Безопасность

ClickHouse Managed Postgres включает средства защиты корпоративного уровня, которые помогают защищать ваши данные и обеспечивать соответствие нормативным требованиям. На этой странице рассматриваются сетевая безопасность, шифрование и политики хранения резервных копий.

​

Белый список IP-адресов

IP-фильтры определяют, каким исходным IP-адресам разрешено подключаться к вашему экземпляру ClickHouse Managed Postgres, обеспечивая управление доступом на уровне сети и защищая вашу базу данных от несанкционированных подключений. Чтобы настроить IP-фильтры:

1. Перейдите на вкладку Settings
2. В разделе IP Filters нажмите Edit
3. Добавьте IP-адреса или диапазоны CIDR, которым нужно разрешить подключение
4. Нажмите Save, чтобы применить изменения

Вы можете указать:

• Отдельные IP-адреса (например, 203.0.113.5)
• Диапазоны CIDR для сетей (например, 192.168.1.0/24)
• Anywhere, чтобы разрешить доступ с любых IP-адресов (не рекомендуется для продакшн)
• Nowhere, чтобы заблокировать все подключения

​

Шифрование

ClickHouse Managed Postgres шифрует ваши данные как при хранении, так и при передаче, обеспечивая их комплексную защиту.

​

Шифрование при хранении

Все данные, хранящиеся в ClickHouse Managed Postgres, шифруются при хранении для защиты от несанкционированного доступа к нижележащей инфраструктуре хранения. Файлы базы данных, журналы транзакций и временные файлы, хранящиеся на NVMe-накопителях, шифруются с использованием общепринятых в отрасли алгоритмов шифрования. Это шифрование прозрачно для приложений и не требует никакой настройки.

​

Шифрование в объектном хранилище

Резервные копии и архивы журнала предзаписи (WAL), хранящиеся в объектном хранилище, также шифруются при хранении. Это включает:

• Полные ежедневные резервные копии
• Инкрементные архивы WAL
• Данные для восстановления на определённый момент времени

Все данные резервных копий хранятся в отдельных изолированных бакетах, а учётные данные ограничены рамками каждого конкретного экземпляра, что обеспечивает безопасность данных резервных копий и доступ к ним только для авторизованных систем.

​

Шифрование при передаче

Все сетевые соединения с ClickHouse Managed Postgres защищены с помощью TLS (Transport Layer Security), чтобы обеспечить защиту данных при передаче между вашими приложениями и базой данных. По умолчанию соединения используют шифрование TLS без проверки сертификата. Для продакшн-нагрузок рекомендуем использовать TLS с проверкой сертификата, чтобы убедиться, что вы подключаетесь к нужному серверу. Подробнее о настройке TLS и вариантах подключения см. на странице Connection.

​

AWS PrivateLink

AWS PrivateLink обеспечивает приватное подключение между вашим экземпляром ClickHouse Managed Postgres и вашей AWS Virtual Private Cloud (VPC), не передавая трафик через публичный интернет. Это добавляет дополнительный уровень сетевой изоляции и безопасности.

​

Запрос настройки AWS PrivateLink

Чтобы включить AWS PrivateLink для вашего экземпляра ClickHouse Managed Postgres:

1. Обратитесь в службу поддержки ClickHouse, создав тикет в службу поддержки
2. Предоставьте следующую информацию:
   • ID вашей организации ClickHouse
   • ID/имя хоста сервиса Postgres
   • ID аккаунтов AWS/ARN, с которыми вы хотите связать Private Link
     • (Необязательно) Любые регионы, отличные от региона экземпляра Postgres, из которых вы хотите подключаться
3. Служба поддержки ClickHouse:
   • Подготовит конечную точку Private Link на стороне ClickHouse Managed Postgres
   • Предоставит вам сведения о подключении к конечной точке, которые можно использовать для создания интерфейса конечной точки.
4. Настройте AWS PrivateLink:
   • Создайте AWS PrivateLink: перейдите к интерфейсу конечной точки в настройках AWS и используйте конфигурацию, предоставленную службой поддержки ClickHouse.
   • Когда ваш AWS PrivateLink перейдет в состояние “Available”, вы сможете подключиться к нему, используя имя Private DNS, указанное в интерфейсе AWS.

