Controle de Acesso Baseado em Funções (RBAC)

Configure o Controle de Acesso Baseado em Funções no ClickStack para gerenciar as permissões da equipe em painéis, buscas salvas, fontes, alertas e muito mais.

O ClickStack inclui controle de acesso baseado em funções (RBAC), para que você possa definir funções personalizadas com permissões detalhadas sobre dashboards, Saved searches, Sources, alertas, webhooks e notebooks. As permissões funcionam em dois níveis: acesso no nível do recurso (sem acesso, leitura ou gerenciamento por tipo de recurso) e regras detalhadas opcionais que restringem o acesso a recursos individuais por nome, tag ou ID. O ClickStack inclui três funções integradas, e você pode criar funções personalizadas para atender às necessidades da sua equipe.

Somente no Managed ClickStack

O RBAC está disponível apenas em implantações do Managed ClickStack.

​

Pré-requisitos de acesso do usuário

O ClickStack autentica via ClickHouse Cloud. Antes de atribuir funções do ClickStack, cada usuário deve:

1. Ser convidado para a sua organização do ClickHouse Cloud. Um administrador da organização convida usuários pelo console do Cloud. Consulte Gerenciar usuários do Cloud para mais detalhes.
2. Ter acesso ao SQL Console no serviço. Acesse Settings → SQL Console Access no seu serviço e defina o nível de permissão apropriado:

Acesso ao SQL Console no Cloud	Acesso ao ClickStack
SQL Console Admin (Acesso total)	Acesso total ao ClickStack. Necessário para habilitar alertas.
SQL Console Read Only (Somente leitura)	Pode visualizar dados de observabilidade e criar dashboards.
No access	Não pode acessar o ClickStack.

Quando um usuário tem acesso ao Cloud, ele aparece na página Team Settings do ClickStack, onde você pode atribuir uma função do ClickStack.

Usuários e funções do Cloud

Configurações da equipe do ClickStack

​

Funções nativas

O ClickStack inclui três funções do sistema. Não é possível editar nem excluir essas funções. A função Admin é atribuída ao criador da equipe por padrão.

Permissão	Admin	Member	ReadOnly
Ler todos os recursos	✓	✓	✓
Gerenciar dashboards	✓	✓
Gerenciar saved searches	✓	✓
Gerenciar sources	✓	✓
Gerenciar alerts	✓	✓
Gerenciar webhooks	✓	✓
Gerenciar notebooks	✓	✓
Atualizar as configurações da equipe	✓	✓
Criar/excluir equipes	✓
Gerenciar usuários e convites	✓

​

Atribuir funções aos membros da equipe

A página Team Settings lista todos os membros da equipe com sua função atual. Para alterar a função de um usuário, clique em Editar ao lado do nome dele e selecione uma nova função. Cada usuário tem exatamente uma função.

​

Função padrão para novos usuários

Você pode definir uma função padrão para novos usuários em Políticas de segurança. Os novos usuários adicionados automaticamente à equipe recebem essa função.

​

Criando uma função personalizada

1. ​

   Navegue até Team Settings

   Abra Team Settings e role até RBAC Roles.

2. ​

   Adicione uma nova função

   Clique em + Add Role. Insira um Role Name e, opcionalmente, adicione uma Description.

3. ​

   Configure as permissões e salve

   Defina as permissões da função e, em seguida, clique em Create Role.

As funções personalizadas aparecem ao lado das funções do sistema na seção RBAC Roles, com os controles Edit e Delete.

​

Permissões da função

​

Permissões de recursos

Cada função concede um nível de acesso para cada tipo de recurso. Os três níveis são:

Nível de acesso	O que permite
Sem acesso	O tipo de recurso fica totalmente oculto para a função.
Leitura	Visualizar o recurso e sua configuração, mas sem poder criá-lo, editá-lo ou excluí-lo.
Gerenciar	Controle total — criar, editar e excluir recursos desse tipo.

Os tipos de recurso que você pode controlar são:

• Dashboards — layouts e gráficos de dashboard salvos.
• Saved searches — consultas persistidas de logs/traces/eventos.
• Sources — configurações de fontes de ingestão.
• Alerts — regras de alerta e respectivas configurações de notificação.
• Webhooks — destinos de notificação de saída (como Slack, PagerDuty e endpoints HTTP genéricos) para os quais os alerts são enviados. Isso não se refere à API do ClickStack.
• Notebooks — notebooks colaborativos de investigação.

​

Permissões administrativas

Além das permissões de recursos, cada função inclui duas configurações administrativas:

• Usuários (Sem acesso · Acesso limitado) — controla se a função pode visualizar os membros da equipe e suas funções. Somente Admins podem convidar, remover ou atualizar usuários.
• Equipe (Leitura · Gerenciamento) — controla se a função pode visualizar ou modificar as configurações da equipe, como políticas de segurança e configuração de RBAC.

​

Regras de acesso granular

Dashboards, Saved Searches, Sources e Notebooks oferecem controles granulares que restringem o acesso a recursos individuais dentro de uma categoria. Use esses controles quando precisar limitar uma função a recursos específicos, em vez de conceder acesso amplo a todo o tipo de recurso.

​

Acesso padrão vs. controles granulares

Cada tipo de recurso tem um Modo de controle de acesso:

• Acesso padrão — aplica um único nível de acesso (Sem acesso, Leitura ou Gerenciar) a todos os recursos desse tipo.
• Controles granulares — permite definir regras de acesso com base em condições para recursos específicos. Os recursos que não corresponderem a nenhuma regra ficarão, por padrão, sem acesso.

Para alternar entre os modos, clique na seta para expandir um tipo de recurso no editor da função e, em seguida, alterne o Modo de controle de acesso.

​

Configurando regras de acesso

Cada regra de acesso consiste em uma condição e um nível de acesso. As condições correspondem aos recursos com base em suas propriedades:

Campo da condição	Operadores	O que corresponde	Exemplo
Name	is, contains	O nome de exibição do recurso — por exemplo, o título do dashboard.	Name contains production — corresponde a qualquer dashboard com “production” no título.
Tag	is, contains	Tags atribuídas ao recurso pelo painel de tags no canto superior direito da visualização do recurso. Disponível apenas para Dashboards, Saved Searches e Notebooks.	Tag is critical — corresponde a recursos com a tag “critical”.
ID	is, contains	O identificador do recurso, encontrado na barra de URL quando você abre o recurso.	ID is abc123 — corresponde a um único recurso específico.

A captura de tela a seguir mostra o ID do dashboard destacado na barra de URL e uma tag “TESTING” visível no painel de tags (canto superior direito).

Você pode adicionar várias regras por tipo de recurso. Cada regra é verificada de forma independente usando lógica OR — um recurso fica acessível se corresponder a qualquer regra. Recursos que não correspondem a nenhuma regra não ficam acessíveis.

Exemplo: Para conceder a uma função acesso somente leitura a dashboards de teste, expanda Dashboards, mude para Fine-Grained Controls e adicione duas regras:

• Name contains testing com nível de acesso Read
• Tag is testing com nível de acesso Read

Um dashboard que corresponda a qualquer uma das regras fica acessível.

​

Políticas de segurança

A seção Security Policies em Team Settings oferece controles adicionais.

Default New User Role define automaticamente a função atribuída aos novos usuários que entram na equipe.

Generative AI permite ativar ou desativar recursos baseados em LLM (como a geração de consultas em linguagem natural) viabilizados pela Anthropic ou pelo Amazon Bedrock. Quando desativada, nenhum dado é enviado a provedores de IA.