@clickzetta/cz-cli-darwin-x64 0.3.1

package/bin/skills/lakehouse-doc/references/user-aggrement.md

@@ -0,0 +1,229 @@
+# 云器科技用户协议
+
+生效日期：2025年1月10日
+
+## 前言
+
+感谢您使用杭州云之重器科技有限公司（简称：云器科技）提供的产品和/或服务。在完成注册程序或以任何方式使用云器科技网站服务前，请您务必仔细阅读并透彻理解本云器科技网站服务条款(以下或简称“服务条款”)，在确认充分理解后选择接受或不接受本服务条款；一旦您完成“同意条款并注册”或开始以其他方式使用云器科技服务，即表明您已阅读并同意受本服务条款的约束。如您不同意本服务条款或其中任何条款约定，您应不再进行下一步或停止注册程序。
+
+云器科技再次提示您审慎阅读、充分理解各条款内容，特别是限制或免除责任的相应条款，限制或免除责任条款可能会以加粗或其他醒目形式提示您注意。
+
+## 一、签约主体以及协议范围
+
+1.1.云器科技产品服务条款是您与杭州云之重器科技有限公司（以下简称“云器科技”或者“我们”）就使用云器科技产品服务（包含为您提供网站页面信息浏览、账户注册、湖仓数据平台、DataGPT服务等，以下简称“本服务”）而订立的有效合约。云器科技包含域名为www\.yunqi.tech的网站以及域名在www\.clickzetta.com下的所有产品服务。
+
+## 二、账户的注册、使用与安全
+
+2.1.注册的资格
+
+2.1.1.您确认，在您完成注册程序或以其他云器科技允许的方式实际使用本服务时，您应当是具备完全民事权利能力和完全民事行为能力的自然人、法人或其他组织（以下或简称为“您”）。
+
+2.1.2.若您是未成年人或限制民事行为能力人，则您不具备前述主体资格，您及您的监护人应承担因您的不当注册行为而导致的一切后果。
+
+2.1.3.您还需确保您不是任何国家、国际组织或者地域实施的贸易限制、制裁或其他法律、规则限制的对象，否则您可能无法正常注册及使用云器科技服务。
+
+2.2.账户注册
+
+2.2.1.当您按照注册页面提示填写信息、阅读并同意本服务条款且完成全部注册程序后，您可获得云器科技账户并成为云器科技的用户。
+
+2.2.2.您可以通过设置或确认的账户名（“账户名称”）及您设置的密码完成注册程序；您可选择通过设置登陆手机号码并完成动态验证、授权使用第三方账户关联注册或云器科技提供的其他注册方式，完成云器科技用户账户的注册。在您通过某一形式注册账户时，云器科技可能会为您自动生成一个“账号ID”。您理解并同意，当提及您的云器科技账户或者账号时，实际是指上述账户名称与密码、登陆手机号、被授权的第三方账户或在用户界面内归属在“账户”或“账号”下的其他信息的统称。
+
+2.2.3.您设置的账户名不得违反国家法律法规、公序良俗、社会公德、云器科技的管理规范或容易引起您与云器科技身份的混淆，否则您的账户可能不能注册成功或云器科技有权经通知您后予以注销。
+
+2.2.4.您应当按照法律法规要求或按相应页面的提示，准确提供并及时更新您的账户信息，以使之真实、及时、完整和准确。如您提供的资料错误、不实、过时或不完整的，云器科技可以向您发出询问及/或要求改正的通知，您应按照云器科技的要求配合提供或者更新相关资料。因您填写的信息、资料不真实、不及时、不完整或不准确的，您应承担您不能使用云器科技账户（不能注册成功、或账户被冻结、注销）或您在使用过程中的后果和损失。
+
+2.2.5.云器科技可能会就某些云服务的开通，要求您提供更多的身份资料和信息，做进一步的身份认证或资格验证，您的账户只有在通过这些认证和验证之后，方可获得使用相关云服务的资格。
+
+2.2.6.通常情况下，您的云器科技账户是您在云器科技网站进行一切活动的唯一身份标识，除非另有约定，每一个云器科技账户都可以在本网站独立开展活动。但在下列情形下，云器科技有权根据自己的判断，对同一及/或关联法律主体拥有的多个云器科技账户进行统一处理，如根据不同云器科技账户在注册、登录、使用中的关联信息，云器科技判断其实际为同一用户。关联信息举例：同一证件、同一手机号、同一支付账户、同一设备、同一地址等。
+
+2.3.账户的使用和安全
+
+2.3.1.您有权使用您设定的账户登录云器科技网站，进而使用云器科技提供的云服务。您知悉并同意，云器科技有权不时变更、暂停或取消任何一项云服务（包括产品种类增加或减少、服务内容的调整、版本升级等）或整个云服务，或不时变更、暂停或取消云服务的某种特性或功能，或者不时变更、暂停或取消云服务的使用方式及有关云服务内容。该等变更、暂停或取消将在云器科技官网上公布，以便通知到您。您有义务及时查收并透彻理解相关调整内容，如您不同意变更后的任何条款，请勿继续购买或使用相关云服务。如您使用云器科技提供的云服务，即视为您同意遵守届时公示的服务条款及该具体云服务服务条款的最新版本及其任何条款。
+
+2.3.2.云器科技可能会以邮件、站内信、短信或电话等方式通知您相关云服务进展情况以及提示您进行下一步的操作。在服务过程中您应当及时登录到云器科技账户查看和进行交易操作。
