Cassandra非超级用户能否创建keyspace？权限配置咨询

首先纠正一个常见认知偏差：不是只有superuser = true的角色才能创建Keyspace。在启用RBAC权限体系的Cassandra/Scylla/DSE集群中，超级用户只是默认持有全集群所有权限，创建Keyspace对应的权限本身是可以独立分配给普通用户的。

• 方案1：给用户授予superuser=true权限再做访问限制
  完全不可行。只要账号被标记为超级用户，集群的权限校验逻辑会直接跳过对该账号的所有权限检查，它天然可以查看、修改、删除全集群所有Keyspace和内部数据，根本不存在给超级用户加访问限制的可能，这个方案有本质的安全缺陷，不建议采用。
• 方案2：给非超级用户分配Keyspace创建权限
  完全可行，是符合官方设计的标准实现路径。

1. 用超级用户账号登录集群，给需要自主创建Keyspace的普通用户授予集群级别的CREATE权限，授权命令如下：

   GRANT CREATE ON ALL KEYSPACES TO <目标普通用户名>;
   

   拿到这个权限的普通用户就可以独立执行CREATE KEYSPACE语句，不需要超级用户身份。
2. 利用默认权限隔离规则实现访问限制：普通用户创建属于自己的Keyspace后，会自动成为该Keyspace的所有者，持有这个Keyspace的全部操作权限；其他没有被单独授权的普通用户，默认无法访问、也看不到这个Keyspace，天然匹配你要的“用户看不到其他Keyspace”的需求。
3. 调整元数据访问配置：如果要确保用户执行DESCRIBE KEYSPACES等元数据查询命令时，只能看到自己有权限的Keyspace，需要在集群配置中开启权限校验关联的元数据过滤，不要给普通用户授予全集群级别的DESCRIBE、SELECT权限。

注意：不要尝试通过修改系统权限表的方式给超级用户增加访问限制，这类操作不仅不会生效，还可能打乱集群内置的权限校验逻辑，引发异常。

内容的提问来源于stack exchange，提问作者FreshMike