```
Vous pouvez [créer une nouvelle clé API ClickHouse Cloud](/docs/fr/products/cloud/features/admin-features/api/openapi) ou utiliser une clé existante.
Récupérez l’`INSTANCE_ID` de votre instance ClickHouse en filtrant par région, fournisseur et nom du service :
```shell theme={null}
INSTANCE_ID=$(curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" \
"https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services" | \
jq ".result[] | select (.region==\"${REGION:?}\" and .provider==\"${PROVIDER:?}\" and .name==\"${SERVICE_NAME:?}\") | .id " -r)
```
* Vous pouvez récupérer votre Organization ID dans la ClickHouse console (Organization -> Organization Details).
* Vous pouvez [créer une nouvelle clé](/docs/fr/products/cloud/features/admin-features/api/openapi) ou utiliser une clé existante.
## Obtenir le service attachment GCP et le nom DNS pour Private Service Connect
### Option 1 : console ClickHouse Cloud
Dans la console ClickHouse Cloud, ouvrez le service que vous souhaitez connecter via Private Service Connect, puis ouvrez le menu **Settings**. Cliquez sur le bouton **Set up private endpoint**. Notez le **Service name** (`endpointServiceId`) et le **DNS name** (`privateDnsHostname`). Vous les utiliserez aux étapes suivantes.
### Option 2 : API
Vous devez disposer d’au moins une instance déployée dans la région pour effectuer cette étape.
Récupérez le service attachment GCP et le nom DNS pour Private Service Connect :
```bash theme={null}
curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}/privateEndpointConfig" | jq .result
{
"endpointServiceId": "projects/.../regions/us-central1/serviceAttachments/production-us-central1-clickhouse-cloud",
"privateDnsHostname": "xxxxxxxxxx.us-central1.p.gcp.clickhouse.cloud"
}
```
Prenez note de `endpointServiceId` et de `privateDnsHostname`. Vous les utiliserez dans les étapes suivantes.
## Créer un point de terminaison de service
Cette section présente les détails propres à ClickHouse pour configurer ClickHouse via GCP PSC (Private Service Connect). Les étapes propres à GCP sont fournies à titre de référence pour vous indiquer où trouver les informations nécessaires, mais elles peuvent évoluer au fil du temps sans préavis de la part du fournisseur cloud GCP. Veuillez adapter la configuration GCP à votre cas d’usage.
Veuillez noter que ClickHouse n’est pas responsable de la configuration des points de terminaison GCP PSC ou des enregistrements DNS requis.
Pour tout problème lié aux tâches de configuration GCP, contactez directement le support GCP.
Dans cette section, vous allez créer un point de terminaison de service.
### Ajout d’une Private Service Connection
Tout d’abord, vous allez créer une Private Service Connection.
#### Option 1 : Utiliser la console Google Cloud
Dans la console Google Cloud, accédez à **Network services -> Private Service Connect**.
Ouvrez la boîte de dialogue de création de Private Service Connect en cliquant sur le bouton **Connect Endpoint**.
* **Target** : utilisez **Published service**
* **Target service** : utilisez `endpointServiceId`API ou `Service name`console à l’étape [Obtain GCP service attachment for Private Service Connect](#obtain-gcp-service-attachment-and-dns-name-for-private-service-connect).
* **Endpoint name** : définissez un nom pour l’**Endpoint name** PSC.
* **Network/Subnetwork/IP address** : choisissez le réseau à utiliser pour la connexion. Vous devrez créer une adresse IP ou utiliser une adresse existante pour le point de terminaison Private Service Connect. Dans notre exemple, nous avons créé au préalable une adresse nommée **your-ip-address** et lui avons attribué l’adresse IP `10.128.0.2`.
* Pour rendre le point de terminaison accessible depuis n’importe quelle région, vous pouvez cocher la case **Enable global access**.
Pour créer le point de terminaison PSC, utilisez le bouton **ADD ENDPOINT**.
La colonne **Status** passera de **Pending** à **Accepted** une fois la connexion approuvée.
Copiez ***PSC Connection ID*** ; vous l’utiliserez comme ***Endpoint ID*** dans les étapes suivantes.
