Configuration du réseau privé BYOC sur AWS

1. Accédez au VPC Dashboard dans le compte ClickHouse BYOC.
2. Sélectionnez Peering Connections.
3. Cliquez sur Create Peering Connection
4. Définissez VPC Requester sur l’ID du ClickHouse VPC.
5. Définissez VPC Accepter sur l’ID du VPC cible. (Sélectionnez un autre compte si nécessaire)
6. Cliquez sur Create Peering Connection.

Dans le compte de peering, sur la page (VPC -> Peering connections -> Actions -> Accept request), le client peut approuver cette demande de VPC peering.

Dans le compte ClickHouse BYOC,

1. Sélectionnez Route Tables dans le VPC Dashboard.
2. Recherchez l’ID du ClickHouse VPC. Modifiez chaque table de routage associée aux sous-réseaux privés.
3. Cliquez sur le bouton Edit sous l’onglet Routes.
4. Cliquez sur Add another route.
5. Saisissez la plage CIDR du VPC cible dans Destination.
6. Sélectionnez « Peering Connection » et l’ID de la connexion de peering dans Target.

Dans l’AWS account de peering,

1. Sélectionnez Route Tables dans le VPC Dashboard.
2. Recherchez l’ID du VPC cible.
3. Cliquez sur le bouton Edit sous l’onglet Routes.
4. Cliquez sur Add another route.
5. Saisissez la plage CIDR du ClickHouse VPC dans Destination.
6. Sélectionnez « Peering Connection » et l’ID de la connexion de peering dans Target.

Dans le compte ClickHouse BYOC, vous devez mettre à jour les paramètres du groupe de sécurité pour autoriser le trafic provenant de votre VPC appairé. Veuillez contacter le support ClickHouse pour demander l’ajout de règles entrantes incluant les plages CIDR de votre VPC appairé.

Le service ClickHouse devrait désormais être accessible depuis le VPC appairé.

1. Dans la console ClickHouse Cloud, accédez à la page Settings du service auquel vous souhaitez vous connecter via PrivateLink.
2. Cliquez sur « Set up private endpoint ».
3. Dans le flyout qui s’ouvre, copiez la valeur de Service name : vous l’utiliserez à l’étape suivante. (La génération de cette valeur peut prendre un certain temps après l’activation de PrivateLink.)

   

1. Ouvrez votre propre console AWS (c.-à-d. le compte AWS sur lequel s’exécute votre application cliente) → VPC → Endpoints → Create endpoints.

2. Sélectionnez "Endpoint services that use NLBs and GWLBs" et utilisez le Service name obtenu à l’étape précédente.

3. Cliquez sur "Verify service".

   

4. (Facultatif) Pour établir une connexion interrégionale via PrivateLink, activez la case à cocher "Cross region endpoint" et indiquez la région du service. Il s’agit de la région dans laquelle votre infrastructure BYOC est créée. Ensuite,

   1. Ouvrez votre console AWS BYOC (c.-à-d. le compte AWS dans lequel votre infrastructure BYOC est créée) → VPC → Endpoint services → clickhouse-cloud-infra-xxx → Supported regions.
   2. Ajoutez à la liste des régions prises en charge la région dans laquelle s’exécute votre application cliente. Par défaut, seule la région de cette infrastructure BYOC est prise en charge. Vous pouvez ajouter plusieurs régions si vous souhaitez vous connecter depuis différentes régions. ClickHouse ne modifiera ni ne réinitialisera ces valeurs.

      

5. Sélectionnez votre VPC et vos sous-réseaux (un par zone de disponibilité est recommandé).

   

6. Important : activez "Private DNS names" pour l’endpoint : cette option est nécessaire au bon fonctionnement du DNS privé. Le DNS privé des endpoints BYOC (au format *.vpce.{subdomain}) utilise la fonctionnalité intégrée "Private DNS names" d’AWS PrivateLink. Aucun enregistrement Route53 n’est requis : la résolution DNS s’effectue automatiquement lorsque :

   • "Private DNS names" est activé ; et

   • "DNS Hostnames" est activé

     via VPC Settings → DNS resolution and DNS hostnames.

     Cela garantit que les connexions utilisant le sous-domaine vpce sont automatiquement acheminées via l’endpoint PrivateLink, sans configuration DNS supplémentaire.

7. (Facultatif) Affectez des groupes de sécurité et des étiquettes.

8. Cliquez sur "Create endpoint", puis attendez un instant que l’endpoint soit créé.

9. Après avoir créé l’endpoint, copiez la valeur Endpoint ID : vous l’utiliserez à l’étape suivante.

   

1. Ouvrez à nouveau la console de votre BYOC VPC → Services d’endpoint → clickhouse-cloud-infra-xxx → Connexions d’endpoint.
2. Recherchez la demande de connexion créée depuis votre propre VPC, puis cliquez sur "Accepter la demande de connexion d’endpoint" pour l’approuver.

   

1. Dans la console ClickHouse Cloud, accédez à la page Settings du service auquel vous souhaitez vous connecter via PrivateLink.
2. Cliquez sur « Set up private endpoint ».
3. Dans le panneau qui s’ouvre, saisissez l’Endpoint ID obtenu à l’étape précédente et, éventuellement, une description.
4. Cliquez sur « Create endpoint ».

1. Dans la console ClickHouse Cloud, accédez à la page Settings du service.

2. Cliquez sur "Set up private endpoint".

3. Dans le panneau qui s'ouvre, copiez le DNS name.

   

   L'accès aux services ClickHouse via PrivateLink est contrôlé à deux niveaux :

   1. Politique d'autorisation Istio : politiques d'autorisation au niveau du service gérées par ClickHouse au sein de votre infrastructure BYOC
   2. Security Group du VPC Endpoint : le groupe de sécurité associé à votre VPC endpoint contrôle les ressources de votre VPC autorisées à utiliser cet endpoint