CloudDM - ClouGence 团队开源的数据库研发与管控平台

在数据驱动业务的时代，数据库的日常管理、查询、变更与安全治理，往往是开发、运维和DBA团队面临的共同挑战。工具链分散、权限混乱、流程不透明等问题，不仅影响效率，更可能带来安全风险。今天，我们就来深入探讨一款旨在解决这些痛点的开源利器——CloudDM。

CloudDM是什么

简单来说，CloudDM是ClouGence团队开源的一款数据库研发与管控平台。它的核心目标，是将数据查询、SQL审核、权限管控等数据库核心能力集成到一个统一的平台中。其强大之处在于，它支持多达30种数据源，覆盖了从MySQL、PostgreSQL、ClickHouse、Redis、StarRocks等主流自建数据库，到阿里云、AWS、Azure等云数据库服务。可以说，它为DBA、开发和运维人员提供了一站式的数据库协作与治理解决方案。

CloudDM的主要功能

功能是否全面，是衡量一个管控平台价值的关键。CloudDM在功能设计上，几乎覆盖了数据库全生命周期的管理需求：

• 统一数据查询
  ：通过Web控制台即可操作30种数据源，提供语法高亮、智能提示、执行计划分析、结果导出、表结构获取等专业功能，甚至支持事务与隔离级别控制。

• SQL变更管控
  ：内置了54条开箱即用的SQL审核规则引擎，并支持通过Rule Script进行自定义扩展。更精细的是，规则生效范围可以精确到具体的实例、数据库、表乃至列。审批流程还能无缝集成飞书、钉钉、企业微信等主流办公工具。

• 细粒度权限管理
  ：采用功能权限与资源权限分离的RBAC模型。这意味着，授权粒度可以精细到实例、数据库、Schema、表，并且支持将DDL（数据定义）和DML（数据操作）权限分开授权，满足企业级安全合规要求。

• 数据脱敏保护
  ：提供列级别的数据脱敏能力，内置5条常用脱敏规则并支持自定义。可以对单个值或整行数据进行脱敏，保护范围精确到列，有效防止敏感数据在查询中泄露。

• 统一身份认证
  ：支持OpenLDAP、Windows AD、OIDC以及钉钉、飞书、企业微信的单点登录（SSO），方便企业统一账号体系，简化用户管理。

• 数据库对象管理
  ：提供可视化的编辑器，支持对库、模式、表、列、索引、视图、函数、存储过程、触发器等数据库对象进行创建、删除、修改与属性查看。

• 审计与合规
  ：全面记录操作审计和SQL执行审计日志，支持手动执行、立即执行、定时执行三种任务方式，为安全追溯和合规检查提供完整依据。

• CI/CD集成
  ：支持通过Git Push、WebHook、HttpCall三种方式触发数据库变更发布流程，并且检查、审批、执行等各个节点可以自由启停，轻松融入DevOps流水线。

• DDL转换
  ：这是一个非常实用的功能，支持在18种源数据源和12种目标数据库（如MySQL、ClickHouse、达梦、Oracle等）之间，进行多达192种DDL语句的自动转换，极大简化了数据库迁移或异构同步的脚本适配工作。

CloudDM的技术原理

强大的功能背后，离不开扎实的技术架构支撑。CloudDM的设计体现了现代软件工程的思想：

• Web控制台架构
  ：采用前后端分离设计，用户只需通过浏览器即可统一访问和管理多种数据源，无需安装任何本地客户端，实现了真正的轻量化访问。

• SQL规则引擎
  ：内置的规则引擎会对提交的变更语句进行静态分析与安全检测。基于Rule Script的扩展机制，让团队可以灵活定义自己的SQL规范。规则支持精确、前缀、后缀、包含四种匹配模式，适配性极强。

• RBAC双层权限模型
  ：通过将功能权限（能做什么）与资源权限（能操作什么数据）解耦，再通过角色进行组合，实现了从实例到列级别的、极其精细的访问控制。

• 多协议数据源适配
  ：底层通过标准化的JDBC/ODBC协议连接各类数据库，并在上层进行统一抽象，从而屏蔽了30种异构数据源之间的差异，提供了一致的管理接口。

• 弹性部署架构
  ：既支持简单的单机模式，也支持高可用的集群模式。提供Docker与Kubernetes两种主流的容器化部署方式。特别值得一提的是，其跨机房管理能力无需暴露公网端口，提升了内网环境下的安全性。

• 脱敏与审计机制
  ：在数据返回链路中植入了列级脱敏层，确保敏感数据在到达用户前已被处理。同时，所有操作行为和SQL执行记录都会被持久化存储，形成完整的审计链条。