#### Option 2 : utiliser Terraform
```json theme={null}
provider "google" {
project = "my-gcp-project"
region = "us-central1"
}
variable "region" {
type = string
default = "us-central1"
}
variable "subnetwork" {
type = string
default = "https://www.googleapis.com/compute/v1/projects/my-gcp-project/regions/us-central1/subnetworks/default"
}
variable "network" {
type = string
default = "https://www.googleapis.com/compute/v1/projects/my-gcp-project/global/networks/default"
}
resource "google_compute_address" "psc_endpoint_ip" {
address = "10.128.0.2"
address_type = "INTERNAL"
name = "your-ip-address"
purpose = "GCE_ENDPOINT"
region = var.region
subnetwork = var.subnetwork
}
resource "google_compute_forwarding_rule" "clickhouse_cloud_psc" {
ip_address = google_compute_address.psc_endpoint_ip.self_link
name = "ch-cloud-${var.region}"
network = var.network
region = var.region
load_balancing_scheme = ""
# service attachment
target = "https://www.googleapis.com/compute/v1/$TARGET" # See below in notes
}
output "psc_connection_id" {
value = google_compute_forwarding_rule.clickhouse_cloud_psc.psc_connection_id
description = "Add GCP PSC Connection ID to allow list on instance level."
}
```
utilisez `endpointServiceId`API ou `Service name`console de l’étape [Obtenir le service attachment GCP pour Private Service Connect](#obtain-gcp-service-attachment-and-dns-name-for-private-service-connect)
## Définir le nom DNS privé de l’endpoint
Il existe plusieurs façons de configurer le DNS. Configurez-le en fonction de votre cas d’usage.
Vous devez faire pointer le « nom DNS », obtenu à l’étape [Obtain GCP service attachment for Private Service Connect](#obtain-gcp-service-attachment-and-dns-name-for-private-service-connect), vers l’adresse IP de l’endpoint GCP Private Service Connect. Cela garantit que les services/composants de votre VPC/réseau pourront le résoudre correctement.
Il ne suffit pas de se connecter directement à l’adresse IP de l’endpoint PSC. ClickHouse Cloud achemine les connexions en fonction du nom DNS (via le SNI pendant le handshake TLS) ; vous devez donc configurer le DNS pour qu’il résolve le nom d’hôte DNS privé (`privateDnsHostname`) vers l’adresse IP de l’endpoint. Sans cela, ClickHouse Cloud ne pourra pas identifier à quel service la connexion est destinée, et la connexion échouera.
## Ajouter l’Endpoint ID à l’organisation ClickHouse Cloud
### Option 1 : console ClickHouse Cloud
Pour ajouter un endpoint à votre organisation, passez à l’étape [Ajouter "Endpoint ID" à la liste d’autorisation du service ClickHouse](#add-endpoint-id-to-services-allow-list). L’ajout du `PSC Connection ID` à la liste d’autorisation du service via la console ClickHouse Cloud l’ajoute automatiquement à l’organisation.
Pour supprimer un endpoint, ouvrez **Organization details -> Private Endpoints** et cliquez sur le bouton de suppression pour retirer l’endpoint.
### Option 2 : API
Définissez ces variables d’environnement avant d’exécuter des commandes :
Remplacez `ENDPOINT_ID` ci-dessous par la valeur indiquée dans **Endpoint ID** à l’étape [Ajout d’une Private Service Connection](#adding-a-private-service-connection).
Pour ajouter un endpoint, exécutez :
```bash theme={null}
cat <
## Ajouter « Endpoint ID » à la liste d’autorisation du service ClickHouse
Vous devez ajouter un Endpoint ID à la liste d’autorisation de chaque instance devant être accessible via Private Service Connect.
### Option 1 : console ClickHouse Cloud
Dans la console ClickHouse Cloud, ouvrez le service que vous souhaitez connecter via Private Service Connect, puis accédez à **Settings**. Saisissez l’`Endpoint ID` récupéré lors de l’étape [Ajout d’une Private Service Connection](#adding-a-private-service-connection). Cliquez sur **Create endpoint**.
Si vous souhaitez autoriser l’accès depuis une connexion Private Service Connect existante, utilisez le menu déroulant des endpoints existants.
### Option 2 : API
Définissez ces variables d’environnement avant d’exécuter la moindre commande :
Remplacez **ENDPOINT\_ID** ci-dessous par la valeur de **Endpoint ID** indiquée à l’étape [Ajout d’une Private Service Connection](#adding-a-private-service-connection).
Exécutez cette opération pour chaque service devant être accessible via Private Service Connect.
