@clickzetta/cz-cli-darwin-x64 0.3.1

package/bin/skills/lakehouse-doc/references/access-control-general.md

@@ -0,0 +1,82 @@
+# 访问控制概览
+
+本文介绍了云器Lakehouse的访问控制总体框架和关键概念。通过了解访问控制的核心原理和相关要素，用户与管理员可在云器Lakehouse平台中安全、灵活地分配与管理权限，从而确保数据与元数据对象的合规使用。
+
+## 1. 访问控制模型
+
+云器Lakehouse采用灵活的访问控制机制，支持两种主要模型：
+
+* **访问控制列表（ACL）**： 将权限直接分配给用户（User）。在小型或简单场景中，这种方式较为直观；但在大型环境中，管理难度会随用户数量及权限需求增加而上升。
+
+:-: ![](.topwrite/assets/ACL.png =391)
+
+* **基于角色的访问控制（RBAC）**： 首先为角色（Role）分配权限，然后将角色授予用户，从而实现权限的间接管理。RBAC有助于简化复杂环境下的权限维护。当业务需求变化时，只需在角色层面调整权限，而无需为每个用户单独维护。
+
+:-: ![](<.topwrite/assets/Untitled Diagram.drawio.png> =460)
+
+与传统的DAC（Discretionary Access Control）不同，云器Lakehouse不直接支持在对象所有者基础上继续二次授权的DAC模式。建议采用RBAC，对权限进行集中、可控的统一管理。
+
+在云器Lakehouse中，RBAC和ACL的授权方式是并存的。一个用户可以同时被直接授予多个权限，并同时被授予多个角色。当该用户在执行任何操作时，其权限范围均为其被“直接授予的权限”和“被授予的角色”权限之和。用户无需声明其当前以何种身份或角色行使操作，鉴权系统将遍历该用户所有当前拥有的权限并给出鉴权结果。
+
+## 2. 对象及其所有权
+
+### 对象（Object）
+
+元数据对象是可被授予权限的实体，包括工作空间（workspace）、schema、table、view、virtual cluster等。这些对象在创建后默认由创建者拥有其全部权限，但无法依此进行二次授权。访问对象时，如果未被显式授权，则默认拒绝。
+
+云器Lakehouse中所有的元数据对象，详见授权文档。
+
+### 对象所有权（Ownership）
+
+初始创建该对象的用户（user）拥有对象的所有权（ownership）。拥有对象的角色可以对对象执行包括修改、删除在内的全部操作。当前暂不支持对对象所有权的转移。
+
+为了实现更灵活的权限分配机制和更安全的访问控制，推荐通过角色权限体系，使用服务实例管理员（instance\_admin）角色和工作空间管理员（workspace\_admin）角色进行统一的授权方式管理对象访问。
+
+## 3. 角色层次与类型
+
+### 角色（Role）
+
+角色是权限的载体。当为角色分配权限点后，通过将该角色授予给用户，可实现权限的间接传递。当用户拥有多个角色时，其权限为这些角色权限集合的并集。
+
+### 角色层次（Role Hierarchy）
+
+角色可分为两个层级范围：
+
+* **实例角色（Instance Role）**：用于实例级资源和操作的全局管控。
+* **工作空间角色（Workspace Role）**：作用于特定工作空间范围内的对象（如schema、table、virtual cluster等）。工作空间角色以工作空间为边界，互不影响。
+
+:-: ![](.topwrite/assets/role-levels.drawio.png =531)
+
+这种层次结构有助于在全局与局部范围实现精细的访问控制。当业务规模扩大、权限需求复杂时，可以通过在实例角色与工作空间角色间建立清晰的角色层次，简化权限分配。
+
+### 预置角色与自定义角色
+
+云器Lakehouse提供了若干预置角色（如实例管理员、数据源管理员、空间管理员等）以满足基础使用场景。用户还可在工作空间内创建自定义角色（通过SQL语句），从而灵活定义与调整符合自身业务需求的权限集。
+
+云器Lakehouse中所有的预置角色及其默认权限，详见授权文档。
+
+## 4. 权限及授权管理
+
+### 权限（Privilege）
+
+权限定义了对对象所能执行操作的最小访问单元，包括对表的查询、插入数据、对schema的管理或对虚拟集群的使用等。权限点可细粒度地定义用户对对象进行的读写改删操作。
+
+^
+
+云器Lakehouse中所有元数据对象及其权限点，详见授权文档。
+
+### 授权与回收（Grant & Revoke）
+
+使用 `GRANT` 与 `REVOKE` 命令对元数据对象授权或回收权限，权限变更即时生效。在Web界面中也可进行相应的可视化操作。
+
+示例：
+
+`GRANT SELECT ON TABLE my_table TO ROLE analyst_role;`
+
+`REVOKE INSERT ON TABLE my_table FROM ROLE analyst_role;`
+
+业务对象（如脚本、任务和数据质量规则）暂不支持SQL细粒度授权，其访问权限通过授予对应预置角色实现。
+
+## 无超级用户概念
+
+云器Lakehouse中不存在可绕过权限检查的超级用户（super-user）或超级角色（super-role）。所有访问操作都必须明确获得授权，确保数据访问的安全与合规。

package/bin/skills/lakehouse-doc/references/access-control.md

@@ -0,0 +1,240 @@
+# 授权
+
+## 1. 访问控制模型
+
+云器Lakehouse的所有元数据对象均基于访问控制体系进行授权访问。云器Lakehouse支持的访问控制模型包括**访问控制列表**（ACL，Access Control List）和 **基于角色的访问控制**（RBAC，Role-Based Access Control）两种。
+
+* **访问控制列表**（**ACL，Access Control List**）
+
+权限点被直接授予用户（User）。
+
+* **基于角色的访问控制**（RBAC，Role-Based Access Control）
+
+权限点被授予角色（Role），用户通过被授予角色而获得相应的权限。
