本文以一个具体的企业作为示例，为您介绍在使用ByteHouse时的权限管控实践，为您示例介绍ByteHouse权限管控的思路和原则。

以下为示例的企业场景，企业有一位ByteHouse管理员，企业中有多个业务部门，部分中有多个ByteHouse用户。

示例中的企业各类部门/人员及其库表使用情况如下。

根据以上示例场景，为您介绍ByteHouse权限管控的最佳实践。

1. 主账号创建IAM用户并授予IAM权限策略。
   1. 通过主账号在火山 IAM 中为ByteHouse管理员和各个业务部门中的用户创建子用户。
   2. Bytehouse 管理员（DBA or SRE）需要管理 Bytehouse 实例，为其赋予 ByteHouseFullAccess 权限。
   3. 其他用户只需赋予 ByteHouseReadOnlyAccess 权限。
      操作详情请参见用户管理。
2. ByteHouse管理员根据业务部门职责分工情况，将不同业务部门的数据完全隔离。
   将业务部门A、业务部门B分别授予不同ByteHouse环境权限，通过ByteHouse环境实现资源、数据等隔离。多环境管理详情请参见环境管理。
3. ByteHouse管理员为业务部门A用户授权。
   1. 在 Bytehouse 中新建一个“业务运营”角色，只对其授予 user_info、access info库表的只读数据权限（select、show）。
   2. 然后将此角色授予部门A下的用户。
      操作详情请参见角色管理。
4. ByteHouse管理员为业务部门B用户授权。
   1. 在 Bytehouse 中新建一个“产品经理”角色，只对其授予 product.product_info、bill.billing_info库表的只读数据权限（select、show）。
   2. 然后将此角色授予部门B下的用户。
      操作详情请参见角色管理。

通过以上权限管理即可实现本文实例场景下的ByteHouse权限管控。