Безопасность

В этом документе подробно описаны параметры безопасности и рекомендации по защите организации и сервиса ClickHouse. ClickHouse стремится предоставлять безопасные решения для аналитических баз данных, поэтому защита данных и целостности сервиса является приоритетом. Приведённая здесь информация охватывает различные методы, призванные помочь пользователям защитить свои среды ClickHouse.

Пароли в консоли ClickHouse Cloud должны соответствовать стандарту NIST 800-63B: минимум 12 символов и 3 из 4 требований к сложности: прописные буквы, строчные буквы, цифры и/или специальные символы.

Подробнее см. в разделе аутентификация по паролю.

ClickHouse Cloud поддерживает единый вход (SSO) через Google или Microsoft.

Подробнее о социальном входе (SSO).

Пользователи, которые входят по электронной почте и паролю или через социальный SSO, также могут настроить многофакторную аутентификацию с помощью приложения-аутентификатора, например Authy или Google Authenticator.

Подробнее о многофакторной аутентификации.

Клиенты уровня Enterprise могут настроить аутентификацию SAML.

Подробнее см. в разделе Аутентификация SAML.

Клиенты могут настраивать ключи API для работы с OpenAPI, Terraform и эндпоинтами Query API.

Подробнее см. в разделе Аутентификация API.

Пароли пользователей баз данных ClickHouse должны соответствовать стандарту NIST 800-63B: минимум 12 символов и требования к сложности, включая заглавные и строчные буквы, цифры и/или специальные символы.

Подробнее см. в разделе аутентификация в базе данных по паролю.

Для пользователей базы данных ClickHouse можно настроить аутентификацию по SSH.

Подробнее см. в разделе Аутентификация по SSH.

ClickHouse Cloud поддерживает назначение ролей для разрешений на уровне организации, сервиса и базы данных. Разрешения на уровне базы данных при использовании этого метода поддерживаются только в SQL-консоли.

Подробнее см. в разделе RBAC в консоли.

Базы данных ClickHouse поддерживают детальное управление разрешениями и ролевой доступ с помощью пользовательских привилегий.

Подробнее о привилегиях пользователей базы данных.

Настройте фильтры IP, чтобы ограничить входящие подключения к вашему сервису ClickHouse.

Подробнее см. в разделе Фильтры IP.

Подключайтесь к своим кластерам ClickHouse из AWS, GCP или Azure через приватное подключение.

Подробнее о приватном подключении.

В ClickHouse Cloud данные в хранилище по умолчанию шифруются с помощью ключей AES 256, управляемых облачным провайдером.

Подробнее см. в разделе шифрование на уровне хранилища.

Помимо шифрования хранилища, клиенты тарифа ClickHouse Cloud Enterprise могут включить прозрачное шифрование данных на уровне базы данных для дополнительной защиты.

Подробнее см. в разделе «Прозрачное шифрование данных».

Клиенты ClickHouse Cloud Enterprise могут использовать собственный ключ для шифрования на уровне базы данных.

Подробнее см. в разделе ключи шифрования под управлением клиента.

Все действия в консоли заносятся в журнал. Эти журналы можно просматривать и экспортировать.

Подробнее см. в разделе журнал аудита консоли.

Действия в базе данных записываются в журнал. Журналы можно просматривать и экспортировать.

Подробнее о журналах аудита базы данных.

Примеры запросов для выявления угроз для команд безопасности, управляющих экземплярами ClickHouse BYOC.

Подробнее см. в руководстве по безопасности для BYOC.

ClickHouse придерживается строгих стандартов безопасности и соответствия требованиям. Периодически проверяйте эту страницу на наличие новых отчетов независимого аудита.

Подробнее см. в разделе отчеты по безопасности и соответствии требованиям.

Клиенты ClickHouse Cloud Enterprise могут развертывать сервисы, содержащие защищённую медицинскую информацию (PHI), в регионах, соответствующих требованиям HIPAA, после подписания соглашения Business Associate Agreement (BAA).

Узнайте больше о соответствии требованиям HIPAA.

Клиенты ClickHouse Cloud Enterprise могут развёртывать сервисы, содержащие данные кредитных карт, в регионах, соответствующих требованиям PCI.

Подробнее см. в разделе соответствие требованиям PCI.