+
+2.3.3.一个云器科技账户仅能对应唯一的法律主体。除非有法律明文规定、司法裁定或者经云器科技同意的情况下，您不得以任何方式转让、转借、租售、赠与或让他人继承您的云器科技账户。
+
+2.3.4.您的账户信息由您自行设置并由您保管，您须对您的云器科技账户和密码、手机验证码及其他与账户相关的信息、资料予以保密。您需确保您在每个上网时段结束时，以正确步骤离开网站。
+
+2.3.5.如发现他人未经授权使用您的云器科技账户，您应立即通知云器科技；云器科技将协助您冻结账户、更改密码或进行其他安全设置；您理解云器科技对您的请求采取行动需要合理时间，云器科技对在采取行动前已经产生的以及由您引发的后果（包括但不限于您的任何损失）不承担任何责任。
+
+2.3.6.云器科技亦会提供相关免费服务协助您保障您账户的安全，包括提示您配置安全产品，提供基础的监控与告警能力，以及在账户发生异常操作时对您指定账户的通知告警能力。为实现以上能力，您知悉并同意云器科技会获取您的AK及账号活动情况记录，以便对高危风险事件进行告警。您理解并接受，尽管云器科技为您提供了以上账户安全监控服务，但您是您账号安全的第一责任人。云器科技无法保证所提供的免费服务的效果和服务质量，由AK或其他登录鉴权方式泄露引发的后果（包括但不限于您的任何损失）云器科技不承担任何责任。
+
+## 三、账户的冻结、注销及申诉
+
+3.1.账户的冻结
+
+您的云器科技账户（全部或部分权限或功能）在如下情况可能被冻结（例如，云器科技账户被限制登陆；被限制资金转出功能等），云器科技将通过邮件、站内信、短信或电话等方式通知您：
+
+3.1.1.基于云器科技网站或云服务运行和交易安全的需要，如您发生或可能发生破坏或试图破坏云器科技或云器科技关联公司公平交易环境或正常交易秩序的，或任何使用含有云器科技或云器科技关联公司名称、品牌且对他人有误导嫌疑或任何使用某种中英文(全称或简称)、数字、域名等意图表示或映射与云器科技或其关联公司具有某种关联的；
+
+3.1.2.违反本服务条款、云器科技网站的相关规则、规范（如云平台安全规则、交易规则、管理规范等）、服务说明以及其他服务协议/条款的；
+
+3.1.3.违反国家法律、法规、政策、法律文书的规定的；
+
+3.1.4.您遭到他人投诉，且对方已经提供了相关证据的，而您未按照我们的要求提供相反证据的；
+
+3.1.5.云器科技根据合理分析判断您的账户操作、收益、兑换等存在异常的；
+
+3.1.6.国家有权机关要求进行的冻结的；
+
+3.1.7.云器科技合理判断，同一用户发生与如上行为性质相同或产生如上类似风险的其他情况的。
+
+3.2.账户的注销
+
+3.2.1.出现以下情形之一的，您的云器科技账号将被注销：
+
+3.2.1.1. 云器科技依据您本人提交的账号注销申请，依照法律的规定和账户注销流程，处理您提交的注销请求并完成账号注销的。
+
+3.2.1.2.当出现如上第3.1条情形且情形严重的，或基于国家有权机关的要求，云器科技对您的相关云器科技账户进行注销，云器科技将通过邮件、短信、电话或其他适宜的方式通知您。
+
+3.2.1.3.当您连续12个月未通过账户登录过云器科技网站（含账户冻结期间），且您的账户下不存在任何未到期的云服务，云器科技有权（但无义务）注销您的账户。
+
+3.2.2.您理解并同意，账户一经注销，您将：
+
+3.2.2.1无法再次登录云器科技网站、论坛、App等；
+
+3.2.2.2无法访问控制面板或云站点控制面板；
+
+3.2.2.3无法进行依赖于账户权限进行的其他操作；
+
+3.2.2.4无法找回该账户下的个人信息、交易记录、业务数据、历史信息等。
+
+3.2.2.5但账户注销并不代表您在该账户注销前的所有账户行为和相关责任得到豁免或减轻。
+
+3.2.3账户注销后，云器科技将：
+
+3.2.3.1无权继续收集、存储和使用您的个人信息和数据，但法律法规另有要求的情形除外，例如：为了税务合规而保留相应的发票信息等；
+
+3.2.3.2有义务在遵守国家法律法规的前提下，保障您在该账户下的所有数据在实现日常业务功能所涉及的系统中不可被检索、访问；
+
+3.2.3.3账户注销不影响云器科技在监管机关要求或其他合法场景下，依法确认该账户注销前的用户真实身份等相关义务的履行。
+
+3.3.申诉
+
+发生前述账户冻结或注销情况下，您应及时予以关注并可以按照程序进行申诉等后续操作：
+
+3.3.1.您通过申诉程序，向云器科技申请解除上述冻结或注销的，为了您的账户安全，您应配合如实提供身份证明及相关资料，以及云器科技要求的其他信息或文件，以便云器科技进行核实。您应充分理解您的申诉并不必然被允许，云器科技有权决定是否同意您的申诉请求。
+
+3.3.2.您理解并同意，如果您拒绝如实提供身份证明及相关资料，或未能通过云器科技审核，云器科技有权长期冻结该等账户且长期限制账户部分或全部功能，直至前述情形被得以合理纠正，或基于第3.2.1.3条的约定注销该账户。
+