+
+* **DAC（Discretionary Access Control）模式兼容**
+
+云器Lakehouse不直接支持DAC模式。DAC模式指：元数据对象（table、view、virtual cluster等）的所有者（owner）默认拥有该元数据对象的所有权限，且可将权限授予其他主体。云器Lakehouse中的元数据对象被创建后，其创建者默认具备该对象的所有权限，但无法进行二次授权。
+
+^
+
+云器Lakehouse访问控制体系中的主要概念包括：
+
+* **元数据对象（Object）**
+
+元数据对象是一个可以被授出访问权限的实体。一个元数据对象包含多个权限点，除非通过明确授予允许，否则相关操作将被拒绝。
+
+* **角色（Role）**
+
+角色是一个可以被授予权限的实体。角色可以分配给用户，但不可以分配给其他角色。
+
+* **权限（Privilege）**
+
+权限是对元数据对象访问的最小定义级别。可以使用多个不同的权限点来控制授予操作的范围。
+
+* **用户（User）**
+
+用户是云器 Lakehouse 识别的用户身份，可以是用户身份或服务使用的身份。
+
+## 2. 角色
+
+### 2.1 角色类型
+
+云器Lakehouse中的角色两种：**预置角色**和**自定义角色**。
+
+为便于用户快速完成基本授权并使用产品功能，云器Lakehouse预置了多个角色。预置角色随服务实例创建而自动创建，不可修改权限或删除，但可以被授予用户。
+
+用户可根据自身需要，创建自定义角色，并对该角色授权。自定义角色可随时修改角色的属性、权限范围或删除。目前仅限在工作空间内创建自定义角色，不支持创建实例级别的自定义角色。
+
+### 2.2 角色级别
+
+云器Lakehouse的元数据对象分为“服务实例”（Instance）和“工作空间”（workspace）两个级别，角色也对应分为“实例角色”和“空间角色”两个级别。两个级别的对象没有从属关系，实例级别的角色不具备且不可被授予工作空间级别任何元数据对象（空间用户、空间角色、schema、table、计算集群等）的任何权限。
+
+空间角色以工作空间（workspace）为隔离边界。不同工作空间内，允许存在同名的角色。不同工作空间之间，不允许跨空间将权限授予另一工作空间角色。
+
+### 2.3 预置系统角色
+
+当前系统内预置的角色及权限如下表所示：
+
+|          |          |                    |                                                                                          |                                                        |                                 |
+| -------- | -------- | ------------------ | ---------------------------------------------------------------------------------------- | ------------------------------------------------------ | ------------------------------- |
+| **角色级别** | **角色名称** | **角色代码**           | **具备权限**                                                                                 | **角色说明**                                               | **默认授予**                        |
+| 实例角色     | 实例管理员    | instance\_admin    | 工作空间——创建工作空间——查看实例角色——授予/解除                                                              | 管理实例内所有的工作空间的创删，并可管理实例内实例级角色的授予和解除。实例管理员不具备任何工作空间内的权限。 | 创建服务实例的用户。可授予多名用户，至少授予一名用户。     |
+|          | 实例用户     | instance\_user     | 数据源——查看运维中心——查看                                                                          | 所有服务实例内用户默认被授予，不可被解除。                                  | 所有用户默认被授予且不可解除。                 |
+|          | 数据源管理员   | datasource\_admin  | 数据源——管理                                                                                  | 拥有数据源的管理权限，可增删改所有数据源对象。                                |                                 |
+|          | 数据资产管理员  | datacatalog\_admin | 业务类目——管理元数据对象——查看                                                                        | 拥有数据资产内功能和对象的管理权限。                                     |                                 |
+|          | 数据资产用户   | datacatalog\_user  | 业务类目——查看元数据对象——查看                                                                        | 拥有数据资产的只读权限。                                           |                                 |
