用途：帮助加固 ClickHouse 部署，覆盖基于 SQL 的用户管理、网络限制、TLS 加密和查询审计日志，按七个核心加固步骤推进。
主要能力：创建最小权限用户并撤销破坏性权限；用角色（data_reader/data_writer/schema_admin）管理权限组；通过 CREATE ROW POLICY 实现多租户行级隔离；限制连接来源（SQL HOST IP、users.xml 网络白名单或 ClickHouse Cloud IP Access List）；在 config.xml 启用 HTTPS 端口 8443 并配置证书与严格校验；查询 system.query_log 审计访问、用 exception_code = 516 排查失败登录；应用以最小权限用户经 https://…:8443 连接并从密钥管理器取密码。
使用方式：需 ClickHouse 管理员权限，SQL 用户管理需 CLICKHOUSE_DEFAULT_ACCESS_MANAGEMENT=1，自托管需访问 config.xml、users.xml。按步骤执行，完整代码见 references/implementation.md，示例见 references/examples.md，完成后核对安全清单。示例：CREATE USER analyst IDENTIFIED WITH sha256_password BY 'strong-password-here' DEFAULT DATABASE analytics SETTINGS readonly = 1, max_execution_time = 60; GRANT SELECT ON analytics.* TO analyst;
适用场景：加固 ClickHouse 部署、创建受限用户、多租户隔离、锁定应用用户到 VPC 并强制 TLS、审计访问与失败登录。
限制：资料未提供具体版本兼容细节、性能影响或收费信息；生产集群的备份、复制、资源配额与监控需另用 clickhouse-prod-checklist 技能。