Skip to main content
ClickHouse Managed Postgres는 데이터를 보호하고 컴플라이언스 요구 사항을 충족할 수 있도록 엔터프라이즈급 보안 기능을 갖추고 있습니다. 이 페이지에서는 네트워크 보안, 암호화, 백업 보존 정책을 설명합니다.

​
IP 허용 목록

IP 필터는 ClickHouse Managed Postgres 인스턴스에 연결할 수 있는 소스 IP 주소를 제어하며, 인증되지 않은 연결로부터 데이터베이스를 보호하는 네트워크 수준의 액세스 제어를 제공합니다.

​
IP 필터 구성

IP 필터를 구성하려면:
  1. 설정 탭으로 이동합니다
  2. IP 필터 아래에서 Edit를 클릭합니다
  3. 연결을 허용할 IP 주소 또는 CIDR 범위를 추가합니다
  4. 변경 사항을 적용하려면 Save를 클릭합니다
다음 값을 지정할 수 있습니다:
  • 개별 IP 주소(예: 203.0.113.5)
  • 네트워크의 CIDR 범위(예: 192.168.1.0/24)
  • Anywhere: 모든 IP 주소 허용(운영 환경에서는 권장되지 않음)
  • Nowhere: 모든 연결 차단
운영 환경 모범 사례IP 필터를 구성하지 않으면 모든 IP 주소의 연결이 허용됩니다. 운영 환경의 워크로드에서는 신뢰할 수 있는 IP 주소 또는 CIDR 범위로만 액세스를 제한하십시오. 다음 항목에 대해서만 액세스를 허용하는 방안을 고려하십시오:
  • 애플리케이션 서버
  • VPN gateway IP 주소
  • 관리용 배스천 호스트
  • 자동 배포를 위한 CI/CD pipeline IP

​
암호화

ClickHouse Managed Postgres는 포괄적인 데이터 보호를 위해 저장 시과 전송 중 모두 데이터를 암호화합니다.

​
저장 시 암호화

ClickHouse Managed Postgres에 저장되는 모든 데이터는 기반 스토리지 인프라에 대한 무단 액세스를 방지하기 위해 저장 시 암호화됩니다.

​
NVMe 스토리지 암호화

NVMe 드라이브에 저장되는 데이터베이스 파일, 트랜잭션 로그, 임시 파일은 업계 표준 암호화 알고리즘으로 암호화됩니다. 이 암호화는 애플리케이션에 투명하게 적용되며 별도의 구성이 필요하지 않습니다.

​
객체 스토리지 암호화

객체 스토리지에 저장되는 백업 및 Write-Ahead Log(WAL) 아카이브도 저장 시 암호화됩니다. 여기에는 다음이 포함됩니다.
  • 일일 전체 백업
  • 증분 WAL 아카이브
  • 시점 복구 데이터
모든 백업 데이터는 전용의 격리된 스토리지 버킷에 저장되며, 자격 증명은 각 인스턴스별로 범위가 제한됩니다. 이를 통해 백업 데이터의 보안이 유지되며, 권한이 부여된 시스템만 액세스할 수 있습니다.
저장 시 암호화는 모든 ClickHouse Managed Postgres 인스턴스에 기본적으로 적용되며, 비활성화할 수 없습니다. 추가 구성은 필요하지 않습니다.

​
전송 중 암호화

ClickHouse Managed Postgres에 대한 모든 네트워크 연결은 애플리케이션과 데이터베이스 간에 데이터가 전송되는 동안 이를 보호하기 위해 TLS(Transport Layer Security)로 보호됩니다.

​
TLS/SSL 구성

기본적으로 연결은 인증서 검증 없이 TLS로 암호화됩니다. 프로덕션 환경에서는 올바른 서버와 통신하고 있는지 확인할 수 있도록 인증서가 검증된 TLS로 연결하는 것을 권장합니다. TLS 구성 및 연결 옵션에 대한 자세한 내용은 Connection 페이지를 참조하십시오. AWS PrivateLink를 사용하면 ClickHouse Managed Postgres 인스턴스와 AWS Virtual Private Cloud(VPC) 사이에 퍼블릭 인터넷으로 트래픽을 노출하지 않는 프라이빗 연결을 설정할 수 있습니다. 이를 통해 네트워크 격리와 보안을 한층 강화할 수 있습니다.
수동 설정 필요AWS PrivateLink는 지원되지만, ClickHouse 지원팀을 통한 수동 구성이 필요합니다. 이 기능은 엄격한 네트워크 격리 요구 사항이 있는 엔터프라이즈 고객에게 적합합니다.
ClickHouse Managed Postgres 인스턴스에서 AWS PrivateLink를 활성화하려면 다음 단계를 수행하십시오.
  1. 지원 티켓을 생성하여 ClickHouse 지원팀에 문의합니다
  2. 다음 정보를 제공합니다:
    • ClickHouse 조직 ID
    • Postgres 서비스의 ID/호스트명
    • Private Link에 연결할 AWS 계정 ID/ARN
      • (선택 사항) Postgres 인스턴스 리전 외에 연결하려는 다른 리전
  3. ClickHouse 지원팀에서 다음 작업을 수행합니다:
    • ClickHouse Managed Postgres 측에 Private Link 엔드포인트를 프로비저닝합니다
    • 엔드포인트 인터페이스를 생성하는 데 사용할 수 있도록 엔드포인트 연결 정보를 제공합니다.
  4. AWS PrivateLink를 설정합니다:
    • AWS 설정에서 엔드포인트 인터페이스로 이동한 다음 ClickHouse 지원팀이 제공한 구성을 사용해 AWS PrivateLink를 생성합니다.
    • AWS PrivateLink 상태가 “Available”이 되면 AWS UI에 표시된 Private DNS 이름을 사용하여 연결할 수 있습니다.

