Skip to main content
AWS PrivateLink を使用すると、トラフィックをパブリックインターネットに公開することなく、VPC 間、AWS のサービス、オンプレミスのシステム、ClickHouse Cloud の間で安全な接続を確立できます。 このドキュメントでは、AWS PrivateLink VPC エンドポイントを設定できる ClickPipes のリバースプライベートエンドポイント機能について説明します。

​
ClickPipes でサポートされているデータソース

ClickPipes のリバース プライベート エンドポイント機能は、以下の データソースタイプでのみサポートされています。
  • Kafka
  • Postgres
  • MySQL
  • MongoDB
Kafka の場合、ホスト名がそのエンドポイントのプライベート IP アドレスに解決されるのであれば、スキーマレジストリ はブローカーと同じリバース プライベート エンドポイント経由でアクセスでき、パブリックに公開する必要はありません。
ClickPipes の リバースプライベートエンドポイント は、以下のいずれかの AWS PrivateLink 方式で設定できます。

​
VPC リソース

クロスリージョンはサポートされていません。
ClickPipes では、PrivateLink を使用して VPC リソースにアクセスできます。この方法では、データソースの前段にロードバランサーを配置する必要はありません。 リソース設定の対象には、特定のホストまたは RDS クラスター ARN を指定できます。 RDS クラスターからデータを取り込む Postgres CDC (変更データキャプチャ) では、この方法が推奨されます。 VPC リソースで PrivateLink を設定するには、次の手順を実行します。
  1. リソースゲートウェイを作成する
  2. リソース設定を作成する
  3. リソース共有を作成する
1

リソースゲートウェイを作成する

リソースゲートウェイは、VPC 内で指定されたリソース宛てのトラフィックを受け取る受信ポイントです。
リソースゲートウェイにアタッチするサブネットには、十分な数の利用可能な IP アドレスを確保しておくことを推奨します。 各サブネットには、少なくとも /26 のサブネットマスクを使用することを推奨します。AWS では、各 VPC エンドポイント (各 Reverse Private Endpoint) について、サブネットごとに連続した 16 個の IP アドレスのブロックが必要です。(/28 サブネットマスク) この要件を満たしていない場合、Reverse Private Endpoint は失敗状態に遷移します。
リソースゲートウェイは、AWS コンソール から作成することも、次のコマンドを使用して作成することもできます。
出力には resource gateway ID が含まれます。これは次の手順で必要になります。先に進むには、resource gateway が Active 状態になるまで待つ必要があります。状態は、次のコマンドを実行して確認できます。
2

VPC リソース設定を作成する

リソースにアクセスできるようにするには、Resource-Configuration を resource gateway に関連付けます。Resource-Configuration は、AWS コンソール または次のコマンドで作成できます。
最もシンプルなresource configuration typeは、単一の Resource-Configuration です。ARN を直接指定して設定することも、パブリックに名前解決可能な IP アドレスまたはドメイン名を共有することもできます。たとえば、RDS クラスターの ARN を使って設定する場合は、次のようにします。
パブリックアクセス可能なクラスターでは、resource configuration を作成できません。 クラスターがパブリックアクセス可能な場合は、resource configuration を作成する前に、 クラスターをプライベートに変更する必要があります。 または、代わりに IP allow list を使用してください。 詳しくは、AWS ドキュメント を参照してください。
出力には Resource-Configuration ARN が含まれ、これは次のステップで必要になります。また、Resource-Configuration ID も含まれ、これは VPC リソースで ClickPipe connection を設定する際に必要です。
3

Resource-Share を作成する

リソースを共有するには、Resource-Share が必要です。これは Resource Access Manager (RAM) を使用して行います。
Resource-Share は 1 つの Reverse Private Endpoint でのみ使用でき、再利用はできません。 同じ Resource-Configuration を複数の Reverse Private Endpoint で使用する必要がある場合は、 各エンドポイントごとに個別の Resource-Share を作成する必要があります。 Resource-Share は Reverse Private Endpoint を削除した後も AWS アカウントに残るため、 不要になった場合は手動で削除する必要があります。
AWS コンソール を使用するか、ClickPipes アカウント ID 072088201116 (arn:aws:iam::072088201116:root) を指定して次のコマンドを実行することで、Resource-Configuration を Resource-Share に追加できます。
出力には Resource-Share ARN が含まれており、これは VPC リソース用の ClickPipe 接続を設定する際に必要です。これで、VPC リソースを使用して Reverse private endpoint で ClickPipe を作成 できます。必要な作業は次のとおりです。
  • VPC endpoint type を VPC Resource に設定します。
  • Resource configuration ID を、手順 2 で作成した Resource-Configuration の ID に設定します。
  • Resource share ARN を、手順 3 で作成した Resource-Share の ARN に設定します。
VPC リソースでの PrivateLink の詳細については、AWS ドキュメント を参照してください。