+|          | 实例SRE管理员 | instance\_sre      | 运维中心——查看任务——管理任务实例——管理作业——管理                                                             | 拥有服务实例内所有任务实例的提交、修改、下线、重跑等运维操作权限。                      |                                 |
+| 空间角色     | 空间管理员    | workspace\_admin   | 空间成员——管理空间角色——管理环境——管理任务目录——管理任务脚本——管理运维中心——管理任务实例——发布元数据的权限 - ALL数据的权限 - ALL计算资源的权限-ALL | 拥有工作空间所有对象的所有权限，并可二次授权。可管理空间内成员和角色。                    | 默认授予创建工作空间的用户。可授予多名用户，至少授予一名用户。 |
+|          | 空间成员     | workspace\_user    | 空间成员——查看空间角色——查看环境——查看任务目录——查看任务脚本——查看运维中心——查看任务实例——查看元数据 - 只读                           | 拥有空间内任务、环境和所有数据对象的只读权限，并拥有空间内角色和成员的只读权限。               | 不默认授予，需要主动授予。                   |
+|          | 开发       | workspace\_dev     | 空间成员——查看空间角色——查看任务目录——管理任务脚本——开发作业（Job）——管理元数据 —— ALL数据 —— ALL任务开发脚本——发布计算集群——使用         | 拥有空间内任务目录的管理权限、任务脚本的编辑权限及空间内所有数据对象的读和写权限。              |                                 |
+
+### 2.4 用户自定义角色
+
+当前仅支持在工作空间内，使用SQL语法创建自定义角色。创建自定义角色的语法为：
+
+```Plain
+CREATE ROLE <role_name>;
+```
+
+仅被授予工作空间的空间管理员角色（workspace\_admin）的用户，可在工作空间内创建自定义角色，并可随时对自定义角色进行权限管理和删除操作。
+
+## 3. 权限（Privileges）
+
+### 3.1 权限定义
+
+访问控制权限的授予决定了用户可以对特定对象执行指定操作。对于云器Lakehouse中的每个元数据对象对象，都有一组可以授予的权限。云器Lakehouse中的所有元数据对象及其拥有的权限点，详见 权限点 文档。
+
+元数据对象有三种表达方式：
+
+1）以对象类型加对象名称，表达已被创建的对象。例如：table mytable（名称为mytable的表） 或 vcluster myvcluster（名称为myvcluster的计算集群）；
+
+2）以关键字ALL 加对象类别，表达现有和未来所有该类型的对象。例如：ALL tables in schema my\_schema （名称为my\_schema的schema下的所有table类型对象）；
+
+3）以关键字ALL 加关键字 OBJECTS 表达现有和未来的所有类型的所有对象，例如：ALL OBJECTS in workspace my\_workspace（名称为my\_workspace的工作空间下所有的对象）。
+
+权限点有两种表达方式：
+
+1）以具体权限点表达，例如：select，read metadata，update 等；
+
+2）以关键字ALL加关键字PRIVILEGES，表达所有权限点，例如：ALL PRIVILEGES on table mytable（mytable表的所有权限点）。
+
+在使用SQL语句进行权限管理时，使用 GRANT <权限点> 和 REVOKE <权限点> 命令。在GRANT <权限点>语句末尾加上with grant option，表示在授予该权限点的同时，将允许被授予者将该权限点再授予其他角色或用户。
+
+### 3.2 元数据对象
+
+Lakehouse中的元数据对象及其父级对象如下表所示：
+
+|                   |           |
+| ----------------- | --------- |
+| **元数据对象**         | **父级对象**  |
+| workpace          | instance  |
+| share             | instance  |
+| network policy    | instance  |
+| schema            | workspace |
+| virtual cluster   | workspace |
+| connction         | workspace |
+| table             | schema    |
+| view              | schema    |
+| materialized view | schema    |
+| dynamic table     | schema    |
+| table stream      | schema    |
+| volume            | schema    |
+| index             | schema    |
+| function          | schema    |
+| job               | schema    |
+
+元数据对象均可以通过SQL进行授权。
+
+### 3.3 业务对象
+
+除元数据对象外，在数据开发、数据治理过程中，产生了业务对象，如下表所示：
+
+|                    |                       |
+| ------------------ | --------------------- |
+| **业务对象**           | **业务类别**              |
