CockroachDB

​

Điều kiện tiên quyết

• Cluster CockroachDB có SQL endpoint mà CloudThinker truy cập được từ internet. Agent kết nối từ CloudThinker Cloud, nên localhost và địa chỉ private được phân giải ở đó, không phải trên mạng của bạn. Xem Truy cập dịch vụ private.
• Tài khoản admin có thể tạo SQL user và cấp quyền.
• Xác thực bằng mật khẩu với TLS. Kết nối từ chối sslmode=disable, allow và prefer.

​

Thiết lập

CREATE USER cloudthinker_read WITH PASSWORD '<read-password>';
CREATE USER cloudthinker_write WITH PASSWORD '<write-password>';

GRANT USAGE ON SCHEMA public TO cloudthinker_read, cloudthinker_write;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO cloudthinker_read;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO cloudthinker_write;

ALTER DEFAULT PRIVILEGES FOR ROLE app_owner IN SCHEMA public GRANT SELECT ON TABLES TO cloudthinker_read;
ALTER DEFAULT PRIVILEGES FOR ROLE app_owner IN SCHEMA public GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO cloudthinker_write;

GRANT SYSTEM VIEWACTIVITY TO cloudthinker_read;

postgresql://cloudthinker_read:<read-password>@your-cluster.cockroachlabs.cloud:26257/appdb?sslmode=verify-full
postgresql://cloudthinker_write:<write-password>@your-cluster.cockroachlabs.cloud:26257/appdb?sslmode=verify-full

postgresql://cloudthinker_read:<read-password>@crdb.example.com:26257/appdb?sslmode=require
postgresql://cloudthinker_write:<write-password>@crdb.example.com:26257/appdb?sslmode=require

​

Chi tiết kết nối

​

Quyền yêu cầu

​

Khả năng của agent

​

Xác minh kết nối

List my CockroachDB databases and the tables in the application database

​

Ví dụ prompt

Show the schema and indexes for public.orders
Explain the query plan for looking up an order by customer_id, without running it
Which statements are running on the cluster right now, and who is running them?
Set status = 'cancelled' for order 123 in public.orders

​

Quyền ghi

• Trước khi hỏi, agent nêu hành động, bảng và mệnh đề WHERE chọn các row.
• UPDATE hoặc DELETE không có mệnh đề WHERE sẽ bị từ chối.
• Agent không thể tạo, sửa, xóa hay truncate cơ sở dữ liệu, bảng hoặc index.
• Kết quả báo cáo hành động, bảng và số row bị ảnh hưởng, không bao giờ báo giá trị row.
• Phê duyệt một thay đổi không đồng nghĩa với phê duyệt thay đổi tiếp theo.

​

Khắc phục sự cố

​

Bảo mật

• Quyền tối thiểu — chỉ cấp các quyền mà agent cần cho trường hợp sử dụng của bạn; bắt đầu với quyền chỉ đọc và mở rộng sau.
• Chỉ đọc theo mặc định — sử dụng thông tin xác thực chỉ đọc trừ khi bạn muốn agent thực hiện thay đổi qua kết nối này.
• Xoay vòng thông tin xác thực — xoay vòng khóa và token theo lịch trình thông thường của bạn; CloudThinker sẽ lấy giá trị mới khi bạn cập nhật kết nối.
• Thu hồi khi bàn giao — xóa thông tin xác thực tại nhà cung cấp khi bạn xóa một kết nối hoặc khi đồng nghiệp rời nhóm.

• Tách user đọc và ghi: chỉ cho user đọc quyền SELECT, và chỉ cấp quyền thay đổi row cho user ghi. Không bao giờ cấp INSERT, UPDATE hoặc DELETE cho user đọc.
• Xác minh chứng chỉ server: ưu tiên sslmode=verify-full khi chứng chỉ của cluster đến từ CA công khai và hostname khớp. Dùng require cho CA private.

​

Liên quan

PostgreSQL

Kết nối cơ sở dữ liệu PostgreSQL bằng user chỉ đọc.

Approvals

Quyết định thay đổi row nào được chạy, phải chờ người duyệt hoặc bị từ chối.