+3.4您理解并同意，您名下如存在多个云器科技账户，因您的违法、违规、违约行为导致其中一个或多个账户被冻结或注销的，云器科技有权根据具体情形及相关风险程度作合理判断，对您的其他全部或部分账户予以冻结或注销。
+
+## 四、网站服务及规范
+
+4.1.您有权享受云器科技通过本网站提供的互联网技术服务和信息服务。您同时还应根据本服务条款以及您在购买具体云服务时确认的相关条款和条件，履行及时付款、服务管理等责任。
+
+4.2.您使用云器科技服务（包括本服务和云服务）时，您应保证：
+
+4.2.1.您使用云器科技服务时将遵从国家、地方法律法规、行业惯例和社会公共道德，不会利用云器科技提供的服务进行存储、发布、传播如下信息和内容：
+
+（ⅰ）违反国家法律法规政策的任何内容（信息）；
+
+（ⅱ）违反国家规定的政治宣传和/或新闻信息；
+
+（ⅲ）涉及国家秘密和/或安全的信息；
+
+（ⅳ）封建迷信和/或淫秽、色情、下流的信息或教唆犯罪的信息；
+
+（ⅴ）博彩有奖、赌博游戏；违反国家民族和宗教政策的信息；
+
+（ⅵ）妨碍互联网运行安全的信息；
+
+（ⅶ）侵害他人合法权益的信息和/或其他有损于社会秩序、社会治安、公共道德的信息或内容；
+
+（ⅷ）您同时承诺不得为他人发布上述不符合国家规定和/或本服务条款约定的信息内容提供任何便利，包括但不限于设置URL、BANNER链接等。
+
+4.2.2.不应出现任何破坏或试图破坏网络安全等的行为，包括不会利用技术或其他手段破坏或扰乱本网站及云器科技其他客户的网站；
+
+4.2.3.您使用云器科技网站的服务应符合本服务条款；
+
+如您违反上述保证，云器科技除有权根据相关服务条款采取删除信息、中止服务、终止服务的措施，并有权冻结或注销您账户部分或全部功能。
+
+## 五、隐私及个人信息的保护
+
+5.1.为及时跟进您的需求，我们可能会将您提供的联系人信息或账号数据（包含姓名、电子邮箱地址、电话号码、职务）、您的公司基本信息以及项目服务信息录入到我们的客户关系管理（CRM）系统，与您对接的服务顾问将有权限查看前述信息并在必要时与您进行联络。
+
+5.2.如您希望进一步了解我们如何收集、使用您的个人信息或如何保障您的隐私，您可参见《法律声明及隐私权政策》。
+
+## 六、知识产权
+
+6.1.我们尊重知识产权，除非获得了您的同意，云器科技不会擅自使用、修改、复制、公开传播、改变、散布、发行或公开发表您拥有知识产权的成果。
+
+6.2.除非另行说明，云器科技网站Logo、“云器科技”等文字、图形及其组合，以及云器科技网站的其他标识、徽记、云器科技服务的名称、技术文档等的知识产权为云器科技及其关联公司所有。“知识产权”包括在专利法、著作权法、商标法、反不正当竞争法等法律中规定的任何和所有权利、所有权和利益，以及其中的任何和所有应用、更新、扩展和恢复。
+
+6.3.您不得攻击云器科技官网，不得修改、改编、翻译云服务所使用的软件、技术、材料等，不得通过反向工程、反编译、反汇编或其他类似行为获得云服务涉及的源代码，否则由此引起的一切法律后果由您负责，云器科技有权依法追究您的法律责任。
+
+6.4.您应尊重云器科技和第三方的知识产权和其他合法权利/权益，并保证在发生侵犯前述权益的违法事件时，保护云器科技及其雇员、股东、合作伙伴等免于因该等事件受到影响或损失，云器科技保留在您侵犯云器科技及/或其他第三方的合法权利/权益时终止向您提供服务并不退还任何款项的权利。
+
+## 七、保密
+
+云器科技承诺对您注册账户时或使用云器科技服务时提交或知悉的信息采取保密措施，不向第三方披露您的信息，除非：
+
+7.1.依据本服务条款或者您与云器科技之间其他服务协议、合同、在线条款等规定可以提供的；
+
+7.2.依据法律法规的规定或行政、司法等职权部门要求应当提供的；
+
+7.3.在不违反本服务条款约定责任的前提下，该保密信息已经公开或能从公开领域获得；
+
+7.4.为提供您要求的服务所必需。
+
+## 八、出口管制及制裁
+
+双方承诺在遵守中华人民共和国出口管制及制裁等法律法规的前提下，同时遵守本合同所适用的其他出口管制及制裁法律法规。您承诺不会将云器科技提供的产品或服务用于适用的出口管制及制裁法律法规禁止的用途。非经相关主管机关许可，您及您授权使用云器科技产品或服务的其他个人或实体不会通过云器科技产品或服务向适用的出口管制及制裁法律法规禁止的目的地、实体或个人提供受管控的产品、技术、软件或服务。
+
+## 九、信息安全事件
+
+云器科技将基于云器科技应急响应规则及时响应信息安全事件，并依据国家法律法规的要求、遵照相关安全事件处理标准管理信息安全事件。当发生涉及您相关资产的信息安全事件时，我们会依法及时将事件相关的情况通过邮件、信函、电话、推送通知等方式告知，您也可通过工单、客服电话、大客户经理电话等方式主动联系我们。
+
+## 十、责任范围和责任限制
+
+10.1.您知悉并同意，您应承担因您使用本服务、违反本服务条款或在您的账户下采取的任何行动而导致的任何第三方索赔。如果由此引起云器科技及其关联公司、员工、客户和合作伙伴被第三方索赔的，您应负责处理，并赔偿云器科技及其关联公司由此遭受的全部损失和责任。
+
