Skip to main content
ClickHouse BYOC sur AWS prend en charge deux options de connexion privée : le VPC Peering et AWS PrivateLink.

​
Prérequis

Étapes communes requises pour VPC peering et Privatelink.

​
Activez le load balancer privé pour ClickHouse BYOC

Contactez le support ClickHouse pour activer le load balancer privé.

​
Configurer le VPC peering

Pour créer ou supprimer un VPC peering pour ClickHouse BYOC, suivez les étapes suivantes :
1

Créer une connexion de peering

  1. Accédez au VPC Dashboard dans le compte ClickHouse BYOC.
  2. Sélectionnez Peering Connections.
  3. Cliquez sur Create Peering Connection
  4. Définissez VPC Requester sur l’ID du ClickHouse VPC.
  5. Définissez VPC Accepter sur l’ID du VPC cible. (Sélectionnez un autre compte si nécessaire)
  6. Cliquez sur Create Peering Connection.
2

Accepter la demande de connexion de peering

Dans le compte de peering, sur la page (VPC -> Peering connections -> Actions -> Accept request), le client peut approuver cette demande de VPC peering.
3

Ajouter la destination aux tables de routage du ClickHouse VPC

Dans le compte ClickHouse BYOC,
  1. Sélectionnez Route Tables dans le VPC Dashboard.
  2. Recherchez l’ID du ClickHouse VPC. Modifiez chaque table de routage associée aux sous-réseaux privés.
  3. Cliquez sur le bouton Edit sous l’onglet Routes.
  4. Cliquez sur Add another route.
  5. Saisissez la plage CIDR du VPC cible dans Destination.
  6. Sélectionnez « Peering Connection » et l’ID de la connexion de peering dans Target.
4

Ajouter la destination aux tables de routage du VPC cible

Dans l’AWS account de peering,
  1. Sélectionnez Route Tables dans le VPC Dashboard.
  2. Recherchez l’ID du VPC cible.
  3. Cliquez sur le bouton Edit sous l’onglet Routes.
  4. Cliquez sur Add another route.
  5. Saisissez la plage CIDR du ClickHouse VPC dans Destination.
  6. Sélectionnez « Peering Connection » et l’ID de la connexion de peering dans Target.
5

Modifier le groupe de sécurité pour autoriser l’accès depuis le VPC appairé

Dans le compte ClickHouse BYOC, vous devez mettre à jour les paramètres du groupe de sécurité pour autoriser le trafic provenant de votre VPC appairé. Veuillez contacter le support ClickHouse pour demander l’ajout de règles entrantes incluant les plages CIDR de votre VPC appairé.
Le service ClickHouse devrait désormais être accessible depuis le VPC appairé.
Pour accéder à ClickHouse de manière privée, un load balancer privé et un point de terminaison sont provisionnés afin d’assurer une connectivité sécurisée depuis le VPC appairé de l’utilisateur. Le point de terminaison privé reprend le format du point de terminaison public avec le suffixe -private. Par exemple :
  • Point de terminaison public : h5ju65kv87.mhp0y4dmph.us-west-2.aws.byoc.clickhouse.cloud
  • Point de terminaison privé : h5ju65kv87-private.mhp0y4dmph.us-west-2.aws.byoc.clickhouse.cloud
Une fois le bon fonctionnement du peering vérifié, vous pouvez, si vous le souhaitez, demander la suppression du load balancer public pour ClickHouse BYOC. AWS PrivateLink fournit une connectivité sécurisée et privée à vos services ClickHouse BYOC, sans nécessiter de VPC peering ni de passerelles Internet. Le trafic circule entièrement au sein du réseau AWS, sans jamais transiter par l’Internet public.
2

Créer un point de terminaison dans votre VPC

Une fois que le support ClickHouse a activé PrivateLink de son côté, vous devez créer un point de terminaison VPC dans le VPC de votre application cliente afin de vous connecter au service ClickHouse PrivateLink.
  1. Obtenir le nom du service de point de terminaison:
    • Le support ClickHouse vous fournira le nom du service de point de terminaison
    • Vous pouvez également le trouver dans la console AWS VPC, sous “Endpoint Services” (filtrez par nom de service ou recherchez les services ClickHouse)
  1. Créer le point de terminaison VPC:
    • Accédez à la console AWS VPC → Endpoints → Create Endpoint
    • Sélectionnez “Find service by name” et saisissez le nom du service de point de terminaison fourni par le support ClickHouse
    • Choisissez votre VPC et sélectionnez les sous-réseaux (un par zone de disponibilité est recommandé)
    • Important: activez “Private DNS names” pour le point de terminaison — cela est nécessaire pour que la résolution DNS fonctionne correctement
    • Sélectionnez ou créez un groupe de sécurité pour le point de terminaison
    • Cliquez sur “Create Endpoint”
Exigences DNS:
  • Activez “Private DNS names” lors de la création du point de terminaison VPC
  • Assurez-vous que “DNS Hostnames” est activé pour votre VPC (VPC Settings → DNS resolution and DNS hostnames)
Ces paramètres sont nécessaires pour que le DNS de PrivateLink fonctionne correctement.
  1. Approuver la connexion du point de terminaison:
    • Après avoir créé le point de terminaison, vous devez approuver la demande de connexion
    • Dans la console VPC, accédez à “Endpoint Connections”
    • Recherchez la demande de connexion de ClickHouse et cliquez sur “Accept” pour l’approuver
3

Ajouter l’Endpoint ID à la liste d’autorisation du service

Une fois votre point de terminaison VPC créé et la connexion approuvée, vous devez ajouter l’Endpoint ID à la liste d’autorisation de chaque service ClickHouse auquel vous souhaitez accéder via PrivateLink.
  1. Obtenir votre Endpoint ID:
    • Dans la console AWS VPC, accédez à Endpoints
    • Sélectionnez le point de terminaison que vous venez de créer
    • Copiez l’Endpoint ID (il ressemblera à vpce-xxxxxxxxxxxxxxxxx)
  2. Contacter le support ClickHouse:
    • Fournissez les Endpoint IDs au support ClickHouse
    • Précisez quels services ClickHouse doivent autoriser l’accès depuis ce point de terminaison
    • Le support ClickHouse ajoutera l’Endpoint ID à la liste d’autorisation du service
L’accès aux services ClickHouse via PrivateLink est contrôlé à deux niveaux :
  1. Istio Authorization Policy : les politiques d’autorisation au niveau du service dans ClickHouse Cloud
  2. VPC Endpoint Security Group : le groupe de sécurité associé à votre VPC point de terminaison contrôle les ressources de votre VPC autorisées à utiliser cet point de terminaison
La fonctionnalité « Enforce inbound rules on PrivateLink traffic » du load balancer privé est désactivée ; l’accès est donc contrôlé uniquement par les politiques d’autorisation Istio et par le groupe de sécurité de votre VPC point de terminaison.
Le DNS PrivateLink pour les points de terminaison BYOC (au format *.vpce.{subdomain}) s’appuie sur la fonctionnalité intégrée « Private DNS names » d’AWS PrivateLink. Aucun enregistrement Route53 n’est requis : la résolution DNS s’effectue automatiquement lorsque :
  • « Private DNS names » est activé sur votre point de terminaison VPC
  • l’option « DNS Hostnames » est activée sur votre VPC
Cela garantit que les connexions utilisant le sous-domaine vpce sont automatiquement acheminées via le point de terminaison PrivateLink, sans configuration DNS supplémentaire.
Dernière modification le 23 juillet 2026