​
MSK マルチ VPC 接続

マルチ VPC 接続は AWS MSK の組み込み機能で、複数の VPC を 1 つの MSK クラスターに接続できます。 プライベート DNS は標準でサポートされており、追加設定は不要です。 クロスリージョンはサポートされていません。 これは MSK 向け ClickPipes の推奨オプションです。 詳細については、Getting Started ガイドを参照してください。
MSK クラスターのポリシーを更新し、MSK クラスターで許可するプリンシパルに 072088201116 を追加してください。 詳細については、AWS ガイドのクラスター ポリシーのアタッチを参照してください。
接続の設定方法については、ClickPipes 向け MSK セットアップガイドを参照してください。

​
VPC エンドポイントサービス

VPC エンドポイントサービスは、ClickPipes にデータソースを共有するための別の方法です。 これには、データソースの前段に NLB (Network Load Balancer) を設定し、 その NLB を使用するように VPC エンドポイントサービスを設定する必要があります。 VPC エンドポイントサービスはプライベート DNS で設定でき、ClickPipes の VPC 内からアクセス可能になります。 AWS PrivateLink のマネージドプライベート DNS は、常に利用できる選択肢とは限りません。
  • データソースのドメイン名を所有していないため、AWS で検証できない
  • Confluent Cloud のように、プロバイダーがコンシューマー側で DNS 解決を管理することを求める このような場合は、カスタム プライベート DNSを参照してください。
特に次のような場合に適しています。 詳細については、Getting Started ガイドを参照してください。
ClickPipes のアカウント ID 072088201116 を、VPC エンドポイントサービスの許可されたプリンシパルに追加してください。 詳細については、権限の管理に関する AWS ガイドを参照してください。
ClickPipes では、クロスリージョンアクセス を設定できます。VPC エンドポイントサービスの許可されたリージョンに、ClickPipe のリージョンを追加してください。
MSK クラスターについては、カスタムプライベート DNS 名を使用する、エンドポイントサービスごとに 1 つのブローカー構成について説明した AWS PrivateLink VPC endpoint service for MSK cluster を参照してください。

​
カスタム プライベート DNS

カスタム プライベート DNS はプライベートプレビューです。ご利用のサービスで有効にするには、ClickHouse Support にお問い合わせください。
AWS PrivateLink は、検証済みドメインを持つ VPC エンドポイントサービス向けにマネージド プライベート DNSを提供します。 ただし、サービスによっては、各コンシューマーが自身の VPC 内で DNS 解決を管理する必要があります。たとえば Confluent Cloud では、コンシューマーがブローカーのホスト名を PrivateLink エンドポイントに解決する必要があります。 このようなケースに対応するため、ClickPipes ではリバースプライベート エンドポイントにカスタム プライベート DNS 名を関連付けることができます。ClickPipes はこれらの名前をエンドポイントのプライベートアドレスに解決するため、データ ソースはプライベート接続を通じて自身のホスト名で到達可能になります。 カスタム プライベート DNS はマネージド プライベート DNS を補完するものであり、置き換えるものではありません。PrivateLink サービスがすでに プライベート DNS 名を提供している場合は、カスタム名は不要です。 カスタム プライベート DNS 名は、VPC エンドポイントサービス および VPC リソース のエンドポイントタイプでサポートされています。MSK マルチ VPC は標準でマネージド プライベート DNS を提供しているため、カスタム名には対応していません。
ClickHouse Cloud console は現在、リバースプライベート エンドポイントごとに 1 つのカスタム プライベート DNS 名をサポートしています。 同じエンドポイントで複数のカスタム プライベート DNS 名を管理する必要がある場合は、OpenAPI または Terraform を使用してください。
カスタム プライベート DNS 名には、以下のルールが適用されます。
  • 完全一致の名前 (kafka.internal.example.com) とワイルドカード名 (*.example.com) が サポートされます。ワイルドカードは単一の DNS ラベルに一致します。たとえば、 *.abcde12345.us-east-1.aws.confluent.cloud は b0-lkc123.abcde12345.us-east-1.aws.confluent.cloud に一致します。
  • 名前は、ワイルドカード名と完全一致名の重複も含めて、ClickHouse サービスのすべてのリバースプライベート エンドポイント間で一意である必要があります。
  • 予約済みの接尾辞配下の名前 (例: local, localhost, internal, corp, private) は拒否されます。
カスタム プライベート DNS 名を設定するには、次のいずれかを行います。
  • ClickHouse Cloud console で、リバースプライベート エンドポイントを作成する際に Custom private DNS name フィールドに入力します。このフィールドは、 ご利用のサービスでこの機能が有効になると表示されます。
  • OpenAPI では、 リバースプライベート エンドポイントの作成時に customPrivateDnsMappings を設定するか、既存の エンドポイントを PATCH リクエストで更新します。更新するとマッピングの一覧全体が置き換えられ、空の一覧を指定すると すべてのカスタム名が削除されます。
  • Terraform では、 clickhouse_clickpipes_reverse_private_endpoint_custom_private_dns リソースを使用して、既存のリバースプライベート エンドポイントのマッピングを管理します。