+10.2.在适用法律许可的范围内，云器科技不对与本服务条款有关或由本服务条款引起的任何间接的、惩罚性的、特殊的、派生的损失承担赔偿责任。
+
+10.3.云器科技在此提示，您在使用云器科技服务期间应当遵守中华人民共和国的法律，不得危害网络安全，不得利用云器科技的服务从事侵犯他人名誉、隐私、知识产权和其他合法权益的活动。云器科技不对您使用云器科技服务的违法或违约行为承担任何责任。
+
+10.4.您知悉并同意，云器科技在对服务进行公测、邀测等您免费试（使）用服务期间或免费服务额度内，虽然云器科技会对服务可用性和可靠性提供支撑，但将不对任何服务可用性、可靠性做出承诺，云器科技亦不对您使用或不能使用云器科技服务的工作或结果承担任何责任。云器科技保留日后对该等免费服务收取费用的可能性，收取服务费用之前，云器科技将另行通知您。
+
+## 十一、不可抗力和意外事件
+
+云器科技的网站及云服务是按照现有技术和条件所能达到的现状提供的，云器科技会尽最大努力保障服务的连贯性和安全性，但不能随时预见和防范法律、技术以及其他风险，在法律允许的范围内，如因下列不可抗力或意外事件无法正常提供服务的，云器科技不承担任何法律责任：
+
+11.1.不可抗力，即双方所不能预见、并且它的发生及其后果是不能克服和不能避免的客观情况，包括但不限于如下情形：(1)自然灾害如洪水、冰雹、海啸、台风、旱灾、火灾；(2)社会因素如罢工、暴乱、战争及所适用的政策、法律、法规导致不能履行；
+
+11.2.因电力供应故障、通讯网络故障等公共服务因素；
+
+11.3.因黑客攻击、病毒、您自身软硬件设备异常等非云器科技独立责任；
+
+11.4.经提前公告或通知的，云器科技在短时间内的系统维护（包括但不限于排除故障、系统升级、系统扩容、服务器迁移）。
+
+## 十二、法律适用与管辖
+
+本服务条款之效力、解释、变更、执行与争议解决均适用中华人民共和国法律。因本服务条款产生之争议应提交至浙江省杭州市西湖区人民法院解决。
+
+## 十三、通知送达
+
+13.1.您理解并同意，云器科技可通过网页公告、电子邮件、站内信、短信、电话、系统消息以及即时通信等以上一种或多种通知方式向您发送通知，且云器科技可以信赖您所提供的联系信息是完整、准确且当前有效的；上述通知在发送成功后视为已送达。
+
+13.2．除非本服务条款另有约定或云器科技与您另行签订的协议明确规定了通知方式，您发送给云器科技的通知，应当通过云器科技对外正式公布的通信地址、传真号码、电子邮件地址等联系信息进行送达。
+
+## 十四、条款的更新和终止
+
+14.1.云器科技有权对本服务条款及相应的服务规则内容进行变更，并将网页公告、电子邮件、站内信、短信等方式予以公告或通知；若您在本服务条款内容变更后继续使用本服务的，表示您已充分阅读、理解并接受修改后的内容，也将遵循修改后的条款内容。
+
+14.2.在您的账户注销或经双方协商一致终止网站服务的，本服务条款终止。
+
+## 十五、其他
+
+15.1.本服务条款由本服务条款的内容、网站相关页面上展现的规则、规范，服务说明（含操作文档）和您点击确认的其他条款/条件组成，云器科技和您均受其约束，且其中的相关名词可相互引用、解释。
+
+15.2.本服务条款的章节标题仅为行文方便而设，不具有法律或合同效力。
+
+15.3.本服务条款任一条款被视为废止、无效或不可执行，该条款应视为可分的且不影响本服务条款及其他条款的有效性及可执行性。
+
+15.4.云器科技有权在云器科技官网[www.yunqi.tech](http://www.yunqi.tech)上发布公告、发站内通知或邮件通知等方式将本服务的权利义务全部或者部分转移给云器科技的关联公司。
+
+15.5.除另有约定外，出于服务专业性考虑，云器科技亦可能委托关联公司或其他法律主体向您提供云器科技网站上一项或多项具体服务，同时您可能会与该等公司订立相关条款或条件，请您审慎阅读、充分理解条款和条件内容，选择接受或不接受该条款和条件。
+
+15.6.本服务条款项下之保密条款、知识产权条款、法律适用与管辖条款以及性质上理应存续的其他条款（如对注册信息的真实性保证等），不因本条款的终止而失效。

package/bin/skills/lakehouse-doc/references/user-external-funciton.md

@@ -0,0 +1 @@
+^

package/bin/skills/lakehouse-doc/references/user-identification.md

@@ -0,0 +1,58 @@
+# 用户身份
+
+云器采用了灵活的用户及身份管理体系，允许对不同层级、不同类型的用户进行区分和权限控制。
+
+本帮助文档将详细介绍：
+
+* 用户层级：包括全局账号用户和服务实例内用户。
+* 用户类型：包括普通用户和服务用户。
+
+***
+
+## 用户层级
+
+云器中的用户可根据其作用范围划分为两个层级：**全局账号用户** 和 **Lakehouse服务实例内用户**。这两种层级帮助企业在多云多区域的服务实例环境下，既能够全局管理账号下的所有用户，又能够根据服务实例区分不同用户的权限范围。
+
