Онбординг

​

Предварительные требования

​

Регистрация вашей среды

• идентификатор вашего аккаунта AWS, регион и имя EKS-кластера
• где работает коннектор — на Linux ВМ или в кластере
• группу узлов для компонентов платформы
• префикс пространств имен для сервисов (по умолчанию ns-)
• каким образом ваш кластер загружает образы ClickHouse: через доступ к реестру, который ClickHouse Cloud настраивает для вашего аккаунта, или через ваш собственный mirror

​

Для любой установки

• Коннектор v0.17.0 или новее. В более ранних релизах нет ни управляемого режима, ни команд platform, ни instances create. Установщик предоставляет последний релиз, если вы не передали --version.
• Ваша конечная точка коннектора и token регистрации, выданные при регистрации.
• Исходящий трафик (egress) по порту 443 на https://<subdomain>.<connector-domain> и https://<subdomain>.enroll.<connector-domain>, а также на releases.clicklink.clickhouse.com и Amazon ECR Public на время установки. В управляемом режиме исполнитель также обращается к Amazon ECR и STS, когда синхронизация платформы или создание ресурса загружает chart из ECR. Если какой-либо из этих адресов недоступен, см. установки в изолированной от интернета среде и с зеркалированием.
• Кластер Amazon EKS для управляемого режима. В управляемом режиме init откажется работать на любом другом кластере и подскажет флаг --no-managed для установки без исполнителя.
• Права администратора кластера для grant исполнителя. Grant создает ClusterRole, ClusterRoleBinding и ValidatingAdmissionPolicy, которые ограничивают исполнителя пространствами имен с вашим prefix. В Kubernetes эти права нужны тому kubeconfig, с которым вы запускаете init. На виртуальной машине — kubeconfig хоста; если у хоста таких прав нет, init выведет команду, которую следует выполнить с хоста, где они есть.
• ClickHouse еще не установлен. Managed-установка начинается без сервисов; те, что создает исполнитель, регистрируются сами. В управляемом режиме init не регистрирует ClickHouse, который вы запускаете самостоятельно (в Kubernetes он отклоняет --instance и --instance-namespace). Чтобы наблюдать за таким кластером, установите отдельное развертывание коннектора с --no-managed. Параметр --ch-user-suffix позволяет двум развертываниям использовать один инстанс без конфликтов между пользователями коннектора. Такому развертыванию требуется доступный native listener: защищенный порт 9440 или plaintext 9000 (в Kubernetes определяется автоматически). Также нужен доступ ClickHouse admin для подготовки: пользователь default без пароля, пароль, переданный через --ch-admin-password-stdin или введенный по запросу, либо CR injection для инстансов, управляемых оператором.
• cosign везде, где вы скачиваете артефакты релиза. Установщик всегда проверяет контрольную сумму SHA-256. Если cosign установлен, он также проверяет подпись релиза, а с CLICKLINK_REQUIRE_COSIGN=1 отказывается продолжать работу без cosign.

​

Для установки в Kubernetes (Helm)

• kubeconfig, текущий контекст которого указывает на EKS кластер. Он должен позволять создавать и читать пространство имен коннектора, применять Secrets, создавать ServiceAccounts, Roles и RoleBindings, устанавливать chart, а также выдавать исполнителю доступ в рамках всего кластера.
• Учётные данные AWS на рабочей станции (переменные окружения или профиль) с правами eks:DescribeCluster и ec2:DescribeVpcs. init использует их, чтобы прочитать CIDR-блоки VPC вашего кластера для NetworkPolicy. Если получить их не удаётся, выводится предупреждение, а заполнить этот список придётся вам самостоятельно.
• CIDR, находящиеся за конечной точкой вашего коннектора, чтобы при установке включить NetworkPolicy chart’а с запретом по умолчанию. Без них init подготовит политику в отключённом виде и выведет инструкции, как включить её позже.
• Класс хранилища по умолчанию либо класс, передаваемый через --storage-class; средство диагностики и исполнитель хранят состояние в PersistentVolumeClaims.
• Доступ к загрузке образов: узлы кластера должны иметь возможность загрузить публичный образ из ECR или его mirror, размещённый у вас.

