認証用SSLユーザー証明書の設定

このページは ClickHouse Cloud には適用されません。ここで説明している機能は ClickHouse Cloud サービスではご利用いただけません。詳しくは、ClickHouse の Cloud Compatibility ガイドを参照してください。

このガイドでは、SSL ユーザー証明書を使用した認証を設定するための、シンプルで最小限の設定について説明します。このチュートリアルは、TLS の設定ガイドを前提としています。

SSL ユーザー認証は、https、native、mysql、postgresql の各インターフェイスを使用する場合にサポートされます。ClickHouse ノードでは、安全な認証のために <verificationMode>strict</verificationMode> を設定する必要があります (ただし、テスト目的であれば relaxed でも動作します) 。MySQL インターフェイスで AWS NLB を使用する場合は、以下の未公開オプションを有効にするよう AWS サポートに依頼する必要があります。

当社の NLB の Proxy Protocol v2 を、以下の proxy_protocol_v2.client_to_server.header_placement,Value=on_first_ack のように設定できるようにしたいです。

SSLユーザー証明書を作成する

この例では、自己署名CAによる自己署名証明書を使用します。本番環境では、CSR を作成し、適切な証明書を取得するために PKI チームまたは証明書プロバイダーに提出してください。

Certificate Signing Request (CSR) と秘密鍵を生成します。基本的な形式は次のとおりです。

openssl req -newkey rsa:2048 -nodes -subj "/CN=<my_host>:<my_user>"  -keyout <my_cert_name>.key -out <my_cert_name>.csr

この例では、このサンプル環境で使用するドメインとユーザーに対して次を使用します。

openssl req -newkey rsa:2048 -nodes -subj "/CN=chnode1.marsnet.local:cert_user"  -keyout chnode1_cert_user.key -out chnode1_cert_user.csr

CN は任意であり、証明書の識別子として任意の文字列を使用できます。これは、以降の手順でユーザーを作成する際に使用されます。

認証に使用する新しいユーザー証明書を生成して署名します。基本的な形式は次のとおりです。

openssl x509 -req -in <my_cert_name>.csr -out <my_cert_name>.crt -CA <my_ca_cert>.crt -CAkey <my_ca_cert>.key -days 365

この例では、このサンプル環境で使用するドメインとユーザーに対して次を使用します。

openssl x509 -req -in chnode1_cert_user.csr -out chnode1_cert_user.crt -CA marsnet_ca.crt -CAkey marsnet_ca.key -days 365

SQLユーザーを作成し、権限を付与する

SQL ユーザーを有効にしてロールを設定する方法の詳細については、SQL ユーザーとロールの定義ユーザーガイドを参照してください。

証明書認証を使用する SQL ユーザーを作成します。

CREATE USER cert_user IDENTIFIED WITH ssl_certificate CN 'chnode1.marsnet.local:cert_user';

新しい証明書ユーザーに権限を付与します。
GRANT ALL ON *.* TO cert_user WITH GRANT OPTION;

説明のため、この演習ではこのユーザーに管理者の全権限を付与しています。権限の設定については、ClickHouse の RBAC ドキュメントを参照してください。

ユーザーとロールの定義には SQL を使用することを推奨します。ただし、現在設定ファイルでユーザーとロールを定義している場合、ユーザーは次のようになります。

<users>
    <cert_user>
        <ssl_certificates>
            <common_name>chnode1.marsnet.local:cert_user</common_name>
        </ssl_certificates>
        <networks>
            <ip>::/0</ip>
        </networks>
        <profile>default</profile>
        <access_management>1</access_management>
        {/* additional options*/}
    </cert_user>
</users>

検証

ユーザー証明書、ユーザー秘密鍵、および CA 証明書をリモートノードにコピーします。

証明書とパスを指定して、ClickHouse の client config で OpenSSL を設定します。

<openSSL>
    <client>
        <certificateFile>my_cert_name.crt</certificateFile>
        <privateKeyFile>my_cert_name.key</privateKeyFile>
        <caConfig>my_ca_cert.crt</caConfig>
    </client>
</openSSL>

clickhouse-client を実行します。

clickhouse-client --user <my_user> --query 'SHOW TABLES'

設定で証明書が指定されている場合、clickhouse-client に渡したパスワードは無視されることに注意してください。

HTTP のテスト

ユーザー証明書、ユーザー秘密鍵、および CA 証明書をリモートノードにコピーします。

curl を使用してサンプルの SQL コマンドをテストします。基本的な形式は次のとおりです。

echo 'SHOW TABLES' | curl 'https://<clickhouse_node>:8443' --cert <my_cert_name>.crt --key <my_cert_name>.key --cacert <my_ca_cert>.crt -H "X-ClickHouse-SSL-Certificate-Auth: on" -H "X-ClickHouse-User: <my_user>" --data-binary @-

例:

echo 'SHOW TABLES' | curl 'https://chnode1:8443' --cert chnode1_cert_user.crt --key chnode1_cert_user.key --cacert marsnet_ca.crt -H "X-ClickHouse-SSL-Certificate-Auth: on" -H "X-ClickHouse-User: cert_user" --data-binary @-

出力は次のようになります。

INFORMATION_SCHEMA
default
information_schema
system

パスワードが指定されていないことに注意してください。証明書がパスワードの代わりに使用され、ClickHouse はそれを用いてユーザーを認証します。

まとめ

この記事では、SSL証明書認証用のユーザーを作成して設定するための基本事項を説明しました。この方法は、clickhouse-client、または https インターフェイスをサポートし、HTTPヘッダーを設定できる任意のクライアントで使用できます。生成された証明書と秘密鍵は、証明書が ClickHouse データベース上の操作に対するユーザーの認証と認可に使用されるため、非公開にし、アクセスを制限して保管してください。証明書と秘密鍵は、パスワードと同様に扱ってください。

​まとめ

まとめ