如何配置Superset的impersonate_user=True并解决ClickHouse认证问题？

1. 确保ClickHouse端存在对应用户并配置权限 #

开启impersonate_user=True后，Superset会用当前登录的Superset用户（如user_test）作为ClickHouse的登录用户发起请求，所以必须先在ClickHouse中完成用户配置：

• 创建对应用户：

  CREATE USER IF NOT EXISTS user_test IDENTIFIED WITH plaintext_password BY '设置用户密码';
  

• 授予用户访问目标数据表的权限（替换为仪表盘用到的库和表）：

  GRANT SELECT ON 目标数据库.* TO user_test;
  

• 若使用LDAP等外部认证，需确保ClickHouse已配置对应认证方式，且user_test在认证体系中存在并具备权限。

2. 修正Superset数据库连接配置 #

在Superset的数据库编辑页面，需调整连接字符串并确认配置：

• 连接字符串不能硬编码用户名密码（否则会覆盖用户模拟逻辑），正确格式示例：

  clickhouse://@{ClickHouse主机地址}:{端口}/{目标数据库}
  

• 如需设置模拟用户不存在时的 fallback 用户，可添加参数：

  clickhouse://@{ClickHouse主机地址}:{端口}/{目标数据库}?default_user=备用用户名&default_password=备用密码
  

• 确认已勾选impersonate_user=True选项。

3. Docker环境下的Superset配置调整 #

针对Docker部署的Superset 4.0.2，需调整容器环境变量并重启服务：

• 在docker-compose.yml中添加或修改环境变量：

  environment:
    SUPERSET_ENABLE_IMPERSONATION: "true"
  

• 重启Superset容器使配置生效：

  docker-compose up -d --force-recreate superset
  

4. 验证模拟逻辑与排查日志 #

• 查看ClickHouse的登录日志，确认请求是否以user_test身份发起：

  docker exec -it ClickHouse容器名 tail -f /var/log/clickhouse-server/clickhouse-server.log
  

• 若日志显示user_test登录失败，重点检查密码匹配度、用户权限范围。

5. 补全Superset角色权限 #

• 确保Superset中的salary_role角色不仅拥有仪表盘访问权限，还具备对应数据库的访问权限（在角色权限设置中，找到目标数据库，授予can access on database权限）。
• 确认user_test用户已正确继承salary_role的所有权限，无权限冲突或遗漏。

内容的提问来源于stack exchange，提问作者John Doe