> ## Documentation Index
> Fetch the complete documentation index at: https://private-7c7dfe99-mintlify-86180b7b.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# Ролевое управление доступом (RBAC)

> Настройте ролевое управление доступом в ClickStack, чтобы управлять разрешениями участников команды для панелей мониторинга, сохранённых поисков, источников, оповещений и других объектов.

export const Image = ({img, alt, size}) => {
  return <Frame>
      <img src={img} alt={alt} />
    </Frame>;
};

ClickStack поддерживает ролевое управление доступом (RBAC), поэтому вы можете определять пользовательские роли с детально настроенными разрешениями для [панелей мониторинга](/ru/clickstack/features/dashboards/overview), [сохранённых поисков](/ru/clickstack/features/search), источников, [оповещений](/ru/clickstack/features/alerts), вебхуков и блокнотов. Разрешения работают на двух уровнях: доступ на уровне ресурсов (нет доступа, чтение или управление для каждого типа ресурса) и необязательные детализированные правила, ограничивающие доступ к отдельным ресурсам по имени, тегу или ID. В ClickStack есть три встроенные роли, и вы можете создавать пользовательские роли под потребности своей команды.

<Info>
  **Только в Управляемом ClickStack**

  RBAC доступен только в развертываниях Управляемого ClickStack.
</Info>

<div id="user-access-prerequisites">
  ## Предварительные требования для доступа пользователей
</div>

Аутентификация в ClickStack выполняется через ClickHouse Cloud. Прежде чем вы сможете назначать роли ClickStack, каждый пользователь должен:

1. **Быть приглашён в вашу организацию ClickHouse Cloud.** Администратор организации приглашает пользователей из консоли Cloud. Подробнее см. в разделе [Manage cloud users](/ru/products/cloud/guides/security/cloud-access-management/manage-cloud-users).
2. **Иметь доступ к SQL Console в сервисе.** Перейдите в **Settings** → **SQL Console Access** вашего сервиса и задайте подходящий уровень разрешений:

| Доступ к Cloud SQL Console                | Доступ к ClickStack                                                                           |
| ----------------------------------------- | --------------------------------------------------------------------------------------------- |
| **SQL Console Admin** (Полный доступ)     | Полный доступ к ClickStack. Требуется для включения [alerts](/ru/clickstack/features/alerts). |
| **SQL Console Read Only** (Только чтение) | Может просматривать данные обсервабилити и создавать панели мониторинга.                      |
| **No access**                             | Не имеет доступа к ClickStack.                                                                |

После того как пользователь получит доступ к Cloud, он появится на странице ClickStack **Team Settings**, где вы сможете назначить ему роль ClickStack.

<Tabs>
  <Tab title="Cloud Users and roles">
    <Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/team-page-cloud.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=f6f4b109784ac0017de71e97207dcbce" alt="Страница ClickHouse Cloud Users and roles" size="lg" width="2402" height="1936" data-path="images/clickstack/rbac/team-page-cloud.png" />
  </Tab>

  <Tab title="ClickStack Team Settings">
    <Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/team-page-clickstack.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=25ef1c9f87e2c4abbb2f28a9dbf16d72" alt="Страница ClickStack Team Settings с участниками команды и их ролями" size="lg" width="1862" height="1374" data-path="images/clickstack/rbac/team-page-clickstack.png" />
  </Tab>
</Tabs>

<div id="built-in-roles">
  ## Встроенные роли
</div>

ClickStack включает три системные роли. Их нельзя редактировать или удалять. Роль Admin по умолчанию назначается создателю команды.

| Разрешение                                | Admin | Участник | Только для чтения |
| ----------------------------------------- | :---: | :------: | :---------------: |
| Чтение всех ресурсов                      |   ✓   |     ✓    |         ✓         |
| Управление панелями мониторинга           |   ✓   |     ✓    |                   |
| Управление сохранёнными поисками          |   ✓   |     ✓    |                   |
| Управление источниками                    |   ✓   |     ✓    |                   |
| Управление оповещениями                   |   ✓   |     ✓    |                   |
| Управление вебхуками                      |   ✓   |     ✓    |                   |
| Управление блокнотами                     |   ✓   |     ✓    |                   |
| Изменение настроек команды                |   ✓   |     ✓    |                   |
| Создание и удаление команд                |   ✓   |          |                   |
| Управление пользователями и приглашениями |   ✓   |          |                   |

<div id="assigning-roles">
  ## Назначение ролей участникам команды
</div>

На странице **Team Settings** показаны все участники команды и их текущие роли. Чтобы изменить роль, нажмите **Edit** рядом с именем пользователя и выберите новую роль. У каждого пользователя может быть только одна роль.

