ClickHouse Connectorはプライベートプレビュー中です。アクセスをリクエストするには、ClickHouseのアカウントチームにお問い合わせください。
コネクタの機能
clicklink という単一のバイナリとして提供され、コネクタデーモンと、それらのインストールおよび運用に使用する clicklink clctl コマンドラインツールの両方が含まれています。
コネクタは 2 つのコンポーネントで構成されています。
- スクレイパーは、許可リストに含まれる ClickHouse システムテーブルからメトリクスを収集し、インフラストラクチャのメタデータとヘルスステータスとともに ClickHouse Cloud へ送信します。
- トラブルシューターは、ClickHouse のサポートエンジニアが読み取り専用の診断を実行できるようにします。ただし、実行できるのは、有効化した後いつでも終了できるサポートセッション中に限られます。
使用する場面
- すべてのアクセス経路が境界内から発信され、インバウンド接続がないこと。
- サポートアクセスに時間制限があり、お客様自身が有効化でき、いつでも取り消せること。
- ClickHouse が読み取るものはすべて読み取り専用であること。ClickHouse テーブルには常に読み取り専用でアクセスし、お客様が有効化したセッション中に限り、ネームスペース単位のワークロードメタデータとログにもアクセスします。すべてのサポートセッションのコマンドは、お客様が所有する監査ログに記録されます。
仕組み
clicklink clctl init --enroll を1回実行します。この1回の実行で、トークンの引き換え、各コンポーネント専用の読み取り専用 ClickHouse ユーザーの作成、mTLS クライアント証明書の取得、デーモンのデプロイと起動、および正常性の確認が行われます。
以降、スクレイパーは許可リストに登録されたシステムテーブルを定期的に読み取り、メトリクス、メタデータ、ヘルスステータスを相互認証 TLS 経由でコネクタエンドポイントに送信します。トラブルシューターはアイドル状態のままです。アウトバウンドのコマンドチャネルを維持しますが、サポートセッションを有効にするまで、そのチャネルでは何も送信されません。mTLS 証明書は、お客様側での操作なしに自動更新されます。
要件の概要
- デプロイ先。 Helm チャートでインストールされた準拠 Kubernetes クラスター、または amd64 もしくは arm64 の systemd Linux ホスト。
- ポート 443 経由のアウトバウンドネットワークアクセス。 コネクタエンドポイントとその登録エンドポイントに加え、インストール時には
releases.clicklink.clickhouse.comおよび ECR Public へのアクセスが必要です。これは標準的な経路です。エアギャップ環境向けおよびミラーリング向けの代替手段も各手順で用意されています。詳細はオンボーディングを参照してください。 - 到達可能な ClickHouse ネイティブリスナー。 コネクタはネイティブプロトコルを介して各クラスターと通信します。Kubernetes ではセキュア (9440) または平文 (9000) のリスナーを自動検出します。
- 登録トークン。 ClickHouse はオンボーディング時に、コネクタエンドポイントと 1 回限りの登録トークンを提供します。
- セットアップ時の ClickHouse 管理者アクセス。 初期 Provisioning では、コネクタ用の読み取り専用ユーザーが作成されます。管理者パスワードが設定されている場合は一度だけ入力を求められ、保存されることはありません。
- Provisioning 時の Kubernetes API server への管理者アクセス。 両方のインストール先で必要です。アクセスバンドルは Kubernetes ServiceAccount に紐付けられます。詳細はオンボーディングを参照してください。
次のステップ
- オンボーディング: Kubernetes または Linux VM にコネクタをインストールし、登録する方法。
- アーキテクチャ: コンポーネント、すべての接続、証明書のライフサイクル、環境外に送信されるデータ。
- サポートセッション: サポートアクセスを有効化、対象範囲の設定、監査、取り消しする方法。
- 設定と操作: チューニング、アップグレード、運用開始後のタスク。
- よくある質問: データの送信やアクセスの取り消しを含む、よくある質問。