> ## Documentation Index
> Fetch the complete documentation index at: https://clickhouse.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.
# Configuration du réseau privé BYOC sur Azure
> Configurer le peering VNet ou Private Link pour BYOC sur Azure
export const Image = ({img, alt, size = "lg"}) => {
const normalizedSize = ["sm", "md", "lg"].includes(size) ? size : "lg";
return ;
};
ClickHouse BYOC on Azure prend en charge deux options de connexion privée : le [peering de réseau virtuel Azure](https://learn.microsoft.com/azure/virtual-network/virtual-network-peering-overview) et [Azure Private Link](https://learn.microsoft.com/azure/private-link/private-link-overview). Ces deux options maintiennent le trafic sur le réseau fédérateur Azure afin qu'il ne transite jamais par Internet public.
## Prérequis
Étapes communes requises pour le peering de VNet et Private Link.
### Activer le répartiteur de charge privé pour ClickHouse BYOC
Dans la console ClickHouse Cloud, activez le **répartiteur de charge privé** pour votre infrastructure BYOC. Les deux options de connexion passent par ce répartiteur de charge interne, et aucune ne fonctionne tant qu’il n’est pas activé.
Notez le **Spoken name** de l’infrastructure. ClickHouse déploie votre infrastructure BYOC dans votre propre abonnement Azure, dans un groupe de ressources géré nommé `clickhouse-cloud--default`. C’est dans ce groupe de ressources que vous trouverez le VNet BYOC aux étapes ci-dessous.
## Configurer le peering de VNet
Familiarisez-vous avec le [peering de réseaux virtuels Azure](https://learn.microsoft.com/azure/virtual-network/virtual-network-peering-overview) et ses [exigences et contraintes](https://learn.microsoft.com/azure/virtual-network/virtual-network-manage-peering#requirements-and-constraints) avant de commencer. ClickHouse BYOC utilise un répartiteur de charge privé pour permettre la connectivité réseau avec les services ClickHouse via le peering.
Les étapes données en exemple correspondent à un scénario simple : l’un de vos VNets est directement appairé au VNet BYOC. Pour les scénarios avancés, tels que les topologies en étoile ou la connectivité sur site, certains ajustements sont nécessaires — consultez les [Limitations](#vnet-peering-limitations).
### Prérequis supplémentaires pour le peering
**Espaces d’adressage non chevauchants.** Les réseaux virtuels appairés ne peuvent pas avoir de plages d’adresses IP qui se chevauchent. Comparez l’espace d’adressage de votre VNet à celui du VNet BYOC, indiqué sur la page **Overview** du portail Azure. En cas de chevauchement, utilisez plutôt Private Link.
**Autorisations.** La création d’un peering requiert les autorisations `Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write` et `Microsoft.Network/virtualNetworks/peer/action` sur *les deux* réseaux virtuels. Le rôle intégré **Network Contributor** les inclut. Consultez les [autorisations de peering de réseau virtuel](https://learn.microsoft.com/azure/virtual-network/virtual-network-manage-peering#permissions).
1. Connectez-vous au [portail Azure](https://portal.azure.com) et basculez vers l’**abonnement BYOC**.
2. Recherchez **Réseaux virtuels** et sélectionnez le VNet BYOC, situé dans le groupe de ressources `clickhouse-cloud--default`.
3. Sous **Paramètres**, sélectionnez **Peerings**, puis **+ Ajouter**.
4. Renseignez les deux côtés du peering :
5. Cliquez sur **Ajouter**.
Le peering Azure se compose de deux côtés, un dans chaque direction, et le trafic ne circule que lorsque les deux existent. Si le portail a créé les deux côtés à l’étape précédente, ignorez cette étape.
Si vous avez créé uniquement le côté BYOC — parce que votre VNet se trouve dans un autre abonnement ou tenant — son état est **Initiated**. Créez le côté correspondant depuis votre propre VNet :
1. Basculez vers l’abonnement auquel appartient votre VNet et connectez-vous avec un compte disposant du rôle **Network Contributor** sur celui-ci.
2. Sélectionnez votre VNet, puis **Peerings** → **+ Ajouter**.
3. Sélectionnez **Je connais mon ID de ressource**, collez l’**ID de ressource du VNet BYOC**, puis choisissez l’**Annuaire** auquel appartient l’abonnement BYOC. Sélectionnez **Authentifier** si vous y êtes invité.
4. Sélectionnez **Ajouter**.
Ouvrez **Peerings** sur l’un ou l’autre réseau virtuel. L’**état du peering** doit afficher **Connected** des deux côtés. Un côté qui reste à l’état **Initiated** signifie que son homologue est manquant ; un côté affichant **Disconnected** signifie que son homologue a été supprimé.