​

Для установки на Linux ВМ (systemd)

• Любой Linux-хост с systemd, amd64 или arm64. Сборки для Linux работают в режиме FIPS.
• Root-доступ для установщика и для init.
• Свободные порты 8082, 8084 и 8086 для health и метрик, 9999 на loopback-интерфейсе для локального API исполнителя и 8443, если включен шлюз сеансов поддержки.
• Административный доступ к API-серверу Kubernetes для подготовки и выдачи grant исполнителю: kubeconfig на хосте, --server и --ca-data либо промпты. Access bundles привязаны к Kubernetes ServiceAccount на обеих целевых системах. В управляемом режиме текущий context в kubeconfig должен указывать на EKS кластер, которым вы управляете; через любой другой context init выдавать grant откажется.

​

Установка и регистрация

https://<subdomain>.<connector-domain>

curl -fsSL https://releases.clicklink.clickhouse.com/install.sh | bash

curl -fsSL https://releases.clicklink.clickhouse.com/install.sh | sudo bash -s -- --host

clicklink clctl init --enroll https://<subdomain>.<connector-domain> --target helm --managed

clicklink clctl init --handoff handoff.yaml --target helm --managed \
  --egress-cidrs 203.0.113.0/24 \
  --operators '<operator-email-1>,<operator-email-2>' \
  --storage-class <storage-class>

sudo clicklink clctl init --enroll https://<subdomain>.<connector-domain> --managed

CONNECTOR_NAMESPACE='clicklink'   # the connector namespace you chose at init
kubectl get pods -n "${CONNECTOR_NAMESPACE}"

sudo clicklink clctl preflight

rm handoff.yaml        # workstation (Kubernetes installs)
sudo rm handoff.yaml   # VM host (init ran as root, so the file is root-owned)

​

Установки в изолированной от интернета среде и с зеркалированием

​

Ручная загрузка и проверка

CLICKLINK_VERSION="$(curl -fsSL https://releases.clicklink.clickhouse.com/latest-version.txt)"
# Or pin a specific release: CLICKLINK_VERSION='v0.17.0'
CLICKLINK_TARBALL="clicklink-${CLICKLINK_VERSION}-$(uname -s | tr '[:upper:]' '[:lower:]')-$(uname -m | sed 's/x86_64/amd64/; s/aarch64/arm64/').tar.gz"
for suffix in '' .sha256 .sig .crt; do
  curl -fsSLO "https://releases.clicklink.clickhouse.com/${CLICKLINK_TARBALL}${suffix}"
done
if command -v sha256sum >/dev/null; then
  sha256sum -c "${CLICKLINK_TARBALL}.sha256"
else
  shasum -a 256 -c "${CLICKLINK_TARBALL}.sha256"
fi

cosign verify-blob \
  --certificate "${CLICKLINK_TARBALL}.crt" \
  --signature "${CLICKLINK_TARBALL}.sig" \
  --certificate-identity-regexp "^https://github\.com/ClickHouse/data-plane-clicklink/\.github/workflows/release\.yaml@refs/tags/v" \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  "${CLICKLINK_TARBALL}"

tar -xzf "${CLICKLINK_TARBALL}"
sudo install -m 0755 clicklink /usr/local/bin/clicklink

​

Если что-то не удалось

• На ВМ init не завершается ошибкой. Она подготавливает bundle и выводит предупреждение с точной командой, которую нужно выполнить из kubeconfig с правами администратора кластера. Проверяющий preflight сообщает состояние исполнителя как есть. Выполните выведенную команду, затем запустите ту же команду init повторно для проверки:

sudo env KUBECONFIG=<path> clicklink clctl executor access apply --cluster --config /etc/clicklink/config.yaml

• В Kubernetes отклонённый grant прерывает init до развёртывания chart, поскольку исполнитель привязывается к выданному ServiceAccount и без него не может запуститься. Подготовленные оверлей, Secrets и CSR сохраняются, а init выводит две команды, которые нужно выполнить с хоста с правами администратора кластера. Выполните их, а затем снова запустите ту же команду init, чтобы продолжить:

clicklink clctl executor access grant --cluster --sa-namespace <connector-namespace> --server <kubernetes-api-server-url> --output-dir <dir>
clicklink clctl executor access apply --cluster --output-dir <dir>