<div id="default-new-user-role">
  ### Роль по умолчанию для новых пользователей
</div>

Вы можете задать роль по умолчанию для новых пользователей в разделе [Политики безопасности](#security-policies). Пользователям, которые автоматически добавляются в команду, эта роль назначается автоматически.

<div id="creating-a-role">
  ## Создание пользовательской роли
</div>

<Steps>
  <Step>
    ### Перейдите в Team Settings

    Откройте **Team Settings** и прокрутите страницу до раздела **RBAC Roles**.

    <Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/rbac-section.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=dbcda2c5515b3a7429b6de530b99e0a2" alt="Роли RBAC" size="lg" width="3838" height="882" data-path="images/clickstack/rbac/rbac-section.png" />
  </Step>

  <Step>
    ### Добавьте новую роль

    Нажмите **+ Add Role**. Введите **Role Name** и при необходимости добавьте **Description**.
  </Step>

  <Step>
    ### Настройте разрешения и сохраните

    Задайте разрешения для роли, затем нажмите **Create Role**.

    <Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/add-role-modal.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=54053689c21e08e500a66556b48bd1c6" alt="Модальное окно Add Role" size="md" width="1244" height="1638" data-path="images/clickstack/rbac/add-role-modal.png" />
  </Step>
</Steps>

Пользовательские роли отображаются рядом с системными ролями в разделе **RBAC Roles** с кнопками **Edit** и **Delete**.

<div id="role-permissions">
  ## Разрешения роли
</div>

<div id="resource-permissions">
  ### Разрешения на ресурсы
</div>

Каждая роль задаёт уровень доступа для каждого типа ресурсов. Всего предусмотрено три уровня:

| Уровень доступа | Что он позволяет                                                                    |
| --------------- | ----------------------------------------------------------------------------------- |
| **Нет доступа** | Этот тип ресурсов полностью скрыт для роли.                                         |
| **Чтение**      | Просматривать ресурс и его конфигурацию, но не создавать, изменять или удалять его. |
| **Управление**  | Полный контроль — создание, изменение и удаление ресурсов этого типа.               |

Доступ можно настраивать для следующих типов ресурсов:

* **[Панели мониторинга](/ru/clickstack/features/dashboards/overview)** — сохранённые панели мониторинга и диаграммы.
* **[Сохранённые поиски](/ru/clickstack/features/search)** — сохранённые запросы к логам/трейсам/событиям.
* **Sources** — конфигурации источников для ингестии.
* **[Alerts](/ru/clickstack/features/alerts)** — правила оповещений и их настройки уведомлений.
* **Webhooks** — пункты назначения для исходящих уведомлений (например, Slack, PagerDuty и универсальные HTTP-конечные точки), в которые отправляются [alerts](/ru/clickstack/features/alerts). Это не относится к API ClickStack.
* **Notebooks** — совместные блокноты для расследований.

<div id="administrative-permissions">
  ### Административные разрешения
</div>

Помимо разрешений на ресурсы, каждая роль включает два административных параметра:

* **Пользователи** (Нет доступа · Ограниченный доступ) — определяет, может ли роль просматривать участников команды и их роли. Только пользователи с ролью Admin могут приглашать, удалять или изменять пользователей.
* **Команда** (Чтение · Управление) — определяет, может ли роль просматривать или изменять настройки уровня команды, такие как политики безопасности и конфигурация RBAC.

<div id="fine-grained-access-rules">
  ### Детализированные правила доступа
</div>

панели мониторинга, сохранённые поиски, Sources и блокноты поддерживают детальную настройку прав доступа, позволяющую ограничивать доступ к отдельным ресурсам внутри категории. Используйте её, когда нужно ограничить роль доступом только к определённым ресурсам, а не выдавать общий доступ ко всему типу ресурсов.

<div id="access-control-modes">
  #### Доступ по умолчанию и точная настройка
</div>

У каждого типа ресурса есть **режим управления доступом**:

* **Доступ по умолчанию** — задаёт единый уровень доступа (Нет доступа, Чтение или Управление) для всех ресурсов этого типа.
* **Точная настройка** — позволяет задавать правила доступа, которые по условиям применяются к конкретным ресурсам. Для ресурсов, не подпадающих ни под одно правило, по умолчанию доступ отсутствует.

