否则可能会与 XML 账户造成冲突、导致权限不一致。
当前腾讯云数据仓库 TCHouse-C 提供标准版与弹性版两种部署形态，两者的账户体系差异如下：
| 对比维度 | 标准版（存算一体） | 弹性版（存算分离） |
| 账户类型 | 支持 XML + RBAC 两种账户 | 仅支持 RBAC 账户 |
| 初始默认账户 | 新建集群时默认创建 default 账户（XML 账户）且必须设置初始密码 | 新建集群时默认创建 admin 账户（RBAC 账户，高权限）且必须设置初始密码 |
| 控制台创建账户 | 仅支持创建 RBAC 账户，二者均不支持创建 XML 账户 | |
| default 账户 | 用户可见，可修改密码，不可修改权限 | 系统保留账户，用户不可见、不可用、不可删除 |
| 授权资源维度 | V-cluster、库、表 | 库、表 |
注意：自 2023 年 9 月起，创建集群时需要设置初始默认账户（标准版为 default 账号、弹性版为 admin 账户）密码，避免因空密码或弱密码带来的安全风险。
二、账户管理
账户管理支持对 RBAC 账户的创建、授权、重置密码和删除账户功能。
1. 登录 TCHouse-C 控制台，在集群列表中单击目标 ID/名称，在集群详情页切换到账户管理页签。
2. 用户可对实例实施账户管理，包括新增账户、修改密码和删除账户：
三、标准版
标准版提供了 XML 账户和 RBAC 账户，新建集群时默认创建 default 账户（XML 账户）且必须设置初始密码，用户也可以在控制台账户管理或配置文件中对初始密码进行修改。
注意：修改 default 密码前，请确认客户端当前是否使用 default 账号进行集群读写，避免由于修改密码操作导致的读写异常。
default 账户密码修改支持两种方式：账户管理重置密码（推荐）和配置文件修改（不推荐），如下为两种方式修改路径介绍
四、方式一：账户管理（推荐）
登录 腾讯云数据仓库 TCHouse-C 控制台，在集群列表中选择对应的集群，单击集群名称/ID 进入账户管理，在账户管理页中的账户列表，操作列点击重置密码。
注意：说明：
注意：修改 default 账户密码时会同步修改 user.xml 与 metrika.xml 配置文件中对应密码，无须再手动修改配置文件中对应的密码。
五、方式二：配置文件参数修改（不推荐）
注意：警告：
注意：需要同时修改 users.xml 以及 metrika.xml 配置文件中的 default 账号密码， 否则可能导致分布式查询失败。
1. 登录 腾讯云数据仓库 TCHouse-C 控制台，在标准版集群列表中选择对应的集群，单击集群名称/ID 进入集群详情页，在集群详情页单击参数配置并选择 XML 模式。
2. 在 users.xml 配置文件中找到 default 账户的密码配置，配置文件如下。
3. 当前支持以明文（出于安全考虑，生产环境避免使用明文密码）、SHA256 哈希密码（推荐）以及双 SHA1 哈希密码的形式设置密码，生产环境强烈推荐使用 SHA256 哈希密码，密码生成方式如下：
#!/bin/bash# 生成8位随机密码PASSWORD=$(openssl rand -base64 12 | tr -dc 'a-zA-Z0-9!@#$%' | head -c8)echo "生成的密码: $PASSWORD"# 计算SHA256哈希HASH=$(echo -n "$PASSWORD" | sha256sum | awk '{print $1}')echo "SHA256哈希: $HASH"# 验证哈希计算（可选）echo "验证计算:"echo -n "$PASSWORD" | sha256sum
六、Running Environment
Operating System: Ubuntu 24.04.2 LTS / x86_64Runtime Version: GNU bash, version 5.2.21(1)-release (x86_64-pc-linux-gnu)
4. 将生成的 SHA256 哈希值添加到 user.xml 配置文件中，如以下示例：
<users> <default> <!– 此处为默认的 default 账户名 –> <!– 使用 SHA256 哈希密码 –> <password_sha256_hex>65e84be33532fb784c48129675f9eff3a682b27168c0ea744b2cf58ee02337c5</password_sha256_hex> <!– 或其他配置方式 –> <!– <password>明文密码</password> –> <!– <password_double_sha1_hex>e395796d6546b1b65db9d665cd43f0e858dd4303</password_double_sha1_hex> –> </default></users>
5. 配置修改后需要重启集群，重启后配置生效，请妥善保管生成的密码和哈希值。