+| 脚本（Script）         | 数据开发  （Development）   |
+| 任务和实例（task）        | 监控规则（monitor rules）   |
+|                    | 通知策略（announce policy） |
+| 数据质量（data quality） | 质量规则（dqc rule）        |
+
+业务对象不可通过SQL进行授权。用户通过被授予包含业务对象权限的预置角色来获取相关权限。暂不支持细粒度授权。
+
+### 3.4 ALL 对象
+
+ALL 对象是一种特殊的对象，表达一类对象下**当前**和**未来**的所有个体。例如：all tables表达当前和未来的所有table；all vclusters表达当前和未来的所有计算集群。
+
+通过`ALL`关键字可以一次性为对象集合（如某schema下的所有表）授予权限，从而减少繁琐的重复授权操作。同时，ALL关键字提供“Future Grants”（未来授权）机制，例如：`all tables in schema s1` 表示schema s1内当前和未来可能新增的所有table类型对象。
+
+ALL 对象在使用时，需要和关键字“in”一起使用，以明确ALL 对象描述的范围，关键字“in”之后跟随的是ALL 对象的父级对象。例如：all tables in schema my\_schema; all vclusters in workspace my\_workspace。
+
+ALL 对象的一种特殊用法是用于指代某父级对象下的所有自级对象，例如：all objects in schema my\_schema，表达my\_schema下的所有类型对象，包括table、view、functions等。
+
+注意：尽管ALL对象可以提升授权操作的效率，但请谨慎使用all objects的方式授权。仅在确认all objects指代的范围符合授权预期时，再使用all objects进行指代，避免授权范围超出预期。
+
+^
+
+### 3.5 权限点
+
+元数据对象的所有操作类型如下：
+
+|                  |          |                                                  |
+| ---------------- | -------- | ------------------------------------------------ |
+| **操作**           | **操作类型** | **说明**                                           |
+| Alter            | DDL      | 修改对象的属性                                          |
+| Create           | DDL      | 创建对象                                             |
+| Desc             | DDL      | 显示单个对象的所有属性                                      |
+| Drop             | DDL      | 删除一个对象                                           |
+| Set              | DDL      | 设置参数                                             |
+| Unset            | DDL      | 清空一个参数的设置                                        |
+| Show             | DDL      | 显示该对象的列表                                         |
+| Truncate         | DDL      | 删除表里的数据                                          |
+| Undrop           | DDL      | 恢复一个被删除的对象                                       |
+| Use              | DDL      | 在一个Session'上下文里使用该对象，比如use database、use vcluster |
+| Cancel           | DDL      | 取消对象（job对象上应用）                                   |
+| Select           | DML      | 表数据操作，查询记录                                       |
+| Delete           | DML      | 表数据操作，删除记录                                       |
+| Insert           | DML      | 表数据操作，插入记录                                       |
+| Insert Overwrite | DML      | 表数据操作，插入并覆盖记录                                    |
+| Merge            | DML      | 表数据操作，合并记录                                       |
+| Update           | DML      | 表数据操作，更新记录                                       |
+| Replace          | DML      | 表数据操作，替换记录                                       |
+| Copy Into        | DML      | 将文件里的数据加载到表中                                     |
+| Get              | DML      | 文件操作，下载文件                                        |
