Сервисные аккаунты и токены

Сервисный аккаунт — машинная учётная запись для BI-подключения или конвейера. Он принадлежит организации, а не человеку, поэтому подключения не ломаются, когда сотрудник уходит, и не работают на чьём-то личном токене.

Создать сервисный аккаунт

1. «Организация → Сервисные аккаунты» → «Создать сервисный аккаунт».
2. Задайте «Название», например ci-deployer или «Superset».
3. Выберите «Роль». Роль ограничивает то, что может каждый токен аккаунта. Например, для развёртывания модели из CI нужна роль «Аналитик» или «Администратор».

Выпустить токен

1. В строке аккаунта нажмите «Создать токен».

2. Задайте «Название» и отметьте «Области доступа»:

   Область	Для чего
   Чтение API	Чтение данных этой организации через API.
   SQL	Подключение BI-инструмента через шлюз ClickHouse.
   Развёртывание модели	Развёртывание модели из CI: YAML-проект.
   MCP	Подключение ИИ-агента по MCP. Нужна, только если в вашей установке включено подключение агентов.

3. Выберите «Срок действия»: 30 дней, 90 дней, 1 год, «Бессрочно» или «Своя дата».

4. Нажмите «Создать токен» и скопируйте его. Больше он показан не будет.

Токен действует от имени аккаунта и никогда не даёт больше прав, чем у аккаунта есть.

Для токена с областью «SQL» окно подсказывает строку подключения: токен указывается как пароль подключения ClickHouse к шлюзу, а короткое имя организации — как база данных.

clickhousedb://<пользователь>:<токен>@<адрес шлюза>:443/<организация>?secure=true

Доступы сервисного аккаунта

Кнопка «Доступы» в строке аккаунта решает, какие данные он видит. Когда включено «Применять доступы», аккаунт с ролью «Администратор» без доступов видит всё, а любой другой без доступов — ничего. Подробнее: Группы и доступы к данным.

Отключить, удалить, отозвать

Действие	Что происходит
Отозвать (токен)	Всё, что использует этот токен, потеряет доступ. Отменить нельзя.
Отключить (аккаунт)	Аккаунт и все его токены перестают работать; «Включить» возвращает их.
Удалить (аккаунт)	Все его токены сразу перестанут работать. Версии модели, которые он развернул, останутся без автора. Отменить нельзя.

Аккаунты с подписью «Управляется интеграцией …» меняются только через интеграцию.

Личные токены

Любой пользователь может выпустить токен для себя в «Настройки аккаунта → Токены доступа». Для постоянных подключений лучше подходит сервисный аккаунт. См. Вход и настройки аккаунта.