Skip to main content
ClickHouse Managed Postgres には、データを保護し、コンプライアンス要件を満たすためのエンタープライズレベルのセキュリティ機能が備わっています。このページでは、ネットワークセキュリティ、暗号化、バックアップ保持期間のポリシーについて説明します。

​
IP アドレスの許可リスト設定

IP フィルタは、ClickHouse Managed Postgres インスタンスへの接続を許可する送信元 IP アドレスを制御し、未承認の接続からデータベースを保護するためのネットワークレベルのアクセス制御を提供します。

​
IP フィルタの設定

IP フィルタを設定するには、次の手順に従います。
  1. 設定 タブに移動します
  2. IP フィルタ の Edit をクリックします
  3. 接続を許可する IP アドレスまたは CIDR 範囲を追加します
  4. Save をクリックして変更を適用します
次を指定できます。
  • 個別の IP アドレス (例: 203.0.113.5)
  • ネットワークの CIDR 範囲 (例: 192.168.1.0/24)
  • すべての IP アドレスを許可する Anywhere (本番環境では非推奨)
  • すべての接続をブロックする Nowhere
本番環境のベストプラクティスIP フィルタが設定されていない場合、すべての IP アドレスからの接続が許可されます。本番ワークロードでは、既知の IP アドレスまたは CIDR 範囲のみにアクセスを制限してください。アクセスを許可する対象として、以下を検討してください。
  • アプリケーションサーバー
  • VPN ゲートウェイの IP アドレス
  • 管理アクセス用の踏み台サーバー
  • 自動デプロイ用の CI/CD パイプラインの IP アドレス

​
暗号化

ClickHouse Managed Postgres では、包括的なデータ保護を実現するため、保存時と転送時の両方でデータが暗号化されます。

​
保存時の暗号化

ClickHouse Managed Postgres に保存されるすべてのデータは、基盤となるストレージインフラストラクチャへの不正アクセスから保護するため、保存時に暗号化されます。

​
NVMe ストレージの暗号化

NVMe ドライブに保存されるデータベースファイル、トランザクションログ、一時ファイルは、業界標準の暗号化アルゴリズムで暗号化されています。この暗号化はアプリケーションには透過的で、設定は不要です。

​
オブジェクトストレージの暗号化

オブジェクトストレージに保存されるバックアップと Write-Ahead Log (WAL) アーカイブも、保存時に暗号化されます。これには次のものが含まれます。
  • 日次のフルバックアップ
  • インクリメンタル WAL アーカイブ
  • ポイントインタイム リカバリ用データ
すべてのバックアップデータは、各インスタンス専用の認証情報が設定された、専用かつ分離されたストレージバケットに保存されます。これにより、バックアップデータの安全性が確保され、許可されたシステムのみがアクセスできます。
保存時の暗号化は、すべての ClickHouse Managed Postgres インスタンスでデフォルトで有効になっており、無効にすることはできません。追加の設定は不要です。

​
転送時の暗号化

ClickHouse Managed Postgres へのすべてのネットワーク接続は、アプリケーションとデータベースの間で送受信されるデータを保護するため、TLS (Transport Layer Security) で保護されています。

​
TLS/SSL の設定

デフォルトでは、接続に TLS 暗号化が使用されますが、証明書の検証は行われません。本番ワークロードでは、正しいサーバーと通信していることを確実にするため、証明書を検証した TLS で接続することを推奨します。 TLS の設定と接続オプションの詳細については、接続 ページを参照してください。 AWS PrivateLink を使用すると、ClickHouse Managed Postgres インスタンスとお客様の AWS Virtual Private Cloud (VPC) との間で、トラフィックをパブリックインターネットに公開することなく、プライベート接続を確立できます。これにより、ネットワーク分離とセキュリティがさらに強化されます。
手動でのセットアップが必要ですAWS PrivateLink はサポートされていますが、ClickHouse Support による手動設定が必要です。この機能は、厳格なネットワーク分離要件を持つ Enterprise のお客様に最適です。
ClickHouse Managed Postgres インスタンスで AWS PrivateLink を有効にするには、次の手順に従ってください。
  1. サポートチケットを作成して ClickHouse Support に連絡します
  2. 次の情報を提供します:
    • ClickHouse の Organization ID
    • Postgres service の ID/hostname
    • プライベートリンクの接続先としたい AWS アカウント ID/ARN
      • (任意) Postgres インスタンスの Region 以外で、接続元として使用したい Region
  3. ClickHouse Support が次を実施します:
    • ClickHouse Managed Postgres 側でプライベートリンクの endpoint をプロビジョニングします
    • endpoint の connection details を提供します。これを使用して endpoint インターフェイスを作成できます。
  4. AWS PrivateLink を Setup します:
    • AWS の設定で endpoint インターフェイスに移動し、ClickHouse Support から提供された設定を使用して AWS PrivateLink を作成します。
    • AWS PrivateLink が “Available” 状態になったら、AWS UI に表示される Private DNS 名を使用して接続できます。