+| List             | DML      | 文件操作，获取文件列表                                      |
+| Put              | DML      | 文件操作，上传文件                                        |
+| Remove           | DML      | 文件操作，删除文件                                        |
+| Grant            | DCL      | 授予权限                                             |
+| Revoke           | DCL      | 解除权限                                             |
+
+业务对象的所有操作类型如下：
+
+| **对象**                | **包含操作**                                                                                  |
+| --------------------- | ----------------------------------------------------------------------------------------- |
+| 脚本（Script）            | 查看&#xA;修改代码&#xA;调度配置 【“开发”功能页面】&#xA;格式化&#xA;保存&#xA;发布&#xA;运行&#xA;回滚 （版本）                  |
+| 任务和实例（task）           | 查看&#xA;调度配置 【“开发”功能页面】&#xA;暂停&#xA;补数据&#xA;启动&#xA;下线&#xA;重跑&#xA;置成功/置失败&#xA;恢复             |
+| 监控规则（monitor rules）   | 新建监控规则&#xA;查看监控规则&#xA;查看告警事件&#xA;订阅/取消订阅&#xA;编辑规则&#xA;开启规则&#xA;关闭规则&#xA;抑制告警事件&#xA;关闭告警事件 |
+| 通知策略（announce policy） | 查看通知历史&#xA;查看通知策略&#xA;新建通知策略&#xA;编辑通知策略&#xA;删除通知策略&#xA;复制通知策略&#xA;新建通知配置&#xA;修改通知配置       |
+| 质量规则（dqc rule）        | 新建规则&#xA;查看规则&#xA;查看校验对象&#xA;查看校验结果&#xA;编辑规则&#xA;删除规则&#xA;试跑规则&#xA;校验结果置成功/置失败&#xA;再次校验   |
+
+每个操作都与一个唯一的权限点相对应。当被授予某个对象的某权限点时，即可对该对象执行对应的操作。
+
+### 3.6 ALL 权限点
+
+ALL 权限点是各类元数据对象上均存在的一个权限点，表达该对象的所有权限点。ALL权限点是一个**独立**的权限点，与其他权限点并非指代关系。因此授予ALL权限点不会覆盖授予其他权限点，解除ALL权限点也不会解除其他权限点。
+
+例如：对user my\_user 先后授予了example\_table的select和ALL权限点。则此时my\_user用户由于被授予了ALL权限点，可以对example\_table执行所有操作；在查询my\_user用户对example\_table的权限时，显示同时拥有的select和all权限点的授权。当对my\_user用户解除ALL权限点的授权时，my\_user用户仍具备对example\_table进行select操作的权限。
+
+使用ALL权限点可以快速完成对一个对象所有权限的授予，例如：
+
+```SQL
+Grant all privileges on table example_table to user my_user;
+```
+
+## 4. 授权（Grants）
+
+### 4.1 授权定义
+
+授权的基本模型是将“**对象**”的“**权限点**”授予“**身份**”。其中对象可以是元数据对象或业务对象，权限点是这个对象包含的一个或多个权限点，身份目前指“用户（user）”和“角色（role）”两种。
+
+### 4.2 授权关系管理
+
+一个用户（user）可以通过两种方式获得某个对象的权限：1）直接被授予该对象的权限；2）通过被授予拥有该对象权限的角色获得。
+
+当一个用户同时被授予多个角色时，该用户的权限范围是多个角色权限范围的并集。
+
+角色不允许被授予给角色。
+
+### 4.3 查看授权
+
+支持以被授予身份和被授权对象两个角度来查看授权。
+
+从被授权身份角度查看，例如：show grants to user my\_user; 将显示该用户被授予的所有角色，以及被**直接**授予的权限。
+
+从被授权对象角度查看，例如：show grants on table my\_table; 将显示该对象所有被授出的权限，包含授予用户的和角色的。
+
+### 4.4 授权操作
+
+元数据对象的授权操作，可以使用SQL操作，详见GRANT和REVOKE语句的相关介绍。也可以在“管理”-“安全”-“权限”页面中进行Web端操作。
+
+业务对象的授权目前仅支持通过授予预置角色的方式授予，暂不支持单独对业务对象授权。

package/bin/skills/lakehouse-doc/references/account_user_management.md

@@ -0,0 +1,105 @@
+# 管理用户
+
+本文介绍如何在账户中添加更多用户并管理这些用户。
+
+具备账户管理员角色的用户，可以通过管理中心的“用户管理”功能对账户下的用户进行管理操作。您可以通过页面导航进入该功能页面。
+
+## 配置账号管理员
+
+仅具备账户管理员（Account\_admin）角色的用户可以对全局用户进行创建和维护。创建云器账户的第一个用户，默认被授予账户管理员角色。
+
+具备账户管理员（Account\_admin）角色的用户可以配置其他用户成为账户管理员角色。账户管理员角色可授予一名或多名用户，但账户中至少需要有一名用户拥有此角色。为避免因账户管理员用户登录异常而影响业务操作，建议至少配置两名用户担任账户管理员角色。