+:-: ![](.topwrite/assets/用户层级.png =740)
+
+^
+
+### 全局用户
+
+全局用户是在云器平台上进行全局管理和配置的用户。每个用户是系统内的一个独立身份，具备独立的用户名和密码。在一个账户中，用户名（user_name）必须唯一，用以区分不同的用户身份。不同用户之间的手机号、邮箱等信息可以重复。
+
+:-: ![](.topwrite/assets/image_1735044530952.png =800)
+
+^
+
+### 服务实例用户
+
+服务实例内用户是在具体的服务实例（instance）范围内的用户。用户只有在服务实例内，才可被授予该服务实例内的各类角色和权限。全局用户会被自动同步至各服务实例，成为服务实例用户。因此服务实例用户的创建、删除和启用状态的管理也都在全局的“用户管理”页面进行。服务实例内的“用户”列表仅提供用户信息查询功能。
+
+服务实例用户默认被授予“instance_user”角色，无任何数据和功能权限。需要进一步被授予实例或工作空间内的权限才可以进行操作。
+
+:-: ![](.topwrite/assets/image_1735044611663.png =800)
+
+***
+
+## 用户类型
+
+Lakehouse 中的用户类型主要分为 **普通用户** 和 **服务用户**：
+
+普通用户通常代表一个企业内的实际人员，在系统中进行日常的数据查询、分析、管理等操作；
+
+服务用户是为了满足自动化流程或系统级操作需求而创建的特殊类型用户。服务用户**不允许**在Web端登录，但可使用JDBC连接或被配置于调度任务中，用于调度任务、程序对Lakehouse进行自动化或系统级的调用。
+
+在Lakehouse中，服务用户包含**系统服务用户** 和 **自定义服务用户**：
+
+其中，**系统服务用户**是Lakehouse在账户初始化时默认创建的，用于访问服务实例内的资源以实现部分系统功能的用户身份；
+
+**自定义服务用户**是用户可自助创建的，用于用户自身业务应用使用的身份。
+
+Lakehouse内的系统服务用户默认为禁用状态。仅当用户使用的功能涉及系统服务用户时，系统才会提示用户“启用”，包括：
+
+sysservice_clickzetta —— 在SYS工作空间中操作临时系统资源和系统数据。
+
+sysservice_auto_mv —— 启用auto_mv时开启，用于读取job_history并管理auto_mv使用的临时mv。
+
+^

package/bin/skills/lakehouse-doc/references/user_permission_grand_guide.md

@@ -0,0 +1,322 @@
+# Lakehouse用户授权入门指导
+
+## 1. 引言
+
+云器Lakehouse采用了灵活且强大的权限管理体系，通过基于角色的访问控制（RBAC）实现细粒度的数据访问管理。本指南将结合理论知识和实际操作，详细介绍Lakehouse的用户授权管理流程，帮助管理员高效管理数据资源访问权限。
+
+本指南也通过一个实际实验来验证这个过程。
+
+^
+
+:-: ![](.topwrite/assets/image_1747735632210.png =796)
+
+^
+
+## 2. 用户管理体系架构
+
+### 2.1 用户层级关系
+
+云器Lakehouse的用户管理体系分为两个层级：
+
+* **全局用户**：在云器平台上全局管理的用户，每个用户拥有独立的身份，具备唯一用户名和密码。
+* **工作空间用户**：在特定Lakehouse服务实例中的特定工作空间里的用户，仅在工作空间内内可被授予相应角色和权限。
+
+> **重要概念**：全局用户会自动同步至各服务实例，成为服务实例用户，为所有空间供应用户身份，但是需要进一步在空间内授权。因此，当我们在工作空间内通过SQL创建用户时，本质上是将已存在于服务实例中的用户添加到当前工作空间，是一种工作空间级别的授权操作，而非真正意义上的用户创建。这就是为什么在工作空间内使用SQL创建用户时不需要指定密码。
+
+### 2.2 用户类型
+
+* **普通用户**：代表企业内实际人员，用于日常的数据查询、分析和管理操作。
+* **服务用户**：满足自动化流程或系统级别操作的特殊用户，不允许Web登录，但可用于JDBC连接或调度任务。
+
+## 3. 角色管理基础
+
+### 3.1 角色定义与类型
+
+角色是一种授权管理工具，将多个权限点集中在一起，再授予给一个或多个用户。Lakehouse中的角色分为两种类型：
+
+* **预置角色**：系统自动配置的角色，不可删除，可以修改权限\*，可直接授予给用户。
+* **自定义角色**：用户根据业务需求创建的角色，可灵活配置与维护权限。
+
+\*说明：预置角色中，工作空间管理员（workspace\_admin）和实例管理员（instance\_admin）不允许修改权限。其他预置角色可以修改权限。
+
+### 3.2 角色级别
+
