告别默认无密码登录：在Ubuntu/CentOS上配置ClickHouse用户密码的完整避坑指南

告别默认无密码登录：在Ubuntu/CentOS上配置ClickHouse用户密码的完整避坑指南

ClickHouse作为一款高性能的列式数据库，默认安装后允许任何用户无需密码即可访问——这在生产环境中无异于敞开大门迎接安全隐患。本文将带您深入Ubuntu/CentOS系统环境，从密码加密策略选择、配置文件最佳实践到服务状态验证，构建一套工业级安全防护方案。无论您是首次部署还是优化现有集群，都能找到防踩坑的实战解决方案。

1. 密码策略设计与加密方法选择

在开始修改配置文件前，需要明确密码的存储策略。ClickHouse支持三种密码定义方式，每种都有其适用场景和安全等级：

明文密码（仅限测试环境）：

<password>123456</password>

注意：明文密码会以原始文本形式存储在配置文件中，任何有文件读取权限的人都能获取密码，生产环境绝对禁用。

SHA256加密（推荐基础方案）：

# 生成加密字符串示例 echo -n "your_password" | openssl dgst -sha256 (stdin)= 5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8

对应配置：

<password_sha256_hex>5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8</password_sha256_hex>

Double SHA1加密（兼容旧系统）：

echo -n "your_password" | openssl dgst -sha1 -binary | openssl dgst -sha1

配置示例：

<password_double_sha1_hex>23ae809ddacaf96af0fd78ed04b6a265e05aa257</password_double_sha1_hex>

加密方式对比表：

2. 配置文件架构与最佳实践

ClickHouse的配置系统采用"主配置+片段覆盖"机制，理解其目录结构能避免90%的配置错误：

/etc/clickhouse-server/ ├── config.xml # 主服务配置 ├── users.xml # 主用户配置 ├── config.d/ # 服务配置片段 └── users.d/ # 用户配置片段

关键操作步骤：

1. 创建独立密码文件（推荐）：

   sudo mkdir -p /etc/clickhouse-server/users.d/ sudo vim /etc/clickhouse-server/users.d/default_password.xml

2. 写入密码配置内容：

   <yandex> <users> <default> <password_sha256_hex>5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8</password_sha256_hex> </default> </users> </yandex>

3. 验证配置合并结果：

   sudo -u clickhouse clickhouse-extract-from-config --config-file=/etc/clickhouse-server/config.xml --key=users_config

重要提示：永远不要直接修改users.xml！使用users.d/目录的片段文件可以：

• 避免升级时配置被覆盖
• 实现配置的版本控制
• 隔离不同安全等级的设置

3. 服务重启与连接验证

配置生效需要重启服务，但错误的重启方式可能导致数据损坏：

安全重启流程：

# 先优雅停止（允许完成正在执行的查询） sudo systemctl stop clickhouse-server # 检查进程是否真正退出 ps aux | grep clickhouse-server # 确认端口释放 sudo ss -tulnp | grep 9000 # 启动服务 sudo systemctl start clickhouse-server # 验证状态 systemctl status clickhouse-server

连接测试方案：

# 失败测试（应返回认证错误） clickhouse-client # 成功连接（密码模式） clickhouse-client --user default --password your_password # 或者使用交互式密码输入 clickhouse-client --user default --password

常见错误处理：

4. 生产环境增强安全措施

基础密码只是安全防护的第一道防线，还需要以下加固措施：

IP访问限制：

<networks> <ip>::/0</ip> <!-- 允许所有IP --> <ip>192.168.1.0/24</ip> <!-- 限制特定网段 --> </networks>

多用户权限分离：

<users> <readonly> <password_sha256_hex>...</password_sha256_hex> <profile>readonly</profile> </readonly> <admin> <password_sha256_hex>...</password_sha256_hex> <access_management>1</access_management> </admin> </users>

审计日志配置：

<logger> <level>trace</level> <log>/var/log/clickhouse-server/access.log</log> <size>1000M</size> </logger>

定期维护检查清单：

1. 每月轮换密码哈希
2. 审计用户权限分配
3. 检查配置文件的权限设置（应限制为640）
4. 验证备份中包含users.d/目录
5. 监控失败登录尝试

5. 跨版本兼容性处理

不同ClickHouse版本在认证机制上有细微差异需要特别注意：

版本适配指南：

• 20.8+：推荐使用SHA256，完整支持RBAC
• 20.3-20.7：检查password_sha256_hex兼容性
• 19.x：可能需要使用double_sha1
• 18.x：仅支持明文和double_sha1

升级时的密码迁移：

# 导出旧密码哈希 clickhouse-client --query "SELECT name, auth_type FROM system.users" # 新版本导入工具 clickhouse-user-migrator --input-format=json --output-format=xml < users.json > new_users.xml

配置过程中如果遇到"Unknown setting"类错误，通常是因为：

1. 标签拼写错误（如password_sha256_hex写成password_sha256）
2. 配置文件未放在正确目录
3. XML格式错误（缺少闭合标签）
4. 服务未加载新配置（需要强制重启）