​
リバース プライベート エンドポイント を使用した ClickPipe の作成

  1. ClickHouse Cloud サービスの SQL Console にアクセスします。
  1. 左側のメニューで Data Sources ボタンを選択し、「ClickPipe をセットアップ」をクリックします。
  1. データソースとして Kafka または Postgres を選択します。
  1. リバース プライベート エンドポイント オプションを選択します。
  1. 既存の リバース プライベート エンドポイント を選択するか、新規に作成します。
RDS で cross-region アクセスが必要な場合は、VPC エンドポイントサービスを作成する必要があります。 設定の出発点として、このガイドが役立ちます。同一 Region 内でアクセスする場合は、VPC リソースを作成する方法を推奨します。
  1. 選択した endpoint タイプに必要なパラメータを入力します。
  • VPC リソースの場合は、configuration share ARN と configuration ID を入力します。
    • MSK マルチ VPC の場合は、クラスター ARN と、作成した endpoint で使用する authentication method を入力します。
    • VPC エンドポイントサービスの場合は、サービス名を入力します。
    • 必要に応じて、カスタム プライベート DNS 名を入力します。
  1. Create をクリックし、リバース プライベート エンドポイント の準備が完了するまで待ちます。 新しい endpoint を作成する場合は、セットアップに少し時間がかかります。 endpoint の準備が完了すると、ページは自動的に更新されます。 VPC エンドポイントサービスでは、AWS コンソールで接続リクエストを承認する必要がある場合があります。
  1. endpoint の準備ができたら、DNS 名を使用してデータソースに接続できます。 endpoint の一覧で、利用可能な endpoint の DNS 名を確認できます。 これは、ClickPipes が内部的にプロビジョニングした DNS 名、PrivateLink サービスが提供する プライベート DNS 名、 または カスタム プライベート DNS name のいずれかです。 DNS 名は完全なネットワークアドレスではありません。 データソースに応じてポートを追加してください。 MSK の接続文字列は AWS コンソールで確認できます。 DNS 名の完全な一覧を確認するには、Cloud サービスの設定にアクセスしてください。

​
既存のリバースプライベートエンドポイントの管理

既存のリバースプライベートエンドポイントは、ClickHouse Cloud サービスの設定で管理できます。
  1. サイドバーで Settings ボタンを見つけてクリックします。
  2. ClickPipe reverse private endpoints セクションで Reverse private endpoints をクリックします。 リバースプライベートエンドポイントの詳細情報がフライアウトに表示されます。 ここからエンドポイントを削除することもできます。削除すると、このエンドポイントを使用しているすべての ClickPipes に影響します。
ClickPipes における AWS PrivateLink のサポートは、特定の AWS リージョンに限定されています。 利用可能なリージョンを確認するには、ClickPipes のリージョン一覧を参照してください。 この制限は、クロスリージョン接続が有効な PrivateLink VPC エンドポイントサービスには適用されません。

​
制限事項

ClickHouse Cloud で作成された ClickPipes 用の AWS PrivateLink エンドポイントは、 ClickHouse Cloud サービスと同じ AWS リージョンに作成される保証はありません。 現時点でクロスリージョン接続をサポートしているのは VPC エンドポイントサービスのみです。 プライベート エンドポイントは特定の ClickHouse サービスに紐付けられており、サービス間で移行することはできません。 1 つの ClickHouse サービスに対する複数の ClickPipes で、同じエンドポイントを共有できます。 AWS MSK は、認証タイプ (SASL_IAM または SASL_SCRAM) ごとに、MSK クラスターあたり 1 つの PrivateLink (VPC エンドポイント) のみをサポートします。そのため、複数の ClickHouse Cloud サービスまたは組織は、同じ認証タイプを使って同じ MSK クラスターへの個別の PrivateLink 接続を作成することはできません。

​
非アクティブなエンドポイントの自動クリーンアップ

終端状態のままになっているリバース プライベート エンドポイントは、所定の猶予期間が経過すると自動的に削除されます。 これにより、未使用または設定に不備のあるエンドポイントが無期限に残り続けるのを防ぎます。 エンドポイントのステータスに応じて、次の猶予期間が適用されます。 猶予期間が経過すると、エンドポイントと関連するすべてのリソースが自動的に削除されます。 自動削除を防ぐには、猶予期間が切れる前に根本的な問題を解消してください。 たとえば、AWS コンソールで保留中の接続リクエストを承認するか、 Failed 状態になっている場合はエンドポイントを再作成してください。
最終更新日 2026年7月24日