七、弹性版
弹性版仅提供 RBAC 账户，控制台不再支持创建 XML 账户。
八、admin 账户（弹性版默认高权限账户）
弹性版集群创建成功后，系统会自动创建一个名为 admin 的高权限账户，密码由你在创建集群时设置。
admin 账户具备以下能力：
1. 拥有全部库、表的数据操作权限（查询、插入、建表、删表、建库、删库等）；
2. 可将库表权限授予其他账户（具备授权能力）；
3. 作为集群初始的管理账户，用于日常数据管理与向其他账户授权。
注意：说明：
注意：1. admin 账户的用户名固定，创建集群时仅需设置密码，请妥善保管并定期更新密码。
注意：2. 集群日常访问建议使用 admin 账户或你在控制台自行创建的账户，避免使用系统保留账户。
注意：禁止：
注意：弹性版中 default 账户为系统保留账户，仅用于集群节点间通信（分布式查询、副本同步等），不对客户开放使用：
注意：1. 客户不可见：账户列表中不展示 default 账户；
注意：2. 客户不可用：无法使用 default 账户登录集群执行读写操作；
注意：3. 客户不可改、不可删：无法修改其密码或删除该账户。
若使用客户端连接集群时未指定账户（或指定 default 账户），系统将返回"该账户为系统保留账户，请使用 admin 或你自行创建的账户"的提示。
九、账户管理
1. 登录 腾讯云数据仓库 TCHouse-C 控制台，在集群列表中选择对应的集群并单击目标 ID/名称，在集群详情页切换到账户管理页签。
2. 你可对实例实施账户管理，包括新增账户、修改密码和删除账户（均为 RBAC 账户）。
注意：说明：
注意：1. 弹性版支持创建多个 RBAC 账户，账户数量以满足多人协作、多业务线分权、生产/测试环境隔离等场景为准。
注意：2. 账户命名规则、密码设置规则与标准版一致，请参见上文标准版说明。
注意：3. 出于账户安全考虑，已不再支持查看密码功能，如需帮助请 提交工单 联系售后工程师支持。
十、授权
授权操作在标准版与弹性版中均支持：
1. 登录 云数据仓库 TCHouse-C 控制台 ，在弹性版或标准版集群列表中单击目标 ID/名称，在集群详情页切换到账户管理页签，单击前往授权或直接切换到授权页签，对账户进行授权（授予库、表等权限）：
·授权访问范围：支持授予账户所有数据库和表授权，也可按需授予账户部分数据库和表操作权限。
·普通权限：
·查询（默认打开）：SELECT —— 库表、视图、字典的查询。
·设置：ALTER —— 表结构修改。
·插入：INSERT —— 表数据插⼊。
·高危权限：
·表权限
·建表：CREATE TABLE、CREATE VIEW、CREATE DICTIONARY —— 数据表、视图、字典的创建。
·清理：TRUNCATE,OPTIMIZE —— 清理表数据，包括清空和合并数据。
·删表：DROP TABLE、DROP VIEW、DROP DICTIONARY —— 数据表、视图、字典的删除。
·库权限
·建库：CREATE DATABASE —— 创建数据库，作用于全局，因此选中了此权限，能看到所有数据库。
·删库：DROP DATABASE —— 删除数据库，作用于具体库。
2. 部分数据库和表授权。
注意：说明：
十一、配置
Row Policy（行策略）、Settings Profile（配置文件）和 Quota（配额）这些之前只能通过 XML 设置的功能点，在 20.3 之后的版本中，都支持按 SQL 驱动的方式来维护（创建、修改和删除）。
1. Quota（配额）：
注意：说明：
2. Settings Profile（配置文件）：
每个 Settings Profile 会包含 N 个配置项，配置项全在 system 库下 settings 表里头，总共有 335 个配置项。用户界面选择其中的 N 个配置项作为⼀个组合，命名后就形成了⼀个配置⽂件，这个配置⽂件可以同时作用于⼀个或多个 RBAC ⽤户。
3. Row Policy（行策略）：
行策略是一个过滤器，它定义了哪些⾏可供用户看到。
注意：说明：
注意：如果集群配置了某个表的多个行策略，那没有应用到任何策略的用户将不能查询该表的数据，请谨慎操作。
十二、注意事项
1. 可多次操作授予一个账户关联多个资源维度（标准版为 V-cluster、弹性版为计算组）的库表权限，一次账户、资源维度授权将生成一条授权记录。
2. 标准版：界面授权后，默认的 XML 无密码账户 default 需要进行密码修改，否则页面账户管理仍存在安全隐患。
3. 弹性版：default 账户为系统保留账户，客户不可见、不可用、不可删除，请使用 admin 账户或自行创建的 RBAC 账户访问集群。
4. 用户界面配置了 RBAC 账户之后，即可在 云数据仓库 TCHouse-C 控制台 >SQL 工作区 执行日常的 ClickHouse 命令操作。
5. 新 SQL 工作区 平台做了放开，支持 XML 用户登入操作（适用于标准版）。