+
+管理账户管理员角色的操作步骤如下：
+
+1. 登录后，在<您的account\_name>.accounts.clickzetta.com/workbench页面点击“用户管理”，找到需要设置为账户管理员的用户，点击其右侧的“...”按钮展开操作菜单，然后点击“编辑”。
+
+:-: ![](.topwrite/assets/image_1735043871476.png =805)
+
+2. 在弹窗中的“设为账户管理员”一栏中选择“是”，然后点击“保存”。
+
+:-: ![](.topwrite/assets/image_1735043951355.png =365)
+
+3. 账户管理员可以移除其他用户的“账户管理员”角色。操作与授予账户管理员角色类似，在用户的“编辑”弹窗中，将“设为账户管理员”一栏选择为“否”即可。
+
+## 用户管理
+
+### 创建全局用户
+
+具备账户管理员角色的用户在“用户管理”页面点击“新建用户”按钮，填写新用户的用户名、密码和手机号等信息后，即可创建全局用户。
+
+:-: ![](.topwrite/assets/image_1735044006849.png =790)
+
+:-: ![](.topwrite/assets/image_1735045263309.png =426)
+
+### 编辑全局用户信息
+
+在“用户管理”页面，找到需要编辑的用户，点击其右侧的“...”按钮展开操作菜单，然后点击“编辑”按钮，即可编辑用户信息。仅可修改用户的邮箱信息，以及设置该用户是否具有“账户管理员”角色。为保障系统安全，账户管理员不可修改其他用户的密码和手机号信息。
+
+:-: ![](.topwrite/assets/image_1735044079989.png =780)
+
+### 禁用全局用户
+
+禁用全局用户将立即改变该用户的状态，并禁止以该用户身份进行的所有操作。禁用全局用户可用于在识别出安全风险后，紧急停止该用户的所有操作，避免损失扩大。
+
+仅账户管理员角色的用户可以禁用全局用户。在“用户管理”页面，找到需要禁用的用户，点击其右侧的“...”按钮展开操作菜单，然后点击“禁用”按钮，二次确认后即可禁用该用户。
+
+### 启用全局用户
+
+仅“禁用”状态下的用户可被启用。在“用户管理”页面，找到需要启用的用户，点击其右侧的“...”按钮展开操作菜单，然后点击“启用”按钮即可启用该用户。
+
+### 删除全局用户
+
+在“用户管理”页面，找到需要删除的用户，点击其右侧的“...”按钮展开操作菜单，然后点击“删除”按钮。在弹窗中输入该用户的用户名以确认删除。删除用户并不会主动使该用户的登录会话失效或断开以此用户身份建立的JDBC连接。但当此用户在Web端进行任意操作，或使用JDBC连接执行任意请求时，会返回身份失效信息。
+
+### 修改用户密码
+
+账户管理员不可代其他用户修改其密码，仅当前登录用户可修改自己的密码。用户登录状态下，点击左下角的用户名，然后点击“修改密码”。在弹窗中完成验证码验证后，输入新密码即可完成密码修改。修改后的密码在下次登录时生效，不影响当前登录状态。
+
+### 修改用户手机号
+
+账户管理员不可代其他用户修改其手机号，仅当前登录用户可修改自己的手机号。用户登录状态下，点击左下角的用户名，然后点击“用户信息”按钮，打开用户信息弹窗。在手机号右侧点击“编辑”按钮，在弹窗中依次验证当前手机号并输入新手机号，即可完成手机号修改。
+
+^
+
+## 服务用户管理
+
+### 创建自定义服务用户
+
+具备账户管理员角色的用户在“用户管理”页面点击“新建自定义服务用户”按钮，填写服务用户的用户名和密码即可新建自定义服务用户。
+
+:-: ![](.topwrite/assets/image_1735045434327.png =475)
+
+^
+
+### 修改服务用户密码
+
+具备“账户管理员”角色的用户可以修改服务用户的密码。由于修改自定义服务用户密码属于敏感操作，需要验证**当前登录用户**的手机号，正确输入短信验证码后方可修改。
+
+:-: ![](.topwrite/assets/image_1735045692635.png =472)
+
+^
+
+### 禁用服务用户
+
+禁用服务用户将立即改变该服务用户的状态，并禁止使用该服务用户身份进行的所有操作。
+
+仅具备账户管理员角色的用户可以禁用服务用户。在“用户管理”页面，找到需要禁用的服务用户，点击其右侧的“...”按钮展开操作菜单，然后点击“禁用”按钮，二次确认后即可禁用该服务用户。
+
+:-: ![](.topwrite/assets/image_1735045875934.png =810)
+
+### 删除服务用户
+
+在“用户管理”页面，找到需要删除的服务用户，点击其右侧的“...”按钮展开操作菜单，然后点击“删除”按钮。在弹窗中输入该服务用户的用户名以确认删除。
+
+由于服务用户身份通常被关联在系统调度任务或其他应用任务中，删除正在使用的服务用户可能导致生产任务中断或造成故障，因此删除服务用户的弹窗提供了是否“强制删除”的勾选框：
+
+:-: ![](.topwrite/assets/image_1735046163259.png =627)
+
+* 如不勾选“强制删除”，则该服务用户身份将被“软删除”，所有使用该服务用户身份进行的任务将中断。但该服务用户仍将保留24小时。在此期间，可点击“恢复”按钮将其状态恢复为“正常”。恢复后，使用该服务用户的任务可重新正常执行（若任务因无重试机制或超过重试次数而失败，可能需要手动启动）。24小时后，该服务用户身份将被永久删除，不可恢复。
+
+:-: ![](.topwrite/assets/image_1735046443500.png =799)
+
+* 如勾选“强制删除”，则不提供保留期，直接删除该服务用户身份。
+
+^

package/bin/skills/lakehouse-doc/references/accountfunds.md

@@ -0,0 +1,87 @@
+# 账户资金
+
+## 简介
+
+账户资金是租户在云器平台上用于结算使用产品服务后相应费用的账户，所有 Region 都统一使用此账户进行结算。同时，您也可以在本功能中查看资金的收支明细。
+
+## 功能权限
+
+对于有多用户的租户，账户资金功能仅限具有“账户管理员”权限的用户访问。
+
+## 分类
+
+账户资金目前分为现金账户、代金券账户两类。