如何使用CloudDM

上手CloudDM的过程非常简洁，对于有经验的团队来说，几乎可以做到“开箱即用”：

• 一键部署
  ：执行Docker命令 docker run -d --name cgdm-alone -p 8222:8222 bladepipe/cgdm-alone:3.0.7，通常在10秒内即可完成启动。国内用户可以使用阿里云镜像加速地址以提升拉取速度。

• 访问控制台
  ：在浏览器中打开 http://localhost:8222，按照引导完成初始管理员账号等基础配置。

• 接入数据源
  ：在平台的数据源管理页面，添加你需要管理的数据库连接，支持前述的30种数据源。

• 配置权限
  ：根据团队组织结构，创建相应的角色，并为其分配功能权限（如查询、变更）和资源权限（具体到某个数据库或表），实现精细化的权限隔离。

• 设置审核规则
  ：在安全规则模块，启用或自定义SQL审核规则，并配置违反规则后的处理策略（如仅提示或直接阻塞）。

• 执行查询或变更
  ：开发人员可以通过查询控制台直接编写和运行SQL；对于线上变更，则通过工单系统提交，经过预设的审批流程后执行。

• 集成企业IM
  ：配置钉钉、飞书或企业微信的Webhook，即可实现工单状态通知，并可以配置SSO登录，让使用体验与企业现有办公平台无缝衔接。

CloudDM的核心优势

在众多数据库工具中，CloudDM之所以值得关注，源于以下几个突出的特点：

• 全面开源零限制
  ：所有功能完全开放，不存在“社区版阉割高级功能”的情况。即便是权限管控、审计等企业级核心能力，都可以免费使用。

• 数据源覆盖行业最广
  ：对30种数据源的支持，涵盖了国内外主流的关系型、OLAP分析型、缓存及云数据库，这种广度在当前开源领域相当少见。

• 权限管控粒度极细
  ：支持从实例、数据库、Schema、表到列的多级授权，并且能将DDL与DML权限分离控制，这使其能够满足金融、互联网等对合规性要求极高的行业需求。

• 规则引擎高度灵活
  ：54条内置规则提供了坚实的基础，而Rule Script自定义能力则赋予了它强大的适应性，不同团队可以轻松配置符合自身SQL规范的审核策略。

• 部署与运维门槛低
  ：Docker一键启动，同时支持单机与集群部署。其跨机房管理方案无需依赖公网端口，显著降低了私有化部署的复杂度和成本。

CloudDM的项目地址

• 项目官网
  ：https://www.cdmgr.com/

• GitHub仓库
  ：https://github.com/ClouGence/open-cdm

CloudDM的同类竞品对比

为了更清晰地定位CloudDM，我们将其与市场上其他几款知名的开源或商业数据库管理工具进行简要对比：

维度	CloudDM	Archery	Yearning	Bytebase
开源协议	Apache 2.0（全功能）	Apache 2.0	GPL	部分开源/商业版
数据源支持	30种（含云数据库）	较少	较少	较多
数据查询	✅ Web控制台	❌	❌	✅
SQL审核规则	54条内置 + 自定义	有	有	有
权限粒度	实例/库/Schema/表/列	较粗	较粗	库/表级
数据脱敏	✅ 列级	❌	❌	部分支持
SSO集成	LDAP/AD/OIDC/钉钉/飞书/企微	有限	有限	OIDC/LDAP
CI/CD集成	Git Push/WebHook/HttpCall	有限	有限	GitOps
部署方式	Docker/K8s/安装包	较复杂	一般	Docker/K8s

CloudDM的应用场景

综合来看，CloudDM非常适合以下几类场景：

• 企业数据库统一管控
  ：为DBA和多个开发团队提供唯一、安全的数据查询入口和标准化的变更流程，彻底告别多工具切换的混乱。

• SQL审核与合规治理
  ：通过自动化规则引擎，在发布前拦截潜在的危险SQL或低效SQL，满足金融、医疗、互联网等行业严格的合规与审计要求。

• 敏感数据安全防护
  ：对生产环境中涉及用户隐私、商业机密的核心表字段实施自动脱敏策略，确保开发、测试人员在不接触真实数据的情况下也能开展工作。

• DevOps数据库变更流水线
  ：将数据库结构变更像应用程序代码一样纳入CI/CD流程，实现Git驱动的自动化发布、回滚与版本管理，提升交付效率与可靠性。

• 多租户权限隔离
  ：在平台型业务或大型企业内，通过细粒度的RBAC模型，为不同的业务团队、项目组分配清晰、独立的数据访问边界，实现安全共享与高效协作。