+* **实例角色（Instance Role**）：用于实例级资源和操作的全局管控，或跨多个工作空间的权限授予。
+* **工作空间角色（Workspace Role**）：作用于特定工作空间内的对象，如schema、table、virtual cluster等。
+
+## 4. 实际操作步骤
+
+### 4.1 用户管理操作
+
+**1. 在工作空间中添加用户**
+
+```sql
+-- 将已存在于服务实例的用户添加到当前工作空间
+CREATE USER username;
+```
+
+**2. 查看工作空间内的用户**
+
+```sql
+-- 显示当前工作空间内的所有用户
+SHOW USERS;
+```
+
+**3. 删除工作空间内的用户**
+
+```sql
+-- 从当前工作空间移除用户（不影响服务实例中的用户）
+DROP USER username;
+```
+
+### 4.2 角色管理操作
+
+**1. 创建自定义角色**
+
+```sql
+-- 创建工作空间级别的自定义角色
+CREATE ROLE role_name;
+```
+
+**2**. **查看角色**
+
+```sql
+-- 查看当前工作空间内的所有角色
+SHOW ROLES;
+```
+
+**3. 删除角色**
+
+```sql
+-- 删除自定义角色
+DROP ROLE role_name;
+```
+
+### 4.3 权限授予操作
+
+**1. 授予Schema级别权限**
+
+```sql
+-- 授予角色在Schema上创建表和视图的权限
+GRANT CREATE TABLE, CREATE VIEW ON SCHEMA schema_name TO ROLE role_name;
+```
+
+**2. 授予表级别权限**
+
+```sql
+-- 授予角色对表的查询、修改等权限
+GRANT SELECT, INSERT, UPDATE, DELETE, ALTER ON TABLE schema_name.table_name TO ROLE role_name;
+```
+
+**3. 授予视图权限**
+
+```sql
+-- 授予角色对视图的查询权限
+GRANT SELECT VIEW schema_name.view_name TO ROLE role_name;
+```
+
+**4. 将角色授予用户**
+
+```sql
+-- 将角色授予给用户
+GRANT ROLE role_name TO USER username;
+```
+
+### 4.4 权限撤销操作
+
+**1. 撤销对象权限**
+
+```sql
+-- 撤销表的SELECT权限
+REVOKE SELECT ON TABLE schema_name.table_name FROM ROLE role_name;
+```
+
+**2. 撤销用户角色**
+
+```sql
+-- 从用户撤销角色
+REVOKE ROLE role_name FROM USER username;
+```
+
+## 5. 权限验证与审计
+
+### 5.1 查询用户权限
+
+```sql
+-- 查看用户被授予的角色和权限
+SHOW GRANTS TO USER username;
+```
+
+### 5.2 查询角色权限
+
+```sql
+-- 查看角色被授予的具体权限
+SHOW GRANTS TO ROLE role_name;
+```
+
+### 5.3 查询对象权限被授出的权限
+
+```sql
+-- 查看表被授出的具体权限及授出给哪个角色/用户
+SHOW GRANTS ON table schema_name.table_name;
+```
+
+### 5.3 查询当前用户
+
+```sql
+-- 获取当前登录用户
+SELECT CURRENT_USER();
+```
+
+##
+
+## 6. 完整实验案例
+
+以下是一个完整的用户授权管理实践案例，从创建用户到清理环境的全流程：
+
+### 6.1 创建测试用户
+
+```sql
+-- 创建测试用户（将服务实例用户添加到工作空间）
+CREATE USER test01;
+CREATE USER test02;
+
+-- 验证用户创建是否成功
+SHOW USERS;
+```
+
+### 6.2 创建测试环境
+
+```sql
+-- 创建测试Schema和表
+CREATE SCHEMA IF NOT EXISTS permission_test_schema;
+
+CREATE TABLE IF NOT EXISTS permission_test_schema.permission_test_sales_data (
+    id INT,
+    product_name VARCHAR(100),
+    sale_date DATE,
+    amount DECIMAL(10,2)
+);
+
+-- 插入测试数据