​
GCP Private Service Connect

GCP Private Service Connect (PSC) を使用すると、トラフィックをパブリックインターネットに公開することなく、ClickHouse Managed Postgres インスタンスと Google Cloud の Virtual Private Cloud (VPC) との間にプライベート接続を確立できます。これにより、ネットワークの分離とセキュリティをさらに強化できます。
手動セットアップが必要ですGCP Private Service Connect は利用可能ですが、ClickHouse Support による手動設定が必要です。この機能は、ネットワーク分離に関して厳格な要件を持つエンタープライズのお客様に最適です。

​
GCP Private Service Connect の設定を依頼する

アクセスは GCP プロジェクト単位ではなく、Private Service Connect エンドポイント単位で許可されます。作成して ClickHouse Support に通知したエンドポイントのみが承認されるため、設定にはサポートとのやり取りが 2 段階必要です。 ClickHouse Managed Postgres インスタンスで GCP Private Service Connect を有効にするには、以下の手順に従います。
  1. ClickHouse Support に連絡するため、サポートチケットを作成します
  2. 以下の情報を伝えます：
    • ClickHouse の Organization ID
    • Postgres service の ID/ホスト名
  3. ClickHouse Support が以下を行います：
    • ClickHouse Managed Postgres 側に Private Service Connect のサービスアタッチメントをプロビジョニングします
    • エンドポイントの作成に使用するサービスアタッチメント ID を提供します。
  4. Private Service Connect エンドポイントを作成します：
    • ClickHouse Support から提供されたサービスアタッチメント ID を使用し、Postgres service と同じリージョンの VPC 内に Private Service Connect エンドポイントを作成します。Private Service Connect エンドポイントはリージョン単位のため、リージョンをまたぐ接続はサポートされていません。
    • GCP コンソールでは、接続が「Pending」と表示されます。ClickHouse Support が承認するまでは正常な状態です。
    • エンドポイントの PSC 接続 ID を確認します。GCP コンソールのエンドポイント画面で確認するか、以下を実行します。
    • 同じサポートチケットで、PSC 接続 ID を ClickHouse Support に伝えます。
  5. ClickHouse Support が以下を行います：
    • エンドポイントをサービスアタッチメントの許可リストに追加します。追加されると、接続の状態が「Pending」から「Accepted」に変わります。
  6. ClickHouse Managed Postgres インスタンスに接続します：
    • エンドポイントが「Accepted」状態になったら、エンドポイント IP のポート 5432 (直接接続) または 6432 (プーラー) を使用して接続できます。
    • エンドポイント IP には Postgres のホスト名と一致する DNS 名がないため、sslmode=require を使用します。sslmode=verify-full を使用する場合は、Postgres のホスト名をエンドポイント IP に対応付けるプライベート Cloud DNS レコードを追加します。
別の VPC から接続する場合やエンドポイントを再作成した場合など、同じインスタンスにエンドポイントを追加するには、手順 4 と 5 を繰り返します。同じサービスアタッチメント ID を使用してエンドポイントを作成し、その PSC 接続 ID を ClickHouse Support に伝えます。エンドポイントのアクセスを取り消すには、ClickHouse Support に許可リストからの削除を依頼します。

​
バックアップ保持期間

ClickHouse Managed Postgres は、誤削除や破損、その他のデータ損失から保護するために、データを自動的にバックアップします。

​
保持ポリシー

  • デフォルトの保持期間: 7日間
  • バックアップ頻度: 毎日のフルバックアップ + 継続的なWALアーカイブ (60秒ごと、または16 MBに達した時点のいずれか早い方)
  • 復旧の粒度: 保持期間内の任意の時点へのポイントインタイムリカバリ

​
バックアップのセキュリティ

バックアップは、主要データと同等のセキュリティ保証の下で保存されます。
  • オブジェクトストレージでの保存時の暗号化
  • スコープが限定された認証情報を備えた、インスタンスごとに分離されたストレージバケット
  • バックアップに紐付けられた Postgres インスタンスのみに制限されたアクセス制御
バックアップ戦略とポイントインタイム リカバリの詳細については、バックアップと復元ページを参照してください。