docs: add {cluster,database} administrator roles description #13907
Conversation
github-actions
bot
added
the
documentation
This comment was marked as outdated.
This comment was marked as outdated.
ijon
force-pushed
the
docs-admin-roles
branch
from
25dd5ac to
e90d872
Compare
This comment was marked as outdated.
This comment was marked as outdated.
ijon
force-pushed
the
docs-admin-roles
branch
from
e90d872 to
8af5977
Compare
github-actions
bot
added
documentation
✅ Documentation buildRevision built successfully |
ijon
force-pushed
the
docs-admin-roles
branch
from
8af5977 to
3ad9f40
Compare
✅ Documentation buildRevision built successfully |
github-actions
bot
added
documentation
ijon
force-pushed
the
docs-admin-roles
branch
from
3ad9f40 to
da552ad
Compare
✅ Documentation buildRevision built successfully |
|
|
||
| {% note info %} | ||
|
|
||
| Рассматривается управление кластером группой администраторов. Оставить управление кластера единственному [пользователю](../concepts/glossary.md#access-user)-администратору (или суперпользователю) может быть ненадёжно и небезопасно. |
There was a problem hiding this comment.
Хочу выделить слово "группой", оно будет противопоставляться "пользователю".
| Рассматривается управление кластером группой администраторов. Оставить управление кластера единственному [пользователю](../concepts/glossary.md#access-user)-администратору (или суперпользователю) может быть ненадёжно и небезопасно. | |
| Рассматривается управление кластером [группой](../concepts/glossary.md#access-group) администраторов. Оставить управление кластера единственному [пользователю](../concepts/glossary.md#access-user) администратору (или суперпользователю) может быть ненадёжно и небезопасно. |
|
|
||
| Создание и настройка администраторов кластера по шагам: | ||
|
|
||
| 1. Создать суперпользователя, группу администраторов кластера и наделить их административными правами. |
There was a problem hiding this comment.
По примеру не совсем понятно, почему пользователи будут "наделены административными правами". Я бы продублировал, что они включены в "*_allowed_sids"
|
|
||
| После выполнения данной инструкции новые администраторы кластера способны выполнять любые административные операции с {{ ydb-short-name }}. | ||
|
|
||
| Суперпользователь `root` был нужен для выполнения данной инструкции и при дальнейшем администрировании кластера его можно больше не использовать. |
There was a problem hiding this comment.
И напрашивается одно предложение, что с ним лучше сделать: удалить/заблокировать/...
|
|
||
| {% endnote %} | ||
|
|
||
| ## Инструкция общая {#setup-general} |
There was a problem hiding this comment.
Две очень похожие инструкции, но никак не могу уловить по тексту, чем они отличаются.
Предлагаю до этого написать вводный текст с отличиями и предложить читателю пойти по одному из двух вариантов.
There was a problem hiding this comment.
Согласен с комментарием, у меня такой же вопрос возник.
| @@ -0,0 +1,90 @@ | |||
| # Администратор базы данных | |||
|
|
|||
| Администратор базы данных (БД) -- это пользователь, обладающий административными возможностями в рамках некоторой базы данных: | |||
There was a problem hiding this comment.
| Администратор базы данных (БД) -- это пользователь, обладающий административными возможностями в рамках некоторой базы данных: | |
| Администратор базы данных (БД) -- это пользователь, обладающий административными возможностями в рамках некоторой базы данных. |
|
|
||
| ## Требуемая конфигурация {#database-admin-setup} | ||
|
|
||
| 1. На уровне базы существует группа администраторов базы данных. |
There was a problem hiding this comment.
| 1. На уровне базы существует группа администраторов базы данных. | |
| 1. На уровне базы данных существует группа администраторов базы данных. |
| ## Требуемая конфигурация {#database-admin-setup} | ||
|
|
||
| 1. На уровне базы существует группа администраторов базы данных. | ||
| 2. Группа администраторов базы данных является владельцем корня базы данных. |
There was a problem hiding this comment.
| 2. Группа администраторов базы данных является владельцем корня базы данных. | |
| 2. Группа администраторов базы данных является владельцем базы данных. |
|
|
||
| База данных определяется своим путём в схеме кластера, владелец этого пути (пользователь или группа) является владельцем базы. | ||
|
|
||
| ## Требуемая конфигурация {#database-admin-setup} |
There was a problem hiding this comment.
- Не сразу понял смысл слова "Требуемая".
Первое, что приходит в голову, это что нужно сделать какие-то подготовительные действия, выставить. "требуемые параметры".
Только дочитав до конца, понял, что это то, что мы получим в итоге выполнения инструкции, "образ результата". - Возможно, этот раздел стоит перенести в конец. То есть мы выполнили инструкцию и пришли к некому целевому состоянию.
P.S.
То же самое про Администраторов кластера.
|
|
||
| На настоящем кластере имена могут быть другими. | ||
|
|
||
| Создаёт и запускает базу данных [администратор кластера](./configure-cluster-admins.md), он же настраивает администраторов базы данных. |
There was a problem hiding this comment.
Предложение смущает. Я пытаюсь найти инструкцию, как все эти шаги сделать. А оказывается, они идут далее.
| Создаёт и запускает базу данных [администратор кластера](./configure-cluster-admins.md), он же настраивает администраторов базы данных. | |
| Для выполнения шагов инструкции требуются права [администратора кластера](./configure-cluster-admins.md). |
|
|
||
| TODO: Сослаться на запуск нод базы разными описанными в документации способами. | ||
|
|
||
| 3. Создать в базе группу администраторов базы |
There was a problem hiding this comment.