Pour ajouter :
```bash theme={null}
cat <
## Accéder à l’instance à l’aide de Private Service Connect
Chaque service pour lequel Private Service Connect est activé dispose d’un point de terminaison public et d’un point de terminaison privé. Pour vous connecter à l’aide de Private Service Connect, vous devez utiliser le point de terminaison privé, c’est-à-dire le `privateDnsHostname` obtenu à l’étape [Obtenir le service attachment GCP pour Private Service Connect](#obtain-gcp-service-attachment-and-dns-name-for-private-service-connect).
### Récupérer le nom d’hôte DNS privé
#### Option 1 : console ClickHouse Cloud
Dans la console ClickHouse Cloud, accédez à **Settings**. Cliquez sur le bouton **Set up private endpoint**. Dans le volet qui s’ouvre, copiez le **DNS Name**.
#### Option 2 : API
```bash theme={null}
curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}/privateEndpointConfig" | jq .result
```
```response theme={null}
{
...
"privateDnsHostname": "xxxxxxx..p.gcp.clickhouse.cloud"
}
```
Dans cet exemple, la connexion au nom d’hôte `xxxxxxx.yy-xxxxN.p.gcp.clickhouse.cloud` sera acheminée via Private Service Connect. En revanche, `xxxxxxx.yy-xxxxN.gcp.clickhouse.cloud` sera acheminé via Internet.
## Dépannage
### Tester la configuration DNS
DNS\_NAME - Utilisez `privateDnsHostname` indiqué à l’étape [Obtenir le service attachment GCP pour Private Service Connect](#obtain-gcp-service-attachment-and-dns-name-for-private-service-connect)
```bash theme={null}
nslookup $DNS_NAME
```
```response theme={null}
Non-authoritative answer:
...
Address: 10.128.0.2
```
### Connexion réinitialisée par l’hôte distant
* Il est très probable que l’Endpoint ID n’ait pas été ajouté à la liste d’autorisation du service. Revenez à l’étape [*Ajouter l’Endpoint ID à la liste d’autorisation des services*](#add-endpoint-id-to-services-allow-list).
### Tester la connectivité
Si vous rencontrez des problèmes de connexion via un lien PSC, vérifiez la connectivité à l’aide de `openssl`. Assurez-vous que l’état du point de terminaison Private Service Connect est `Accepted` :
OpenSSL doit pouvoir se connecter (la sortie doit afficher CONNECTED). `errno=104` est attendu.
DNS\_NAME - Utilisez `privateDnsHostname` de l’étape [Obtain GCP service attachment for Private Service Connect](#obtain-gcp-service-attachment-and-dns-name-for-private-service-connect)
```bash theme={null}
openssl s_client -connect ${DNS_NAME}:9440
```
```response highlight={1} theme={null}
CONNECTED(00000003)
write:errno=104
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 335 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)
```
### Vérification des filtres d’endpoint
#### API REST
```bash theme={null}
curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" -X GET -H "Content-Type: application/json" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}" | jq .result.privateEndpointIds
[
"102600141743718403"
]
```
### Connexion à une base de données distante
Selon la [documentation GCP Private Service Connect](https://cloud.google.com/vpc/docs/private-service-connect) :
> Conception orientée service : les services producteurs sont publiés via des équilibreurs de charge qui exposent une adresse IP unique au réseau VPC consommateur. Le trafic du consommateur qui accède aux services producteurs est unidirectionnel et ne peut accéder qu'à l'adresse IP du service, plutôt qu'à l'ensemble d'un réseau VPC appairé.
Pour connecter les [fonctions de table MySQL](/docs/fr/reference/functions/table-functions/mysql) ou [PostgreSQL](/docs/fr/reference/functions/table-functions/postgresql) dans ClickHouse Cloud à une base de données hébergée dans votre VPC GCP, configurez les règles de pare-feu de votre VPC GCP afin d'autoriser les connexions depuis ClickHouse Cloud. Consultez les [adresses IP de sortie par défaut des régions ClickHouse Cloud](/docs/fr/products/cloud/guides/data-sources/cloud-endpoints-api), ainsi que les [adresses IP statiques disponibles](https://api.clickhouse.cloud/static-ips.json).
## Informations complémentaires
Pour plus de détails, consultez [cloud.google.com/vpc/docs/configure-private-service-connect-services](https://cloud.google.com/vpc/docs/configure-private-service-connect-services).