Чтобы переключить режим, нажмите на шеврон, чтобы развернуть тип ресурса в редакторе роли, а затем переключите **режим управления доступом**.

<Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/default-vs-fine-grained.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=5712430f4b3a5a8e8c996f91ae08de18" alt="Режимы «Доступ по умолчанию» и «Точная настройка» в редакторе роли" size="md" width="1248" height="702" data-path="images/clickstack/rbac/default-vs-fine-grained.png" />

<div id="configuring-access-rules">
  #### Настройка правил доступа
</div>

Каждое правило доступа состоит из **условия** и **уровня доступа**. Условия позволяют сопоставлять ресурсы по их свойствам:

<Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/condition-tip.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=1dbefc473a5054215b41afa424e95fe4" alt="Подсказка по условию: сопоставляйте ресурсы по имени или тегу (показаны в заголовке) либо по ID (указан в URL)" size="md" width="1348" height="668" data-path="images/clickstack/rbac/condition-tip.png" />

| Поле условия | Операторы        | Что сопоставляется                                                                                                                                             | Пример                                                                                                      |
| ------------ | ---------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------- |
| **Name**     | `is`, `contains` | Отображаемое имя ресурса — например, заголовок панели мониторинга.                                                                                             | Name contains `production` — соответствует любой панели мониторинга, в заголовке которой есть "production". |
| **Tag**      | `is`, `contains` | Теги, назначенные ресурсу через панель тегов в правом верхнем углу страницы ресурса. Доступно только для панелей мониторинга, сохранённых поисков и блокнотов. | Tag is `critical` — соответствует ресурсам с тегом "critical".                                              |
| **ID**       | `is`, `contains` | Идентификатор ресурса, который можно увидеть в адресной строке после открытия ресурса.                                                                         | ID is `abc123` — соответствует одному конкретному ресурсу.                                                  |

На следующем снимке экрана показаны выделенный в адресной строке ID панели мониторинга и тег "TESTING" на панели тегов (в правом верхнем углу).

<Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/dashboard-id-and-tag-example.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=9cde144ae9cf6a647504645d3bf85bea" alt="Панель мониторинга, на которой показаны ID ресурса в адресной строке и тег в правом верхнем углу" size="lg" width="3836" height="1404" data-path="images/clickstack/rbac/dashboard-id-and-tag-example.png" />

Для каждого типа ресурса можно добавить несколько правил. Каждое правило проверяется независимо по логике OR — ресурс доступен, если он соответствует **хотя бы одному** правилу. Ресурсы, не соответствующие ни одному правилу, недоступны.

<Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/access-rules-tip.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=055dfc41ea779f95b7c6cac79ef055dc" alt="Подсказка по правилам доступа с логикой OR" size="md" width="1348" height="668" data-path="images/clickstack/rbac/access-rules-tip.png" />

**Пример**: Чтобы предоставить роли доступ только для чтения к тестовым панелям мониторинга, раскройте панели мониторинга, переключитесь на точную настройку и добавьте два правила:

* **Name** `contains` `testing` с уровнем доступа **Read**
* **Tag** `is` `testing` с уровнем доступа **Read**

Панель мониторинга, соответствующая любому из этих правил, будет доступна.

<Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/dashboard-fine-grained-example.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=7f0e6e75ecee51488b23b8f09afc3155" alt="Два детализированных правила доступа, объединённых по OR: Name contains testing с доступом Read и Tag is testing с доступом Read" size="md" width="1154" height="1232" data-path="images/clickstack/rbac/dashboard-fine-grained-example.png" />

<div id="security-policies">
  ## Политики безопасности
</div>

Раздел **Политики безопасности** в **Team Settings** содержит дополнительные элементы управления.

**Роль по умолчанию для новых пользователей** определяет роль, которая автоматически назначается новым пользователям при присоединении к команде.

**Generative AI** позволяет включать или отключать функции на базе LLM (например, генерацию запросов на естественном языке), работающие через Anthropic или Amazon Bedrock. Если эта опция отключена, данные не отправляются внешним ИИ-провайдерам.

<Image img="https://mintcdn.com/private-7c7dfe99-mintlify-86180b7b/bdNN6eADC4Lovzfc/images/clickstack/rbac/security-policies.png?fit=max&auto=format&n=bdNN6eADC4Lovzfc&q=85&s=7513436193edc7534bc6d90c3d07a6db" alt="Политики безопасности" size="lg" width="1892" height="412" data-path="images/clickstack/rbac/security-policies.png" />