Ниже идет пример, как создать пользователей. А тут написано "создать группу".
|
|
||
| ## Понятие администратора кластера в {{ ydb-short-name }} | ||
|
|
||
| Администратором кластера является пользователь, который имеет административный [уровень доступа](../concepts/glossary.md#access-level) на кластере и полные [права доступа](../concepts/glossary.md#access-control-list) на корне кластера. |
There was a problem hiding this comment.
Не очень понятно, что такое "корень кластера". Я бы описал где-то понятие (как минимум в glossary) и сослался бы.
|
|
||
| [Уровни доступа](../concepts/glossary.md#access-level) настраиваются в конфигурации кластера, [секция `security_config`](../reference/configuration/index.md#security-access-levels). | ||
|
|
||
| Права доступа назначаются на корень кластера средствами {{ ydb-short-name }}: YQL [командой `GRANT`](../yql/reference/syntax/grant.md) или CLI [командой `scheme permissions grant`](../reference/ydb-cli/commands/scheme-permissions.md#grant-revoke)). Список схемных прав доступа приведён в статье [{#T}](./access-rights.md). |
There was a problem hiding this comment.
| Права доступа назначаются на корень кластера средствами {{ ydb-short-name }}: YQL [командой `GRANT`](../yql/reference/syntax/grant.md) или CLI [командой `scheme permissions grant`](../reference/ydb-cli/commands/scheme-permissions.md#grant-revoke)). Список схемных прав доступа приведён в статье [{#T}](./access-rights.md). | |
| Права доступа назначаются на корень кластера средствами {{ ydb-short-name }}: [YQL-командой `GRANT`](../yql/reference/syntax/grant.md) или [CLI-командой `scheme permissions grant`](../reference/ydb-cli/commands/scheme-permissions.md#grant-revoke)). Список схемных прав доступа приведён в статье [{#T}](./access-rights.md). |
|
|
||
| Администратором кластера является пользователь, который имеет административный [уровень доступа](../concepts/glossary.md#access-level) на кластере и полные [права доступа](../concepts/glossary.md#access-control-list) на корне кластера. | ||
|
|
||
| [Уровни доступа](../concepts/glossary.md#access-level) настраиваются в конфигурации кластера, [секция `security_config`](../reference/configuration/index.md#security-access-levels). |
There was a problem hiding this comment.
Ссылка "Уровни доступа" ведет на glossary а не конкретный якорь в ферме. Такое впечатление, что какая-то несогласованность по якорям.
|
|
||
| Права доступа назначаются на корень кластера средствами {{ ydb-short-name }}: YQL [командой `GRANT`](../yql/reference/syntax/grant.md) или CLI [командой `scheme permissions grant`](../reference/ydb-cli/commands/scheme-permissions.md#grant-revoke)). Список схемных прав доступа приведён в статье [{#T}](./access-rights.md). | ||
|
|
||
| ## Требуемая конфигурация {#cluster-admin-setup} |
There was a problem hiding this comment.
Раздел в целом тяжело читается. Например, не понятно название "Требуемая конфигурация". Кем требуемая? Это то, что необходимо настроить в настоящем кластере?
На уровне кластера существует группа администраторов кластера.
Я бы пояснил. В духе необходимо, чтобы был хотя бы один администратор кластера, рекомендуется, чтобы это была группа из нескольких субъектов для того, чтобы уменьшить риск потерять доступ к кластеру.
Группа администраторов кластера включена в списки уровней доступа
Не очень понятно. Требуется, чтобы при развертывании кластера эта информация была прописана?
В общем не хватает каких-то фраз типа "при развертывании кластера следует выполнить такие и такие действия с пояснением зачем они нужны"
|
|
||
| {% endnote %} | ||
|
|
||
| ## Инструкция общая {#setup-general} |
There was a problem hiding this comment.
Согласен с комментарием, у меня такой же вопрос возник.
| - управлять конфигурацией кластера или других баз | ||
| - управлять правами на объектах выше уровня базы или в других базах | ||
|
|
||
| ## Понятие администратора базы данных в {{ ydb-short-name }} |
There was a problem hiding this comment.
Для меня не понятна ценность данного раздела. Такое впечатление, что содержимое раздела (2 абзаца) можно привести без заголовка, заголовок стереть.
|
|
||
| База данных определяется своим путём в схеме кластера, владелец этого пути (пользователь или группа) является владельцем базы. | ||
|
|
||
| ## Требуемая конфигурация {#database-admin-setup} |
|
|
||
| {% endnote %} | ||
|
|
||
| ## Инструкция |
There was a problem hiding this comment.
поддерживаю предлагаемое изменение
|
|
||
| На настоящем кластере имена могут быть другими. | ||
|
|
||
| Создаёт и запускает базу данных [администратор кластера](./configure-cluster-admins.md), он же настраивает администраторов базы данных. |
| 3. Создать в базе группу администраторов базы | ||
|
|
||
| ```bash | ||
| {{ ydb-cli }} --user cluster-admin-1 --password `<пароль>` -d '/Root/example-db' yql -s ' |
There was a problem hiding this comment.
Стоит использовать "ydb sql"
Add description for cluster and database administrator roles and instructions on how to setup those.
RU version only.
KIKIMR-21849
Stacked on:
Changelog category