+INSERT INTO permission_test_schema.permission_test_sales_data VALUES 
+    (1, 'Product A', date '2025-01-15', 1500.00),
+    (2, 'Product B', date '2025-01-20', 2300.50),
+    (3, 'Product C', date '2025-02-05', 800.75);
+```
+
+### 6.3 创建和授权角色
+
+```sql
+-- 创建角色
+CREATE ROLE permission_test_developer_role;
+CREATE ROLE permission_test_analyst_role;
+
+-- 配置角色权限
+-- 授予开发者角色更多权限
+GRANT CREATE TABLE, CREATE VIEW ON SCHEMA permission_test_schema TO ROLE permission_test_developer_role;
+GRANT SELECT, INSERT, UPDATE, DELETE, ALTER ON TABLE permission_test_schema.permission_test_sales_data TO ROLE permission_test_developer_role;
+
+-- 授予分析师角色只读权限
+GRANT SELECT ON TABLE permission_test_schema.permission_test_sales_data TO ROLE permission_test_analyst_role;
+
+-- 将角色授予用户
+GRANT ROLE permission_test_developer_role TO USER test01;
+GRANT ROLE permission_test_analyst_role TO USER test02;
+```
+
+### 6.4 验证权限配置
+
+```sql
+-- 查看用户权限
+SHOW GRANTS TO USER test01;
+SHOW GRANTS TO USER test02;
+
+-- 查看角色权限
+SHOW GRANTS TO ROLE permission_test_developer_role;
+SHOW GRANTS TO ROLE permission_test_analyst_role;
+```
+
+### 6.5 环境清理
+
+```sql
+-- 撤销角色权限
+REVOKE ROLE permission_test_developer_role FROM USER test01;
+REVOKE ROLE permission_test_analyst_role FROM USER test02;
+
+-- 删除视图和表
+DROP VIEW IF EXISTS permission_test_schema.permission_test_sales_view;
+DROP TABLE IF EXISTS permission_test_schema.permission_test_sales_data;
+
+-- 删除角色
+DROP ROLE permission_test_developer_role;
+DROP ROLE permission_test_analyst_role;
+
+-- 删除Schema
+DROP SCHEMA IF EXISTS permission_test_schema;
+
+-- 移除用户
+DROP USER test01;
+DROP USER test02;
+
+-- 验证用户是否已移除
+SHOW USERS;
+```
+
+## 7. 最佳实践与注意事项
+
+### 7.1 用户管理最佳实践
+
+* **理解用户层级**：区分全局账号用户和服务实例用户，明确`CREATE USER`在工作空间中的实际作用。
+* **用户创建前检查**：使用`SHOW USERS`确认用户是否已存在于工作空间中，避免冗余操作。
+* **服务用户规范命名**：对于自动化流程的服务用户，建议以特定前缀命名，如`svc_`，以便区分。
+
+### 7.2 角色管理最佳实践
+
+* **遵循最小权限原则**：角色权限设计应遵循最小权限原则，只授予必要的权限。
+* **角色层次设计**：设计层次化的角色结构，便于权限管理和维护。
+* **角色命名规范**：采用规范的命名约定，如`[业务域]_[功能]_role`格式。
+
+### 7.3 权限审计与维护
+
+* **定期审计**：定期审查用户权限和角色分配，确保符合安全要求。
+* **权限变更记录**：记录重要的权限变更操作，便于追溯。
+* **测试验证**：权限变更后，使用相关用户身份测试验证权限是否正确生效。
+
+## 8. 常见问题与解答
+
+**Q1: 为什么在工作空间中创建用户时不需要指定密码**？
+
