Sécurité

Ce document présente les options de sécurité et les bonnes pratiques disponibles pour protéger les organisations et les services ClickHouse. ClickHouse s’engage à fournir des solutions de base de données analytique sécurisées ; la protection des données et de l’intégrité des services est donc une priorité. Les informations présentées ici couvrent différentes méthodes destinées à aider les utilisateurs à sécuriser leurs environnements ClickHouse.

Les mots de passe de la console ClickHouse Cloud sont définis conformément à la norme NIST 800-63B, avec un minimum de 12 caractères et 3 exigences de complexité sur 4 : lettres majuscules, lettres minuscules, chiffres et/ou caractères spéciaux.

Pour en savoir plus, consultez l’authentification par mot de passe.

ClickHouse Cloud prend en charge l’authentification sociale via Google ou Microsoft pour l’authentification unique (SSO).

Pour en savoir plus, consultez la page SSO social.

Les utilisateurs qui se connectent avec une adresse e-mail et un mot de passe ou via un SSO social peuvent également configurer l’authentification multifacteur à l’aide d’une application d’authentification telle qu’Authy ou Google Authenticator.

Pour en savoir plus, consultez l’authentification multifacteur.

Les clients Enterprise peuvent configurer l’authentification SAML.

Pour en savoir plus, consultez l’authentification SAML.

Les clients peuvent configurer des clés API pour OpenAPI, Terraform et les endpoints Query API.

Pour en savoir plus, consultez l’authentification de l’API.

Les mots de passe des utilisateurs de base de données ClickHouse sont définis conformément à la norme NIST 800-63B, avec un minimum de 12 caractères et des exigences de complexité : lettres majuscules, lettres minuscules, chiffres et/ou caractères spéciaux.

Pour en savoir plus, consultez l’authentification par mot de passe de la base de données.

Vous pouvez configurer les utilisateurs de base de données ClickHouse pour utiliser l’authentification SSH.

Pour en savoir plus, consultez l’authentification SSH.

ClickHouse Cloud permet d’attribuer des rôles pour les autorisations au niveau de l’organisation, du service et de la base de données. Les autorisations de base de données attribuées via cette méthode sont prises en charge uniquement dans la SQL Console.

Pour en savoir plus, consultez le RBAC de la Console.

Les bases de données ClickHouse prennent en charge une gestion fine des permissions et le contrôle d’accès basé sur les rôles via les privilèges accordés aux utilisateurs.

Pour en savoir plus sur les privilèges des utilisateurs de base de données.

Configurez des filtres IP pour limiter les connexions entrantes vers votre service ClickHouse.

Pour en savoir plus, consultez les filtres IP.

Connectez-vous à vos clusters ClickHouse depuis AWS, GCP ou Azure via une connectivité privée.

Pour en savoir plus, consultez la page sur la connectivité privée.

Par défaut, ClickHouse Cloud chiffre les données au repos à l’aide de clés AES 256 gérées par le fournisseur de services cloud.

Pour en savoir plus, consultez le chiffrement au niveau du stockage.

En plus du chiffrement du stockage, les clients ClickHouse Cloud Enterprise peuvent activer le chiffrement transparent des données au niveau de la base de données pour une protection supplémentaire.

Pour en savoir plus, consultez le chiffrement transparent des données.

Les clients ClickHouse Cloud Enterprise peuvent utiliser leur propre clé pour le chiffrement au niveau de la base de données.

Pour en savoir plus, consultez la page sur les clés de chiffrement gérées par le client.

Les activités dans la console sont consignées. Les journaux peuvent être consultés et exportés.

Pour en savoir plus sur les journaux d’audit de la console.

Les activités dans la base de données sont consignées. Ces journaux peuvent être consultés et exportés.

Pour en savoir plus, consultez les journaux d’audit de la base de données.

Exemples de requêtes de détection pour les équipes de sécurité gérant des instances BYOC ClickHouse.

Pour en savoir plus, consultez le guide de sécurité BYOC.

ClickHouse applique un programme rigoureux de sécurité et de conformité. Revenez régulièrement pour consulter les nouveaux rapports d’audit de tiers.

Pour en savoir plus, consultez les rapports de sécurité et de conformité.

Les clients ClickHouse Cloud Enterprise peuvent déployer des services hébergeant des informations de santé protégées (PHI) dans des régions conformes à la loi HIPAA après avoir signé un Business Associate Agreement (BAA).

Pour en savoir plus, consultez la page sur la conformité à la loi HIPAA.

Les clients ClickHouse Cloud Enterprise peuvent déployer des services hébergeant des informations de carte bancaire dans des régions conformes PCI.

Pour en savoir plus, consultez la page sur la conformité PCI.