GCS 데이터에 안전하게 액세스하기

1. Google Cloud Console에서 IAM & Admin → Service Accounts로 이동합니다.

2. 왼쪽 메뉴에서 Service accounts를 클릭한 다음 Create service account를 클릭합니다.

예를 들어, 서비스 계정의 이름과 설명을 입력합니다.

Service account name: clickhouse-gcs-access (or your preferred name)
Service account description: Service account for ClickHouse Cloud to access GCS buckets

Create and continue를 클릭합니다

서비스 계정에 Storage Object User 역할을 부여합니다:

이 역할은 GCS 객체에 대한 읽기 및 쓰기 액세스를 제공합니다

Continue를 클릭한 다음 Done을 클릭합니다

서비스 계정 이메일 주소를 기록해 두세요:

프로젝트 수준 또는 개별 버킷 수준에서 액세스 권한을 부여할 수 있습니다.

옵션 1: 특정 버킷에 액세스 권한 부여(권장)

1. Cloud Storage → Buckets로 이동합니다
2. 액세스 권한을 부여할 버킷을 클릭합니다
3. Permissions 탭으로 이동합니다
4. "Permissions" 아래에서 이전 단계에서 생성한 주체에 대해 Grant access를 클릭합니다
5. "New principals" 필드에 서비스 계정 이메일을 입력합니다
6. 적절한 역할을 선택합니다:

• 읽기/쓰기 권한의 경우 Storage Object User
• 읽기 전용 권한의 경우 Storage Object Viewer

7. Save를 클릭합니다
8. 추가 버킷이 있으면 같은 과정을 반복합니다

옵션 2: 프로젝트 수준 권한 부여

1. IAM & Admin → IAM으로 이동합니다
2. Grant access를 클릭합니다
3. New principals 필드에 서비스 계정 이메일을 입력합니다
4. Storage Object User를 선택합니다(읽기 전용이면 Storage Object Viewer 선택)
5. SAVE를 클릭합니다

Cloud Storage → Settings → Interoperability로 이동합니다:

"Access keys" 섹션이 보이지 않으면 Enable interoperability access를 클릭하십시오.

"Access keys for service accounts" 아래에서 Create a key for a service account를 클릭합니다:

앞서 생성한 서비스 계정을 선택합니다(예: clickhouse-gcs-access@your-project.iam.gserviceaccount.com).

Create key를 클릭합니다:

HMAC 키가 표시됩니다. Access Key와 Secret은 즉시 저장하십시오. Secret은 이후 다시 확인할 수 없습니다.

아래에 예시 키가 표시됩니다:

Access Key: GOOG1EF4YBJVNFQ2YGCP3SLV4Y7CMFHW7HPC6EO7RITLJDDQ75639JK56SQVD
Secret: nFy6DFRr4sM9OnV6BG4FtWVPR25JfqpmcdZ6w9nV

ClickHouse Cloud에서 HMAC 키 사용하기

이제 HMAC 자격 증명을 사용해 ClickHouse Cloud에서 GCS에 액세스할 수 있습니다. 이를 위해 GCS 테이블 함수를 사용하십시오:

SELECT *
FROM gcs(
    'https://storage.googleapis.com/clickhouse-docs-example-bucket/epidemiology.csv',
    'GOOG1E...YOUR_ACCESS_KEY',
    'YOUR_SECRET_KEY',
    'CSVWithNames'
);

여러 파일을 지정하려면 와일드카드를 사용하세요:

SELECT *
FROM gcs(
'https://storage.googleapis.com/clickhouse-docs-example-bucket/*.parquet',
'GOOG1E...YOUR_ACCESS_KEY',
'YOUR_SECRET_KEY',
'Parquet'
);

GCS용 ClickPipes의 HMAC 인증

ClickPipes는 Google Cloud Storage에 인증하기 위해 HMAC(Hash-based Message Authentication Code) 키를 사용합니다.

GCS ClickPipe를 설정할 때:

1. ClickPipe 설정 중 Authentication method에서 Credentials를 선택합니다
2. 앞선 단계에서 획득한 HMAC 자격 증명을 입력합니다

HMAC 키는 roles/storage.objectViewer 역할이 부여된 서비스 계정에 연결되어 있어야 하며, 이 역할에는 다음 권한이 포함됩니다:

• storage.objects.list: 버킷의 객체 목록을 조회
• storage.objects.get: 객체를 가져오거나 읽기