+
+* 现金账户：可以通过对公转账、微信、支付宝线上充值的方式预充值资金
+* 代金券账户：云器为租户发放的代金券。
+
+## 功能路径
+
+登录 Lakehouse Studio -> 费用中心 -> 账户资金，如下图：
+![](.topwrite/assets/image_1748336067204.png)
+* 现金金额：租户当前可用余额。通过对公转账、微信、支付宝等方式充值的金额，会根据消费情况实时扣除。
+* 未结清金额：租户当前存在的未结清金额，当现金余额为0且无可用代金券时，继续使用服务就会产生未结清金额，存在未结清金额时，需要及时完成充值，以免影响服务的正常运行。
+* 代金券：租户当前可用代金券数量。
+
+### 现金
+
+#### 充值汇款
+
+支持微信、支付宝在线充值及线下对公转账。不同充值方式的差异如下：
+
+| 充值方式 | 说明 | 到账时间 |
+| :--- | :--- | :--- |
+| 支付宝充值 | 通过支付宝账户进行充值，可以使用支付宝余额、账户绑定的储蓄卡、信用卡、亲情卡等方式充值。                                                   | 实时到账    |
+| 微信充值  | 通过微信账户充值，可以使用微信零钱余额、绑定的储蓄卡，不支持通过信用卡充值。                                                         | 实时到账    |
+| 对公转账  | 需要使用开户名与云器租户实名认证主体一致的银行账户进行汇款；可选择通过网银、手机银行客户端、银行柜台等方式将款项汇款至云器的对公账号中；汇款后需联系您对应的商务，将款项充值至您的云器现金账户中。 | 3个工作日 |
+
+充值汇款操作指引：
+
+在现金账户页面点击“充值汇款”按钮，进入充值汇款页面，如下图：
+![](.topwrite/assets/image_1748336104481.png)
+如选择线上充值，首次充值需同意《云器科技用户协议》，点击微信或支付宝选择充值方式，输入充值金额，点击“立即充值”，即会生成付款二维码。使用手机端对应APP扫描二维码并完成支付，如下图：
+![](.topwrite/assets/image_1747637006371.png)
+如选择对公转账，可进入转账汇款页面，查看云器收款信息，按照收款信息将需充值金额转账至云器账户，并联系商务完成收款。如下图：
+![](.topwrite/assets/image_1747637124644.png)
+完成充值后，可回到现金账户页面，查看对应充值的交易明细。当存在欠费时，充值到账后会实时抵扣欠费金额。
+
+异常情况：若选择线上充值，但超时未完成支付，将提示充值失败，如下图。此时需要您刷新页面后重新发起充值。
+![](.topwrite/assets/充值失败.jpeg)
+
+**关于发票**：如您需要开具发票，可联系商务获取。发票将根据您在云器平台的消费记录开具，而非根据实际充值金额，请知晓。
+
+**关于退款**：暂不支持线上发起退款。如因账户注销等情况需要发起退款，请联系商务线下完成退款，退款仅支持原路返回支付账户。
+
+#### 交易明细
+
+交易明细展示了现金账户的收支明细，您可以通过此功能查看账户余额的变更记录，如下图：
+![](.topwrite/assets/image_1747637294249.png)
+* 交易流水：平台交易的唯一凭证
+* 交易时间：交易发生时间
+* 类型：包含消费、充值、退款三种类型
+* 账户：当前仅有现金账户
+* 交易金额：交易发生时产生的金额
+* 可用余额：交易发生后剩余可用现金金额
+* 渠道：交易发生渠道，针对充值类型交易，记录充值来源渠道，例如：对公转账、微信、支付宝
+* 交易查询：可通过设定交易时间、交易类型等条件，查询特定场景下的交易记录。
+
+### 代金券
+
+在账户资金页面顶部点击“代金券”，进入代金券页面。默认展示租户当前可用代金券，可切换至“全部”、“不可用”查看对应状态的代金券，如下图：
+![](.topwrite/assets/image_1747637516784.png)
+* 可用代金券：代金券在生效期内，且有可用余额
+* 不可用代金券：代金券未到达可用期、代金券已过可用期、代金券在有效期内但余额已用尽，以上情况的代金券均为不可用。其中，未到达可用期的代金券在到达可用期后会自动置为可用状态；已过期的代金券不可恢复。
+**注**：所有代金券均由云器平台发放，不可转让、提现。
+
+#### 代金券详情
+
+点击“查看明细”按钮可查看代金券消费明细，如下图：
+![](.topwrite/assets/image_1747637759011.png)
+![](.topwrite/assets/image_1747637740486.png)
+* 代金券状态：生效中、未生效、已过期
+* 代金券面额：初始发放代金券的总金额
+* 余额：代金券剩余金额
+* 使用时间：代金券有效期，在有效期内均可用于抵扣账单
+* 地域范围：代金券支持抵扣的实例归属的 Region 范围
+* 产品范围：代金券支持抵扣的计费项范围
+* 交易明细：涵盖代金券消费记录，以计费项维度展示抵扣记录，支持通过交易时间筛选

package/bin/skills/lakehouse-doc/references/agg_function.md

@@ -0,0 +1 @@
+^

package/bin/skills/lakehouse-doc/references/ai_ready_data_overview.md

@@ -0,0 +1,13 @@
+# AI 的数据准备
+
+云器 Lakehouse 为 AI 开发的各个环节提供统一平台，包括为 AI 应用提供数据服务。通过与 SQL 查询的无缝集成，用户可以轻松将**向量检索**、**全文搜索**与**结构化数据分析**相结合，实现更丰富的数据洞察。
+
+**向量检索**：
+
+云器 Lakehouse AI 向量搜索是一个针对存储和检索向量嵌入进行优化的向量索引。向量嵌入对于需要相似性搜索的应用至关重要，例如 RAG（检索增强生成）、推荐系统和图像识别。
+
+**全文搜索**：
+
+Lakehouse 全文搜索基于高性能倒排索引技术，为海量文本数据提供毫秒级的搜索能力。它支持对文档、日志、评论等文本内容进行快速全文搜索，并提供分词、相关性排序等高级功能。
+