Aucune modification de table de routage n’est nécessaire. Azure installe automatiquement des routes système pour l’espace d’adressage appairé des deux côtés. Vous pouvez le vérifier sur n’importe quelle interface réseau de votre VNet, sous **Itinéraires effectifs**, où l’espace d’adressage BYOC apparaît avec **Peering de VNet** comme type de tronçon suivant.
Les sous-réseaux BYOC sont protégés par un [groupe de sécurité réseau](https://learn.microsoft.com/azure/virtual-network/network-security-groups-overview) géré par ClickHouse, qui bloque par défaut le trafic interne au VNet. Étant donné que le [tag de service `VirtualNetwork`](https://learn.microsoft.com/azure/virtual-network/service-tags-overview#available-service-tags) couvre l’espace d’adressage des VNets appairés, le trafic arrivant via le peering est bloqué jusqu’à l’ajout d’une règle entrante l’autorisant.
Contactez ClickHouse Support pour demander l’ajout de règles entrantes incluant les plages CIDR de votre VNet appairé. Sans cette étape, le peering affiche l’état **Connected**, mais les connexions expirent.
Pour accéder à ClickHouse de façon privée, un répartiteur de charge privé et un endpoint sont provisionnés afin de fournir une connectivité sécurisée depuis votre VNet appairé. L’endpoint privé reprend le format de l’endpoint public, avec le suffixe `-private`. Par exemple :
* **Endpoint public** : `h5ju65kv87.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`
* **Endpoint privé** : `h5ju65kv87-private.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`
### Limitations
**Le peering n'est pas transitif.** Seul le VNet directement appairé au VNet BYOC peut accéder à vos services. Les clients d'un VNet spoke derrière un hub, ou les clients on-premise qui arrivent via ExpressRoute ou une passerelle VPN, ne sont pas couverts par un seul peering. Ces topologies nécessitent une configuration supplémentaire, notamment **Autoriser le trafic transféré** et le transit de passerelle — consultez [les passerelles et la connectivité on-premise](https://learn.microsoft.com/azure/virtual-network/virtual-network-peering-overview#gateways-and-on-premises-connectivity) — ou utilisez plutôt Private Link.
**Le peering interrégional fonctionne, mais coûte plus cher.** Un peering entre des VNets situés dans différentes régions est un peering global. Il permet d'accéder normalement à ClickHouse — le répartiteur de charge privé BYOC est un load balancer interne Standard SKU, et la restriction d'Azure concernant l'accès aux frontends des load balancers via un peering global ne s'applique qu'aux load balancers Basic SKU. En revanche, vous payez une latence aller-retour supplémentaire et des [frais de transfert de données interrégional](https://azure.microsoft.com/pricing/details/virtual-network). Préférez un peering dans la même région pour les workloads sensibles à la latence. Si un peering interrégional affiche **Connected**, mais que les connexions échouent toujours, la région n'est pas en cause — la raison la plus fréquente est l'absence de règle entrante de groupe de sécurité réseau pour votre espace d’adressage ; contactez donc ClickHouse Support.
**Les modifications de l’espace d’adressage nécessitent une resynchronisation.** Si vous redimensionnez l’espace d’adressage de votre VNet après la création du peering, [synchronisez le peering](https://learn.microsoft.com/azure/virtual-network/update-virtual-network-peering-address-space) afin que les nouvelles plages soient annoncées, puis contactez ClickHouse Support pour étendre la règle entrante de groupe de sécurité réseau afin de les couvrir.
**Le trafic de peering est facturé.** Azure facture l'ingress et l'egress via un peering. Consultez la [tarification des réseaux virtuels](https://azure.microsoft.com/pricing/details/virtual-network).
### Supprimer le peering
Supprimez le peering de l’un ou l’autre côté. La suppression d’une moitié rompt la connexion et laisse l’autre à l’état **Disconnected** ; supprimez donc les deux moitiés pour tout nettoyer. Consultez [supprimer un peering](https://learn.microsoft.com/azure/virtual-network/virtual-network-manage-peering#delete-a-peering).
## Configurer Azure Private Link
Azure Private Link fournit une connexion sécurisée et privée à vos services ClickHouse BYOC. L’ensemble du trafic circule au sein du réseau Azure, ce qui garantit qu’il ne transite jamais par l’Internet public.
Assurez-vous que le **private load balancer** est activé au préalable.
Obtenir le Service name de l’endpoint} id="step-2-obtain-endpoint-service-name">
1. Dans la console ClickHouse Cloud, accédez à la page Settings du service auquel vous souhaitez vous connecter via Private Link.
2. Cliquez sur « Set up private endpoint ».
3. Dans le flyout qui s’ouvre, copiez les valeurs `Service name` (l’alias du service Private Link) et `DNS name` ; vous les utiliserez dans les étapes suivantes. (La génération des valeurs peut prendre un certain temps après l’activation de Private Link.)
