الوصول الآمن إلى بيانات S3

يوضح هذا الدليل كيف يمكن لعملاء ClickHouse Cloud الاستفادة من التحكم في الوصول المستند إلى الأدوار للمصادقة مع Amazon Simple Storage Service ‏(S3) والوصول إلى بياناتهم بأمان. قبل التعمق في إعداد الوصول الآمن إلى S3، من المهم فهم آلية عمل ذلك. في ما يلي نظرة عامة على كيفية تمكّن خدمات ClickHouse من الوصول إلى حاويات S3 الخاصة من خلال افتراض دور داخل حساب AWS الخاص بالعملاء.

يتيح هذا النهج للعملاء إدارة جميع عمليات الوصول إلى حاويات S3 الخاصة بهم من مكان واحد (سياسة IAM للدور الذي تم افتراضه) من دون الحاجة إلى مراجعة جميع سياسات الحاويات لإضافة أذونات الوصول أو إزالتها. في القسم أدناه، ستتعلّم كيفية إعداد ذلك.

1. سجّل الدخول إلى حسابك في ClickHouse Cloud.

2. حدّد خدمة ClickHouse التي تريد إنشاء التكامل معها

3. حدّد علامة التبويب الإعدادات

4. مرّر إلى أسفل الصفحة حتى تصل إلى قسم معلومات أمان الشبكة

5. انسخ قيمة معرّف دور الخدمة (IAM) الخاصة بالخدمة، كما هو موضّح أدناه.

يمكن إعداد IAM Assume Role بإحدى الطريقتين التاليتين:

• باستخدام CloudFormation stack
• إنشاء دور IAM يدويًا

1. سجّل الدخول إلى AWS account الخاص بك من خلال متصفح الويب باستخدام IAM user لديه permission لإنشاء دور IAM وإدارته.

2. انتقل إلى CloudFormation URL التالي لملء CloudFormation stack.

3. أدخِل (أو الصق) معرّف دور الخدمة (IAM) الخاص بخدمتك، والذي حصلت عليه سابقًا، في حقل الإدخال بعنوان "ClickHouse Instance Roles" ويمكنك لصق معرّف دور الخدمة تمامًا كما يظهر في Cloud Console.

4. أدخِل اسم حاوية S3 الخاصة بك في حقل الإدخال بعنوان "Bucket Names". إذا كان Bucket URL الخاص بك هو https://ch-docs-s3-bucket.s3.eu-central-1.amazonaws.com/clickhouseS3/، فسيكون اسم الـ حاوية هو ch-docs-s3-bucket.

5. اضبط CloudFormation stack. في ما يلي معلومات إضافية عن هذه Parameters.

6. حدّد مربع الاختيار I acknowledge that AWS CloudFormation might create IAM resources with custom names.

7. انقر زر Create stack في أسفل اليمين

8. تأكد من اكتمال CloudFormation stack بدون error.

9. حدّد الـ Stack الذي أُنشئ حديثًا، ثم حدّد علامة التبويب Outputs في CloudFormation stack

10. انسخ قيمة RoleArn لهذا integration، فهي ما تحتاجه للوصول إلى حاوية S3 الخاصة بك.

1. سجّل الدخول إلى حساب AWS الخاص بك عبر متصفح الويب باستخدام IAM user لديه permission لإنشاء دور IAM وإدارته.

2. انتقل إلى IAM Service Console

3. أنشئ دور IAM جديدًا باستخدام سياسة IAM وسياسة الثقة التاليتين. استبدل {ClickHouse_IAM_ARN} بـ IAM Role Arn الخاص بـ ClickHouse instance لديك.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "{ClickHouse_IAM_ARN}"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

سياسة IAM

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::{BUCKET_NAME}"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::{BUCKET_NAME}/*"
            ],
            "Effect": "Allow"
        }
    ]
}

4. انسخ IAM Role Arn الجديد بعد إنشائه، فهو ما ستحتاج إليه للوصول إلى حاوية S3 الخاصة بك.

يتيح لك ClickHouse Cloud تحديد extra_credentials كجزء من دالة الجدول S3. فيما يلي مثال على كيفية تشغيل استعلام باستخدام الدور الذي أُنشئ حديثًا والمنسوخ أعلاه.

DESCRIBE TABLE s3('https://s3.amazonaws.com/BUCKETNAME/BUCKETOBJECT.csv','CSVWithNames',extra_credentials(role_arn = 'arn:aws:iam::111111111111:role/ClickHouseAccessRole-001'))

فيما يلي مثال على استعلام يستخدم role_session_name كسرّ مشترك للاستعلام عن البيانات من حاوية. إذا لم تكن قيمة role_session_name صحيحة، فستفشل هذه العملية.

DESCRIBE TABLE s3('https://s3.amazonaws.com/BUCKETNAME/BUCKETOBJECT.csv','CSVWithNames',extra_credentials(role_arn = 'arn:aws:iam::111111111111:role/ClickHouseAccessRole-001', role_session_name = 'secret-role-name'))

لفرض تحكم أكثر صرامة في الوصول، يمكن تقييد سياسة الحاوية بحيث لا تقبل إلا الطلبات الصادرة من نقاط نهاية VPC الخاصة بـ ClickHouse Cloud باستخدام الشرط aws:SourceVpce. للحصول على نقاط نهاية VPC الخاصة بمنطقة ClickHouse Cloud، افتح الطرفية وشغّل:

# Replace <your-region> with your ClickHouse Cloud region
curl -s https://api.clickhouse.cloud/static-ips.json | jq -r '.aws[] | select(.region == "<your-region>") | .s3_endpoints[]'

ثم أضِف قاعدة منع إلى سياسة IAM باستخدام نقاط النهاية التي تم إرجاعها:

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "VisualEditor0",
                "Effect": "Allow",
                "Action": [
                    "s3:List*",
                    "s3:Get*"
                ],
                "Resource": [
                    "arn:aws:s3:::{BUCKET_NAME}",
                    "arn:aws:s3:::{BUCKET_NAME}/*"
                ]
            },
            {
                "Sid": "VisualEditor3",
                "Effect": "Deny",
                "Action": [
                    "s3:GetObject"
                ],
                "Resource": "*",
                "Condition": {
                    "StringNotEquals": {
                        "aws:SourceVpce": [
                            "{ClickHouse VPC ID from your S3 region}",
                            "{ClickHouse VPC ID from your S3 region}",
                            "{ClickHouse VPC ID from your S3 region}"
                        ]
                    }
                }
            }
        ]
}

لمزيد من التفاصيل حول الوصول إلى نقاط النهاية لخدمات ClickHouse Cloud، راجع عناوين IP في Cloud.