Acceso seguro a datos de GCS

1. En la Google Cloud Console, ve a IAM & Admin → Service Accounts

2. Haz clic en Service accounts en el menú de la izquierda y, a continuación, en Create service account:

Introduce un nombre y una descripción para la service account; por ejemplo:

Service account name: clickhouse-gcs-access (or your preferred name)
Service account description: Service account for ClickHouse Cloud to access GCS buckets

Haz clic en Create and continue

Asigna a la cuenta de servicio el rol Storage Object User:

Este rol proporciona acceso de lectura y escritura a los objetos de GCS

Haz clic en Continue y luego en Done

Toma nota de la dirección de correo electrónico de la cuenta de servicio:

Puede conceder acceso tanto a nivel de proyecto como a nivel de bucket individual.

Opción 1: Conceder acceso a buckets específicos (recomendado)

1. Vaya a Cloud Storage → Buckets
2. Haga clic en el bucket al que quiere conceder acceso
3. Vaya a la pestaña Permissions
4. En "Permissions", haga clic en Grant access para el principal creado en los pasos anteriores
5. En el campo "New principals", introduzca el correo electrónico de su cuenta de servicio
6. Seleccione el rol adecuado:

• Storage Object User para acceso de lectura y escritura
• Storage Object Viewer para acceso de solo lectura

7. Haga clic en Save
8. Repita el proceso con cualquier bucket adicional

Opción 2: Conceder acceso a nivel de proyecto

1. Vaya a IAM & Admin → IAM
2. Haga clic en Grant access
3. Introduzca el correo electrónico de su cuenta de servicio en el campo New principals
4. Seleccione Storage Object User (o Storage Object Viewer para acceso de solo lectura)
5. Haga clic en SAVE

Ve a Cloud Storage → Settings → Interoperability:

Si no ves una sección de "Access keys", haz clic en Enable interoperability access

En "Access keys for service accounts", haz clic en Create a key for a service account:

Selecciona la cuenta de servicio que creaste antes (p. ej., clickhouse-gcs-access@your-project.iam.gserviceaccount.com)

Haz clic en Create key:

Se mostrará la clave HMAC. Guarda tanto la Access Key como el Secret de inmediato; no podrás volver a ver el Secret.

A continuación se muestran claves de ejemplo:

Access Key: GOOG1EF4YBJVNFQ2YGCP3SLV4Y7CMFHW7HPC6EO7RITLJDDQ75639JK56SQVD
Secret: nFy6DFRr4sM9OnV6BG4FtWVPR25JfqpmcdZ6w9nV

Usa claves HMAC con ClickHouse Cloud

Ahora puedes usar las credenciales HMAC para acceder a GCS desde ClickHouse Cloud. Para ello, usa la función de tabla de GCS:

SELECT *
FROM gcs(
    'https://storage.googleapis.com/clickhouse-docs-example-bucket/epidemiology.csv',
    'GOOG1E...YOUR_ACCESS_KEY',
    'YOUR_SECRET_KEY',
    'CSVWithNames'
);

Usa comodines para varios archivos:

SELECT *
FROM gcs(
'https://storage.googleapis.com/clickhouse-docs-example-bucket/*.parquet',
'GOOG1E...YOUR_ACCESS_KEY',
'YOUR_SECRET_KEY',
'Parquet'
);

Autenticación HMAC en ClickPipes para GCS

ClickPipes usa claves HMAC (Hash-based Message Authentication Code) para autenticarse con Google Cloud Storage.

Al configurar un ClickPipe de GCS:

1. Selecciona Credentials en Authentication method durante la configuración del ClickPipe
2. Proporciona las credenciales HMAC obtenidas en los pasos anteriores

Las claves HMAC deben estar asociadas a una cuenta de servicio que tenga el rol roles/storage.objectViewer, que incluye:

• storage.objects.list: para listar objetos en el bucket
• storage.objects.get: para obtener/leer objetos