1. Ouvrez votre **propre Azure Portal** (c.-à-d. l’abonnement Azure dans lequel se trouve votre application cliente) → **Network Foundation** → **Private endpoints** → **Create**.
2. Dans l’onglet **Basics**, choisissez l’abonnement, le groupe de ressources, le nom et la région du point de terminaison privé. La région doit être celle du VNet à partir duquel votre application cliente se connecte.
3. Dans l’onglet **Resource**, sélectionnez **Connect to an Azure resource by resource ID or alias** et saisissez le `Service name` obtenu à l’étape précédente.
4. Dans l’onglet **Virtual Network**, choisissez le réseau virtuel et le sous-réseau dans lesquels le point de terminaison privé sera créé. Vous pouvez également associer un groupe de sécurité d’application afin de filtrer le trafic vers le point de terminaison privé.
5. Continuez dans les onglets restants, puis cliquez sur **Create**. Le **Connection status** du point de terminaison privé créé restera à l’état **Pending** jusqu’à ce que vous ajoutiez son `Resource ID` à la liste d’autorisation du service ClickHouse lors des étapes suivantes.
6. Ouvrez l’interface réseau associée au point de terminaison privé et copiez l’**adresse IPv4 privée** — vous l’utiliserez lors de l’étape de configuration DNS.
Ajoutez le Resource ID du Private Endpoint à la liste d’autorisation du service ClickHouse} id="step-4-add-endpoint-id-to-services-allow-list">
Pour obtenir le Resource ID du private endpoint, ouvrez le private endpoint créé précédemment dans l’Azure Portal, cliquez sur **JSON View**, puis copiez le champ `id` de premier niveau (le **Resource ID** affiché en haut de la vue, au format `/subscriptions/.../providers/Microsoft.Network/privateEndpoints/`). N’utilisez pas les champs `id` imbriqués dans l’objet `properties` :
1. Dans la ClickHouse Cloud console, accédez à la page Settings du service auquel vous souhaitez vous connecter via Private Link.
2. Cliquez sur « Set up private endpoint ».
3. Dans le flyout qui s’ouvre, saisissez le `Resource ID` obtenu ci-dessus dans le champ `Endpoint ID`, ainsi qu’une description facultative.
4. Cliquez sur « Create endpoint ».
Pour autoriser l’accès depuis une connexion Private Link existante, utilisez le menu déroulant des endpoints existants.
Ce menu affiche les connexions Private Link existantes aux services de la même infrastructure.
Aucune approbation manuelle dans l’Azure Portal n’est requise : une fois le `Resource ID` ajouté à la liste d’autorisation, la connexion de l’endpoint est automatiquement approuvée et son `LinkID` est automatiquement ajouté à l’Istio `AuthorizationPolicy` du ClickHouse service. Le **Connection status** du private endpoint dans votre abonnement passe à **Approved**.
Il existe différentes façons de configurer le DNS. Configurez-le selon votre cas d’utilisation.
Vous devez faire pointer tous les sous-domaines (caractère générique) du "nom DNS" (tout ce qui suit l’ID de service, par exemple `privatelink.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`) vers l’adresse IP du point de terminaison privé. Ainsi, les services/composants de votre VNet pourront le résoudre correctement. Voici une configuration type avec Azure Private DNS :
1. [Créez une zone DNS privée](https://learn.microsoft.com/en-us/azure/dns/private-dns-getstarted-portal) portant le "nom DNS" sans l’ID de service initial, par exemple `privatelink.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`.
2. Dans la zone, créez un jeu d’enregistrements générique : pour le **Nom**, utilisez `*` et, pour l’**Adresse IP**, saisissez l’adresse IP du point de terminaison privé copiée précédemment.
3. [Liez la zone DNS privée à votre réseau virtuel](https://learn.microsoft.com/en-us/azure/dns/private-dns-getstarted-portal#link-the-virtual-network) afin que les clients du VNet puissent résoudre la zone.
Vérifiez la configuration DNS depuis un hôte situé dans votre VNet : le "nom DNS" doit être résolu en adresse IP du point de terminaison privé :
```bash theme={null}
nslookup h5ju65kv87.privatelink.mhp0y4dmph.westus3.azure.clickhouse-byoc.com
```
1. Dans la console ClickHouse Cloud, accédez à la page Settings du service.
2. Cliquez sur "Set up private endpoint".
3. Dans le flyout qui s’ouvre, copiez le `DNS name`.
L’accès aux services ClickHouse via Private Link est contrôlé par l’**Istio Authorization Policy** au niveau du service, gérée par ClickHouse au sein de votre infrastructure BYOC.