+A1: 这是因为`CREATE USER`命令在工作空间中执行时，实际上是将已存在于服务实例中的用户添加到当前工作空间，是一种授权操作，而非真正创建新用户。用户的身份验证信息（如密码）是在全局账号层面管理的。
+
+**Q2: 用户在一个工作空间被删除后，是否影响其在其他工作空间的访问**？
+
+A2: 不影响。`DROP USER`命令只是将用户从当前工作空间移除，不影响用户在其他工作空间的权限和访问，也不会删除服务实例中的用户信息。
+
+**Q3: 如何查看某个具体对象（如表）的所有授权情况**？
+
+A3: 通过show grants on <对象名称>的语句查看。也可以通过查询information schema查看。
+
+**Q4: 预置角色和自定义角色有什么区别**？
+
+A4: 预置角色是系统自动配置的，不可删除，适合常见场景；自定义角色由用户创建，可灵活配置权限，适合特定业务需求。
+
+**Q5: 一个用户可以同时拥有多个角色吗**？
+
+A5: 可以。用户可以被授予多个角色，将获得这些角色的所有权限的并集。
+
+## 9. 总结
+
+云器Lakehouse的用户授权管理体系既强大又灵活，通过基于角色的访问控制模式，可以实现细粒度的权限管理。本指南通过理论解释和实践操作相结合的方式，全面介绍了从用户管理到权限审计的完整流程，帮助管理员更高效地管理数据访问安全。
+
+在实际应用中，应当充分理解用户层级关系，合理规划角色和权限架构，定期进行权限审计，确保数据安全的同时提高授权管理效率。
+
+***
+
+*参考文档*
+
+* [Lakehouse用户身份管理文档](user-identification.md)
+* [Lakehouse角色权限管理文档](role-privlilige-manage.md)
+* [安全功能概述](security_overview.md)
+
+^

package/bin/skills/lakehouse-doc/references/using-google-authenticator.md

@@ -0,0 +1,48 @@
+# 如何绑定 Google Authenticator 进行多因子身份验证 (MFA)
+
+【区域限制】使用 Google Authenticator 进行多因子身份验证（MFA）仅在阿里云-新加坡以及 AWS-新加坡两个区域有效。
+
+^
+
+为了保护您的账户安全，我们支持使用 Google Authenticator 进行多因子身份验证 (MFA)。下面是详细的绑定步骤，帮助您在账户中启用 Google Authenticator。
+
+## 1. 下载并安装 Google Authenticator
+
+首先，请确保您在手机上安装了 Google Authenticator 应用。您可以从以下位置下载：
+
+* **iOS 用户**：访问 [App Store](https://apps.apple.com/us/app/google-authenticator/id388497605)
+* **Android 用户**：访问 [Google Play Store](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2)
+
+## 2. 登录到您的账户
+
+在您的电脑或移动设备上打开浏览器，并登录到您的账户。
+
+## 3. 添加云器账号动态密码
+
+登录成功后，点击“添加动态密码”或右下角的“+”符号，添加账号。
+
+可以选择“扫描二维码”方式，扫描云器 Lakehouse 上生成的二维码，完成账户添加；
+
+也可以选择“输入设置密钥”方式，手动输入密钥，并选择“密钥类型”为“基于时间”，点击“添加”后即可完成动态密码的添加。
+
+## 4. 完成验证
+
+成功添加账户后，您将在 Google Authenticator 应用首页上看到刚添加的账户，以及对应的 6 位验证码。请在有效期内将验证码输入绑定窗口下方的验证码输入框中，点击“提交验证”。验证通过后，即完成绑定操作。
+
+## 5. 重置绑定
+
+您可以在登录验证弹窗或登录后的“账户信息”页面内，重置您绑定的 Google Authenticator。重置绑定时，需要验证您当前用户的手机号，验证成功后，重复上述第3、第4步即可完成重新绑定。
+
+## 常见问题
+
+### 1. 如果我换了手机怎么办？
+
+您需要在新手机上重新下载 Google Authenticator 并登录您的 Google 账户。Google Authenticator 会保留您已绑定的账户。
+
+### 2. 验证码失效怎么办？
+
+请检查您的手机时间是否准确。如果问题仍然存在，尝试重新同步 Google Authenticator 应用的时间设置。
+
+### 3. 我无法访问我的账户，该怎么办？
+
+如果您无法通过 Google Authenticator 验证身份，请尝试重置您绑定的 Google Authenticator 账户。如果重置后仍无法正常验证，请您联系客户支持以寻求帮助。