BYOC용 AWS 프라이빗 네트워킹 설정

1. ClickHouse BYOC 계정의 VPC Dashboard로 이동합니다.
2. Peering Connections를 선택합니다.
3. Create Peering Connection을 클릭합니다.
4. VPC Requester를 ClickHouse VPC ID로 설정합니다.
5. VPC Accepter를 대상 VPC ID로 설정합니다. (해당하는 경우 다른 계정을 선택합니다)
6. Create Peering Connection을 클릭합니다.

피어링 계정으로 이동한 다음, (VPC -> Peering connections -> Actions -> Accept request) 페이지에서 이 VPC 피어링 요청을 승인할 수 있습니다.

ClickHouse BYOC 계정에서 다음을 수행합니다.

1. VPC Dashboard에서 Route Tables를 선택합니다.
2. ClickHouse VPC ID를 검색합니다. 프라이빗 서브넷에 연결된 각 라우트 테이블을 편집합니다.
3. Routes 탭 아래의 Edit 버튼을 클릭합니다.
4. Add another route를 클릭합니다.
5. Destination에 대상 VPC의 CIDR 범위를 입력합니다.
6. Target에 “Peering Connection”과 피어링 연결 ID를 선택합니다.

피어링된 AWS 계정에서 다음을 수행합니다.

1. VPC Dashboard에서 Route Tables를 선택합니다.
2. 대상 VPC ID를 검색합니다.
3. Routes 탭 아래의 Edit 버튼을 클릭합니다.
4. Add another route를 클릭합니다.
5. Destination에 ClickHouse VPC의 CIDR 범위를 입력합니다.
6. Target에 “Peering Connection”과 피어링 연결 ID를 선택합니다.

ClickHouse BYOC 계정에서 피어링된 VPC의 트래픽을 허용하도록 보안 그룹 설정을 업데이트해야 합니다. 피어링된 VPC의 CIDR 범위를 포함하는 인바운드 규칙 추가를 요청하려면 ClickHouse 지원팀에 문의하십시오.

이제 피어링된 VPC에서 ClickHouse 서비스에 액세스할 수 있어야 합니다.

1. ClickHouse Cloud 콘솔에서 PrivateLink를 통해 연결할 서비스의 설정 페이지로 이동합니다.
2. "Set up private endpoint"를 클릭합니다.
3. 열리는 플라이아웃에서 Service name 값을 복사합니다. 이 값은 다음 단계에서 사용합니다. (PrivateLink를 활성화한 후 값이 생성되기까지 다소 시간이 걸릴 수 있습니다.)

   

1. 사용자 AWS 콘솔(즉, 클라이언트 애플리케이션이 있는 AWS 계정)을 엽니다 → VPC → Endpoints → Create endpoints.

2. "Endpoint services that use NLBs and GWLBs"를 선택하고 이전 단계에서 확인한 Service name을 사용합니다.

3. "Verify service"를 클릭합니다.

   

4. (선택 사항) PrivateLink를 통해 리전 간 연결을 설정하려면 "Cross region endpoint" 확인란을 선택하고 서비스 리전을 지정합니다. 서비스 리전은 BYOC 인프라가 생성된 리전입니다. 그런 다음,

   1. BYOC AWS 콘솔(즉, BYOC 인프라가 생성된 AWS 계정)을 엽니다 → VPC → Endpoint services → clickhouse-cloud-infra-xxx → Supported regions.
   2. 클라이언트 애플리케이션이 실행 중인 리전을 지원 리전 목록에 추가합니다. 기본적으로 이 BYOC 인프라가 있는 리전만 지원됩니다. 여러 리전에서 연결하려는 경우 여러 리전을 추가할 수 있으며, ClickHouse는 이러한 값을 변경하거나 재설정하지 않습니다.

      

5. VPC와 서브넷을 선택합니다(가용 영역당 하나씩 권장).

   

6. 중요: 엔드포인트에서 "Private DNS names"를 활성화합니다. Private DNS가 정상적으로 작동하려면 반드시 필요합니다. BYOC 엔드포인트용 Private DNS(*.vpce.{subdomain} 포맷 사용)는 AWS PrivateLink에 기본 제공되는 "Private DNS names" 기능을 활용합니다. Route53 레코드는 필요하지 않으며, 다음 조건을 충족하면 DNS 해석이 자동으로 수행됩니다.

   • "Private DNS names"가 활성화되어 있고

   • "DNS Hostnames"가 활성화되어 있는 경우

     VPC Settings → DNS resolution 및 DNS hostnames에서 설정합니다.

     이렇게 하면 별도의 DNS 구성 없이 vpce 하위 도메인을 사용하는 연결이 자동으로 PrivateLink 엔드포인트를 통해 라우팅됩니다.

7. (선택 사항) Security groups/Tags를 할당합니다.

8. "Create endpoint"를 클릭한 후 엔드포인트가 생성될 때까지 잠시 기다립니다.

9. 엔드포인트를 생성한 후 Endpoint ID 값을 복사합니다. 다음 단계에서 사용합니다.

   

1. BYOC VPC 콘솔을 다시 열고 → Endpoint services → clickhouse-cloud-infra-xxx → Endpoint connections로 이동합니다.
2. 자체 VPC에서 생성된 연결 요청을 찾아 "Accept endpoint connection request"를 클릭하여 승인합니다.

   

1. ClickHouse Cloud 콘솔에서 PrivateLink를 통해 연결하려는 서비스의 설정 페이지로 이동합니다.
2. "Set up private endpoint"를 클릭합니다.
3. 열린 플라이아웃에서 마지막 단계에서 확인한 Endpoint ID와 선택 사항인 설명을 입력합니다.
4. "Create endpoint"를 클릭합니다.

1. ClickHouse Cloud 콘솔에서 서비스의 설정 페이지로 이동합니다.

2. "Set up private endpoint"를 클릭합니다.

3. 열린 플라이아웃에서 DNS name을 복사합니다.

   

   PrivateLink를 통한 ClickHouse 서비스 액세스는 다음 두 수준에서 제어됩니다.

   1. Istio Authorization Policy: ClickHouse가 BYOC 인프라 내에서 관리하는 서비스 수준의 권한 부여 정책
   2. VPC Endpoint Security Group: VPC 엔드포인트에 연결된 보안 그룹으로, VPC 내에서 엔드포인트를 사용할 수 있는 리소스를 제어합니다.