​

GCP Private Service Connect

GCP Private Service Connect (PSC) обеспечивает приватное подключение между вашим инстансом ClickHouse Managed Postgres и виртуальным частным облаком (VPC) в Google Cloud, при котором трафик не выходит в публичный интернет. Это обеспечивает дополнительный уровень сетевой изоляции и безопасности.

​

Запрос на настройку GCP Private Service Connect

Доступ предоставляется отдельно для каждой конечной точки Private Service Connect, а не для проекта GCP в целом. Будет разрешена только та конечная точка, которую вы создадите и о которой сообщите в ClickHouse Support. Поэтому настройка требует двух этапов взаимодействия со службой поддержки. Чтобы включить GCP Private Service Connect для инстанса ClickHouse Managed Postgres:

1. Обратитесь в ClickHouse Support, создав тикет в службу поддержки
2. Предоставьте следующую информацию:
   • ID вашей организации ClickHouse
   • ID или имя хоста сервиса Postgres
3. ClickHouse Support:
   • Создаст подключение сервиса GCP для Private Service Connect на стороне ClickHouse Managed Postgres
   • Предоставит ID подключения сервиса GCP, с помощью которого вы сможете создать конечную точку.
4. Создайте конечную точку Private Service Connect:
   • Создайте конечную точку Private Service Connect в вашей VPC в том же регионе, что и сервис Postgres, используя ID подключения сервиса GCP, предоставленный ClickHouse Support. Конечные точки Private Service Connect привязаны к региону, поэтому межрегиональные соединения не поддерживаются.
   • В консоли GCP соединение получит статус «Pending». Это ожидаемо: ClickHouse Support ещё должна его принять.
   • Найдите PSC connection ID конечной точки. Он указан в сведениях о конечной точке в консоли GCP. Также можно выполнить команду:
     gcloud compute forwarding-rules describe <endpoint-name> --region <region> --format='value(pscConnectionId)'
     
   • Отправьте PSC connection ID в ClickHouse Support в том же тикете.
5. ClickHouse Support:
   • Добавит вашу конечную точку в список разрешённых для подключения сервиса GCP. После этого статус соединения изменится с «Pending» на «Accepted».
6. Подключитесь к инстансу ClickHouse Managed Postgres:
   • Когда конечная точка получит статус «Accepted», вы сможете подключиться по её IP-адресу через порт 5432 (напрямую) или 6432 (через пулер соединений).
   • У IP-адреса конечной точки нет DNS-имени, совпадающего с именем хоста Postgres. Поэтому используйте sslmode=require либо добавьте частную запись Cloud DNS, которая сопоставляет имя хоста Postgres с IP-адресом конечной точки, чтобы использовать sslmode=verify-full.

Чтобы подключить к тому же инстансу дополнительную конечную точку, например из другой VPC или после повторного создания конечной точки, повторите шаги 4 и 5: создайте конечную точку с тем же ID подключения сервиса GCP и отправьте её PSC connection ID в ClickHouse Support. Чтобы отозвать доступ для конечной точки, попросите ClickHouse Support удалить её из списка разрешённых.

​

Срок хранения резервных копий

ClickHouse Managed Postgres автоматически создает резервные копии данных, чтобы защитить их от случайного удаления, повреждения и других ситуаций, которые могут привести к потере данных.

• Период хранения по умолчанию: 7 дней
• Частота резервного копирования: ежедневные полные резервные копии + непрерывное архивирование WAL (каждые 60 секунд или 16 МБ — в зависимости от того, что наступит раньше)
• Точность восстановления: восстановление на определённый момент времени в любой момент в пределах периода хранения

​

Безопасность резервных копий

Резервные копии хранятся с тем же уровнем защиты, что и ваши основные данные:

• Шифрование при хранении в объектном хранилище
• Изолированные бакеты для каждого экземпляра с учётными данными с ограниченной областью действия
• Управление доступом, ограниченное экземпляром Postgres, связанным с резервной копией.

Подробнее о стратегиях резервного копирования и восстановлении на определённый момент времени см. на странице Резервное копирование и восстановление.