+系统支持中英文混合搜索，内置多种分析器（如中文分词器、英文分词器、关键词分析器等），可根据不同场景选择最优的文本处理策略。

package/bin/skills/lakehouse-doc/references/airbyte.md

@@ -0,0 +1,95 @@
+# Airbyte简介
+
+Airbyte是一个开源的数据集成平台，专为从API、数据库和文件到数据库、数据仓库和数据湖的ELT（Extract, Load, Transform）管道而设计。Airbyte提供了一个简单易用的平台，帮助用户轻松实现数据同步和集成。
+
+![Airbyte架构图](.topwrite/assets/image_1705039346358.png)
+
+# 本地Docker安装
+
+## Airbyte版本
+
+对于版本v0.50.41，按照本文安装步骤进行安装，也就是采用run-ab-platform的方式。
+
+对于Airbyte 2.0左右及以后的版本，也就是采用了abctl安装方式，请参考[airbyte安装文档](https://docs.airbyte.com/platform/using-airbyte/getting-started/oss-quickstart)进行安装，本文所提供的安装方式不适合。
+
+## 系统要求
+
+本指南已在以下操作系统上进行测试：macOS、Windows 10 和 Ubuntu 22.04。
+
+## 安装步骤
+
+1. 请确保您的电脑上已安装Docker Engine，并安装Docker Compose插件。具体安装方法请参考[官方文档](https://docs.docker.com/engine/install/)。
+2. 安装完成后，通过以下命令在本地启动Airbyte：
+
+```bash
+# 从GitHub克隆Airbyte仓库
+git clone --branch v0.50.41 --single-branch --depth=1 https://github.com/airbytehq/airbyte.git
+
+
+# 切换到Airbyte目录
+cd airbyte
+
+# 启动Airbyte
+./run-ab-platform.sh
+```
+
+3. 访问[http://localhost:8000](http://localhost:8000/)，在浏览器中打开Airbyte Web界面。
+4. 系统会要求您输入用户名和密码。默认情况下，用户名为`airbyte`，密码为`password`。您可以在`.env`文件中修改这些凭据：
+
+```
+# 代理配置
+# 将BASIC_AUTH_USERNAME和BASIC_AUTH_PASSWORD设置为空值，例如""，以禁用基本认证
+BASIC_AUTH_USERNAME=your_new_username_here
+BASIC_AUTH_PASSWORD=your_new_password_here
+```
+
+# 在Windows上部署
+
+安装WSL 2后端和Docker后，您可以使用Windows PowerShell运行容器。此外，我们建议您在Windows上从源代码构建Airbyte，以安装`docker-compose`。以下是在Windows上安装Airbyte的推荐指南。
+
+## 设置指南
+
+1. 请查看[Docker文档](https://docs.docker.com/desktop/windows/install/)中的系统要求。
+2. 按照系统要求的步骤操作，并确保下载并安装Linux内核更新包。
+3. 在Windows上安装Docker Desktop。下载地址：[Docker Desktop](https://docs.docker.com/desktop/windows/install/)。
+4. 确保在安装过程中选择以下选项：
+   * 启用Hyper-V Windows功能
+   * 安装WSL 2所需的Windows组件（安装后需要重启计算机）
+
+```bash
+git clone --depth=1 https://github.com/airbytehq/airbyte.git
+cd airbyte
+bash run-ab-platform.sh
+```
+
+5. 在浏览器中访问[http://localhost:8000](http://localhost:8000/)。
+6. 系统会要求您输入用户名和密码。默认情况下，用户名为`airbyte`，密码为`password`。请在部署Airbyte到服务器后修改这些凭据。
+
+# 在Airbyte中安装云器Lakehouse目标连接器
+
+## 配置参考
+
+Connector display name: Clickzetta Lakehouse
+
+Docker repository name: clickzetta/clickzetta-airbyte
+
+Docker image tag: 0.1.0
+
+Connector documentation URL Optional: <https://www.yunqi.tech>
+
+1. 在Airbyte中新建一个连接器，显示名称选择“Clickzetta Lakehouse”。
+   ![新建连接器](.topwrite/assets/20240112141059_rec_.gif)
+2. 配置连接器，填写必要的参数，如数据库地址、端口、用户名和密码等。
+3. 创建从其他数据源到云器Lakehouse的数据同步连接，开始数据同步。
+   ![创建数据同步连接](.topwrite/assets/20240112141631_rec_.gif)
+
+# 建立连接并同步数据至云器Lakehouse
+
+1. 新建一个连接，类型选择刚才新建的“Clickzetta Lakehouse”连接器。
+   ![](.topwrite/assets/20240112141631_rec_.gif)
+2. 填写连接配置信息，如数据库地址、端口、用户名和密码等。
+3. 配置同步任务，选择源数据源和目标数据表，设置同步频率和过滤条件。
+4. 启动同步任务，开始将数据从源数据源同步到云器Lakehouse。
+
+![数据同步配置](.topwrite/assets/image_1705040300515.png)
+![数据同步配置2](.topwrite/assets/image_1705040390515.png)