Set up docs MCPПо умолчанию сотрудники ClickHouse не имеют доступа к вашим данным. Ваши данные в ClickHouse, включая все пользовательские таблицы и результаты запросов, остаются внутри вашего VPC. Ниже описаны единственные каналы, через которые ClickHouse взаимодействует с вашим развертыванием, — ни один из них не дает доступа к данным в клиентских таблицах.
Регламентные операции
Плоскость управления ClickHouse Cloud обеспечивает работу вашего BYOC-развертывания, не читая данные клиентов. Компоненты, которые отправляют данные за пределы вашей VPC, передают только служебные метаданные:
| Компонент | Что покидает вашу VPC |
|---|---|
| State exporter | Состояние сервиса и резервных копий (работоспособность, статус — операционные события, а не содержимое резервных копий) в очередь SQS, принадлежащую ClickHouse Cloud. |
| Billing scraper | Метрики CPU и памяти в бакет объектного хранилища, принадлежащий ClickHouse Cloud. |
| AlertManager | Оповещения о состоянии кластера в ClickHouse Cloud. |
Трафик запросов, содержимое таблиц и схемы данных никогда не проходят через эти каналы. Журналы и метрики остаются внутри вашей BYOC VPC.
Доступ для устранения неполадок
Когда инженерам ClickHouse требуется диагностировать проблему в вашем развертывании, они запрашивают временный доступ через внутренний процесс эскалации и согласования. Одобренный доступ предоставляется с помощью сертификата с ограниченным сроком действия и осуществляется через Tailscale — никогда через общедоступный интернет.
Что инженеры могут видеть
При наличии утверждённого доступа для устранения неполадок инженеры могут читать только системные таблицы ClickHouse. Это включает:
system.query_log— текст запроса и метаданные выполнения запросов к вашему сервисуsystem.tables,system.columnsи аналогичные системные таблицы — схема и метаданные- Другие таблицы
system.*, используемые для диагностики (например, части, мутации, реплики)
Что инженеры не могут видеть
Инженеры не могут просматривать пользовательские таблицы клиентов. Доступ ограничен только системными таблицами.
Как контролируется доступ
- Требуется одобрение: каждый запрос на доступ проходит через внутреннюю систему согласования с назначенными согласующими. Инженеры не могут самостоятельно предоставлять себе доступ.
- Ограниченные по времени сертификаты: для каждого одобренного сеанса генерируется временный сертификат с ограниченным сроком действия. Доступ прекращается автоматически.
- Аутентификация по сертификатам: сертификаты заменяют пароль для любого доступа сотрудников к экземплярам BYOC.
- Системные таблицы доступны только для чтения: удостоверение сертификата ограничено чтением системных таблиц.
- Данные не экспортируются: журналы и результаты запросов, полученные во время сеансов устранения неполадок, никогда не экспортируются обратно в инфраструктуру ClickHouse.
Аудит
Действия инженеров видны вам и проходят аудит со стороны ClickHouse:
- Видно клиенту: каждый запрос, который инженер ClickHouse выполняет в вашем инстансе, отображается в вашем
system.query_log, включая текст запроса и идентификатор сертификата. Вы можете проверить это напрямую в своем сервисе ClickHouse. - Со стороны ClickHouse: команда безопасности ClickHouse внутренне регистрирует и проверяет все запросы на доступ, согласования и подключения Tailscale.
Будущие механизмы контроля
Одобрение, контролируемое клиентом, — когда вы подтверждаете каждый запрос инженера на доступ до того, как он вступит в силу, — запланировано. Сейчас одобрение проходит через внутренний процесс эскалации ClickHouse.
- Сетевая безопасность BYOC — как работают Tailscale и сетевые границы
- Привилегия BYOC — роли IAM, создаваемые при настройке BYOC