​
GCP Private Service Connect

GCP Private Service Connect(PSC)를 사용하면 트래픽을 공용 인터넷에 노출하지 않고도 ClickHouse Managed Postgres 인스턴스와 Google Cloud VPC(Virtual Private Cloud) 간에 프라이빗 연결을 구성할 수 있습니다. 이를 통해 네트워크 격리와 보안을 한층 더 강화할 수 있습니다.
수동 설정 필요GCP Private Service Connect를 지원하지만, ClickHouse 지원팀이 직접 구성해야 합니다. 이 기능은 네트워크 격리 요구 사항이 엄격한 엔터프라이즈 고객에게 적합합니다.

​
GCP Private Service Connect 설정 요청

액세스 권한은 GCP 프로젝트 단위가 아니라 Private Service Connect 엔드포인트 단위로 부여됩니다. 사용자가 직접 생성하여 ClickHouse 지원팀에 알린 엔드포인트만 승인되므로, 설정을 완료하려면 지원팀과 두 차례 요청을 주고받아야 합니다. ClickHouse Managed Postgres 인스턴스에 GCP Private Service Connect를 활성화하려면 다음 단계를 따르십시오.
  1. 지원 티켓을 생성하여 ClickHouse 지원팀에 문의합니다
  2. 다음 정보를 제공합니다:
    • ClickHouse 조직 ID
    • Postgres 서비스의 ID/호스트명
  3. ClickHouse 지원팀이 수행하는 작업:
    • ClickHouse Managed Postgres 측에 Private Service Connect 서비스 어태치먼트를 프로비저닝합니다
    • 엔드포인트 생성에 사용할 서비스 어태치먼트 ID를 제공합니다.
  4. Private Service Connect 엔드포인트 생성:
    • ClickHouse 지원팀이 제공한 서비스 어태치먼트 ID를 사용하여, Postgres 서비스와 동일한 리전의 VPC에 Private Service Connect 엔드포인트를 생성합니다. Private Service Connect 엔드포인트는 리전 단위로 동작하므로 리전 간 연결은 지원되지 않습니다.
    • GCP 콘솔에서 연결이 “Pending”으로 표시됩니다. ClickHouse 지원팀이 승인하기 전까지는 정상적인 상태입니다.
    • 엔드포인트의 PSC 연결 ID를 확인합니다. GCP 콘솔의 엔드포인트 정보에서 확인하거나 다음 명령을 실행하면 됩니다:
    • 기존 지원 티켓을 통해 PSC 연결 ID를 ClickHouse 지원팀에 전달합니다.
  5. ClickHouse 지원팀이 수행하는 작업:
    • 엔드포인트를 서비스 어태치먼트의 허용 목록에 추가합니다. 그러면 연결 상태가 “Pending”에서 “Accepted”로 바뀝니다.
  6. ClickHouse Managed Postgres 인스턴스에 연결:
    • 엔드포인트가 “Accepted” 상태가 되면 엔드포인트 IP의 포트 5432(direct) 또는 6432(pooler)로 연결할 수 있습니다.
    • 엔드포인트 IP에는 Postgres 호스트명과 일치하는 DNS 이름이 없으므로 sslmode=require를 사용하십시오. sslmode=verify-full을 사용하려면 Postgres 호스트명을 엔드포인트 IP에 매핑하는 비공개 Cloud DNS 레코드를 추가하십시오.
다른 VPC에서 연결하거나 엔드포인트를 다시 생성하는 등 동일한 인스턴스에 엔드포인트를 추가로 연결하려면 4단계와 5단계를 반복하십시오. 즉, 동일한 서비스 어태치먼트 ID로 엔드포인트를 생성한 뒤 해당 PSC 연결 ID를 ClickHouse 지원팀에 전달합니다. 엔드포인트의 액세스 권한을 해제하려면 ClickHouse 지원팀에 해당 엔드포인트를 허용 목록에서 제거해 달라고 요청하십시오.

​
백업 보존

ClickHouse Managed Postgres는 실수로 인한 삭제, 손상 및 기타 데이터 손실 상황으로부터 데이터를 보호하기 위해 자동으로 백업을 수행합니다.

​
보존 정책

  • 기본 보존 기간: 7일
  • 백업 빈도: 매일 전체 백업 + 연속 WAL 아카이빙(60초마다 또는 16MB에 도달할 때마다, 둘 중 먼저 도래하는 시점 기준)
  • 복구 세분화 수준: 보존 기간 내 임의 시점으로 시점 복구

​
백업 보안

백업은 프라이머리 데이터와 동일한 수준의 보안이 보장된 상태로 저장됩니다:
  • 객체 스토리지의 저장 시 암호화
  • 인스턴스별 격리된 스토리지 버킷 및 범위가 제한된 자격 증명
  • 백업에 연결된 Postgres 인스턴스에만 허용되는 액세스 제어
백업 전략 및 시점 복구에 대한 자세한 내용은 Backup and restore 페이지를 참조하십시오.