BYOC AWS プライベートネットワーク設定

1. ClickHouse BYOC アカウントの VPC Dashboard に移動します。
2. Peering Connections を選択します。
3. Create Peering Connection をクリックします。
4. VPC Requester に ClickHouse VPC ID を設定します。
5. VPC Accepter に対象の VPC ID を設定します (必要に応じて別のアカウントを選択します) 。
6. Create Peering Connection をクリックします。

ピアリング先のアカウントで、(VPC -> Peering connections -> Actions -> Accept request) に移動すると、この VPC ピアリングリクエストを承認できます。

ClickHouse BYOC アカウントで、

1. VPC Dashboard で Route Tables を選択します。
2. ClickHouse VPC ID を検索します。プライベートサブネットに関連付けられている各ルートテーブルを編集します。
3. Routes タブの Edit ボタンをクリックします。
4. Add another route をクリックします。
5. Destination に対象 VPC の CIDR 範囲を入力します。
6. Target で “Peering Connection” とピアリング接続 ID を選択します。

ピアリング先の AWS アカウントで、

1. VPC Dashboard で Route Tables を選択します。
2. 対象の VPC ID を検索します。
3. Routes タブの Edit ボタンをクリックします。
4. Add another route をクリックします。
5. Destination に ClickHouse VPC の CIDR 範囲を入力します。
6. Target で “Peering Connection” とピアリング接続 ID を選択します。

ClickHouse BYOC アカウントでは、ピアリングされた VPC からのトラフィックを許可するために、セキュリティグループの設定を更新する必要があります。ピアリングされた VPC の CIDR 範囲を含むインバウンドルールの追加を依頼するには、ClickHouse Support にお問い合わせください。

これで、ピアリングされた VPC から ClickHouse サービスにアクセスできるようになります。

1. ClickHouse Cloud console で、PrivateLink 経由で接続するサービスの Settings ページに移動します。
2. 「Set up private endpoint」をクリックします。
3. 開いたフライアウトで、Service name の値をコピーします。次の手順で使用します。 (PrivateLink を有効にした後、この値が生成されるまでしばらく時間がかかる場合があります。)

   

1. ご自身の AWS コンソール (クライアントアプリケーションがある AWS アカウント) を開き、VPC → Endpoints → Create endpoints に移動します。

2. "Endpoint services that use NLBs and GWLBs" を選択し、前の手順で取得した Service name を使用します。

3. "Verify service" をクリックします。

   

4. (任意) PrivateLink 経由でクロスリージョン接続を確立する場合は、"Cross region endpoint" チェックボックスを有効にし、サービスリージョンを指定します。サービスリージョンは、BYOC インフラストラクチャが作成されているリージョンです。同時に、次の操作を行います。

5. BYOC AWS コンソール (BYOC インフラストラクチャが作成されている AWS アカウント) を開き、VPC → Endpoint services → clickhouse-cloud-infra-xxx → Supported regions に移動します。

6. クライアントアプリケーションが実行されているリージョンを、サポート対象リージョンのリストに追加します。デフォルトでは、この BYOC インフラストラクチャのリージョンのみがサポートされています。異なるリージョンから接続する場合は複数のリージョンを追加できます。ClickHouse がこれらの値を変更またはリセットすることはありません。

   

7. VPC とサブネットを選択します (availability zone ごとに 1 つのサブネットを推奨します) 。

   

8. 重要: エンドポイントで "Private DNS names" を有効にします。これは private DNS が正しく機能するために必要です。 BYOC エンドポイントの private DNS (*.vpce.{subdomain} 形式) は、AWS PrivateLink に組み込まれた "Private DNS names" 機能を使用します。Route53 レコードは不要です。次の条件を満たす場合、DNS 解決は自動的に行われます。

   • "Private DNS names" が有効であり、

   • "DNS Hostnames" が有効である

     これらは VPC Settings → DNS resolution および DNS hostnames で有効にします。

     これにより、vpce サブドメインを使用する接続は、追加の DNS 設定なしで自動的に PrivateLink エンドポイント経由でルーティングされます。

9. (任意) セキュリティグループ/タグを割り当てます。

8. "Create endpoint" をクリックし、エンドポイントが作成されるまでしばらく待ちます。

9. エンドポイントを作成した後、Endpoint ID の値をコピーします。次の手順で使用します。

   

1. BYOC VPC コンソールを再度開き、Endpoint services → clickhouse-cloud-infra-xxx → Endpoint connections に移動します。
2. 自身の VPC から作成された接続リクエストを見つけ、"Accept endpoint connection request" をクリックして承認します。

   

1. ClickHouse Cloud consoleで、PrivateLink 経由で接続するサービスの Settings ページに移動します。
2. 「プライベート エンドポイントを設定」をクリックします。
3. 開いたフライアウトで、前の手順で取得した Endpoint ID と、必要に応じて説明を入力します。
4. 「エンドポイントを作成」をクリックします。

1. ClickHouse Cloud Console で、サービスの Settings ページに移動します。

2. 「プライベート エンドポイントを設定」をクリックします。

3. 開いたフライアウトで、DNS name をコピーします。

   

   PrivateLink 経由での ClickHouse サービスへのアクセスは、次の 2 つのレベルで制御されます。

   1. Istio Authorization Policy: ClickHouse が BYOC インフラストラクチャ内で管理するサービスレベルの認可ポリシー
   2. VPC Endpoint Security Group: VPC エンドポイントにアタッチされたセキュリティグループ。VPC 内でエンドポイントを使用できるリソースを制御します