用户管理

用户是云器 Lakehouse 中执行操作的身份主体。Lakehouse 采用两层用户体系：实例级用户管理和工作空间级用户管理。

用户层级

实例级用户

实例级用户在全局账户中创建，是系统中的独立身份。实例级用户的创建、删除、启用/禁用等操作在账户控制台 → 用户管理页面进行。

• 一个账户下可以创建多个用户，用户名必须唯一
• 实例级用户默认被授予

  instance_user

  instance_user
  角色，无任何数据和功能权限
• 用户需要加入工作空间后，才能被授予工作空间内的角色和权限

工作空间级用户

工作空间级用户是将实例级用户加入到特定工作空间中。只有加入工作空间的用户，才能被授予该工作空间内的角色和权限。

• 使用

  CREATE USER

  CREATE USER
  将实例用户加入工作空间
• 使用

  DROP USER

  DROP USER
  将用户从工作空间移除
• 一个用户可以同时加入多个工作空间

用户类型

服务用户包括系统服务用户（Lakehouse 初始化时默认创建）和自定义服务用户（用户自助创建）。

本章内容

用户生命周期管理

1. 创建实例用户

在账户控制台的"用户管理"页面创建新用户，设置用户名、密码、手机号、邮箱等信息。

2. 将用户加入工作空间

CREATE USER user_name [DEFAULT_VCLUSTER = vc_name] [DEFAULT_SCHEMA = schema_name] [COMMENT = 'comment_text'];

3. 为用户授予角色或权限

GRANT ROLE workspace_dev TO USER user_name; GRANT SELECT ON TABLE public.my_table TO USER user_name;

4. 修改用户属性

ALTER USER user_name SET DEFAULT_VCLUSTER = new_vc DEFAULT_SCHEMA = new_schema COMMENT = 'updated comment';

5. 查看用户列表和权限

SHOW USERS; SHOW GRANTS TO USER user_name;

6. 从工作空间移除用户

DROP USER [IF EXISTS] user_name;

DROP USER

常用操作

将用户加入工作空间

-- 将实例用户加入当前工作空间 CREATE USER alice; -- 加入时指定默认集群和 Schema CREATE USER bob DEFAULT_VCLUSTER = analytics_cluster DEFAULT_SCHEMA = public;

修改用户配置

-- 修改默认集群 ALTER USER bob SET DEFAULT_VCLUSTER = etl_cluster; -- 修改默认 Schema ALTER USER bob SET DEFAULT_SCHEMA = dwd;

查看用户

-- 列出所有用户 SHOW USERS;

从工作空间移除用户

-- 移除用户（保留实例账号） DROP USER IF EXISTS alice;

权限管理最佳实践

1. 使用 RBAC 模式：通过角色批量管理权限，而非直接授予用户
2. 遵循最小权限原则：仅授予用户完成工作所需的最低权限
3. 定期审查权限：使用

   SHOW GRANTS TO USER

   SHOW GRANTS TO USER
   定期检查用户权限
4. 使用 WITH GRANT OPTION 需谨慎：被授权用户可将权限转授给其他人

注意事项

• CREATE USER

  CREATE USER
  不创建新账号，只将已有实例用户加入工作空间；实例用户在控制台创建

• DROP USER

  DROP USER
  只移除工作空间访问权限，不删除实例用户的账号和密码
• 移除用户前建议先

  SHOW GRANTS TO USER user_name

  SHOW GRANTS TO USER user_name
  确认权限已处理

相关文档