TiDB Cloud CLI のリージョン、セキュリティ、および制限事項
このリファレンスでは、TiDB Cloud CLI の現在のリージョン、認証、プラットフォーム、およびプレビューに関する境界について説明します。ファイルシステムのリージョンと制限事項については、TiDB Cloud Filesystem のリージョンと制限事項 を参照してください。
サポートされるリージョン
TiDB Cloud CLI を使用する場合、CLI 操作のデフォルトリージョンを設定する必要があります。
次の表は、TiDB Cloud CLI でサポートされるリージョンと、各リージョンで利用可能な TiDB Cloud CLI サービスを示しています。
設定したリージョンが TiDB Cloud Starter をサポートしていても TiDB Cloud Filesystem をサポートしていない場合、そのリージョンで Starter インスタンスを管理できます。ファイルシステムコマンドは unsupported endpoint エラーで失敗します。
サポートされるファイルシステムリージョンは、各 ti リリースに組み込まれています。インストール済みバージョンのリリース後に追加されたリージョンでファイルシステムを使用するには、ti をアップグレードしてください。サービス URL を指定しても、非サポートのリージョンを有効にできません。
認証情報の要件
TiDB Cloud API 呼び出しでは Digest 認証を使用します。SQL HTTPS 実行では、生成された SQL のユーザー名とパスワードによる Basic 認証を TLS 上で使用します。これらの認証情報は相互に置き換えできません。
セキュリティのベストプラクティス
- TiDB Cloud API キーは、ワークフローに必要なアクセス権のみを持つように作成してください。無人自動化で個人の管理者キーを再利用しないでください。
- 自動化用の認証情報は、CI のシークレットストアまたは実行時シークレットマネージャーから注入してください。認証情報をソース管理、コンテナイメージ、シェルスクリプト、またはプロセス一覧やシェル履歴に表示される可能性のあるコマンドライン引数に置かないでください。
- 完全な
~/.ti/ディレクトリをエージェントのサンドボックスにコピーしないでください。既存のファイルシステムには、TI_FS_TOKENとTI_REGION_CODEのみを渡し、TI_FS_FILE_SYSTEM_IDは任意のアサーションとしてのみ使用してください。 - 信頼できないエージェントや探索的なエージェントによる SQL 調査には
--read-onlyを使用してください。--adminは DDL または権限管理にのみ使用し、データ変更を意図する場合にのみ--read-writeを使用してください。 - 破壊的なコントロールプレーン操作の前に
--dry-runを使用してください。~/.ti/credentials、リソース認証情報、および DB SQL 認証情報は、所有者のみが読み取り可能にしてください。 - 診断情報を共有する前に、ローカルの操作ログを確認してください。ログには SQL テキスト、パス、ペイロード、認証情報の値は含まれませんが、コマンド名、フラグ名、プロファイルおよびリージョンのメタデータ、ステータスコード、操作タイミングは依然として機微情報となる可能性があります。
ファイルシステムトークン、マウント、Vault、および AI プロバイダーのセキュリティについては、認可、ファイルシステムトークンを管理する、および ファイルシステムの AI プロバイダーを設定する を参照してください。
製品の制限事項
- TiDB Cloud CLI はプレビュー段階であり、コマンドの仕様は変更される可能性があります。
- データベース管理の対象は TiDB Cloud Starter インスタンスであり、他の TiDB Cloud データベースプランではありません。
- SQL 実行では、1 回の呼び出しにつき 1 つのステートメントのみ受け付けます。
- read-write はデフォルトの SQL ロールです。セキュリティに敏感な自動化では、明示的なロールフラグを使用してください。
- テレメトリー管理コマンドは意図的に実装されていません。テレメトリーは
~/.ti/.preferencesまたはTI_TELEMETRYで制御してください。サーバーレス関数のデプロイ、Homebrew、および Scoop 配布は実装されていません。