Azure プライベートリンク - ClickHouse Documentation

このガイドでは、Azure プライベートリンクを使用して、Azure (顧客所有のサービスおよび Microsoft Partner サービスを含む) と ClickHouse Cloud の間に、仮想ネットワーク経由のプライベート接続を提供する方法を説明します。Azure プライベートリンクを使用すると、データがパブリックインターネットに公開されるのを防ぎつつ、ネットワークアーキテクチャを簡素化し、Azure 内のエンドポイント間の接続を保護できます。

Azure プライベートリンクは、お使いの Azure VNet から ClickHouse Cloud への接続開始のみをサポートします。プライベートデータベースなど、ClickHouse Cloud からお使いの VNet 内のサービスへの接続開始には使用できません。

Azure は、プライベートリンクによるリージョン間接続をサポートしています。これにより、ClickHouse サービスをデプロイしている異なるリージョンの VNet 間で接続を確立できます。

リージョン間トラフィックには追加料金が発生する場合があります。最新の Azure ドキュメントを確認してください。

Azure プライベートリンクを有効にするには、次の手順を実行してください。

プライベートリンク用の Azure connection alias を取得する
Azure でプライベートエンドポイントを作成する
プライベートエンドポイントのリソース ID を ClickHouse Cloud 組織に追加する
プライベートエンドポイントのリソース ID をサービスの許可リストに追加する
プライベートリンクを使用して ClickHouse Cloud サービスにアクセスする

ClickHouse Cloud Azure PrivateLink は、resourceGUID から Resource ID フィルターの使用へ移行しました。後方互換性があるため resourceGUID を引き続き使用することもできますが、Resource ID フィルターへの切り替えを推奨します。移行するには、Resource ID を使用して新しいエンドポイントを作成し、それをサービスにアタッチしたうえで、古い resourceGUID ベースのエンドポイントを削除してください。

注意

ClickHouse は、Azure リージョン内で同じ公開済みのプライベートリンクサービスを再利用できるよう、サービスをグループ化しようとします。ただし、このグループ化は保証されません。特に、サービスが複数の ClickHouse 組織にまたがっている場合は保証されません。 ClickHouse 組織内の他のサービスですでにプライベートリンクが設定されている場合は、このグループ化により多くの手順を省略でき、最後の手順であるプライベートエンドポイントリソース ID をサービスの許可リストに追加するに直接進めることがよくあります。 Terraform の例は、ClickHouse の Terraform プロバイダーリポジトリで確認できます。

プライベートリンク用の Azure connection alias を取得する

オプション 1: ClickHouse Cloud console

ClickHouse Cloud consoleで、PrivateLink経由で接続する対象のサービスを開き、Settings メニューを開きます。Set up private endpoint ボタンをクリックします。Private Linkの設定に使用する Service name と DNS name を控えておきます。 Service name と DNS name を控えておきます。これらは次の手順で必要になります。

オプション 2: API

開始する前に、ClickHouse Cloud API キーが必要です。新しいキーを作成するか、既存のキーを使用できます。 API キーを用意したら、コマンドを実行する前に次の環境変数を設定してください。

REGION=<region code, use Azure format, for example: westus3>
PROVIDER=azure
KEY_ID=<Key ID>
KEY_SECRET=<Key secret>
ORG_ID=<set ClickHouse organization ID>
SERVICE_NAME=<Your ClickHouse service name>

リージョン、プロバイダー、サービス名で絞り込み、ClickHouse の INSTANCE_ID を取得します:

INSTANCE_ID=$(curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" \
"https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services" | \
jq ".result[] | select (.region==\"${REGION:?}\" and .provider==\"${PROVIDER:?}\" and .name==\"${SERVICE_NAME:?}\") | .id " -r)

Azure の connection alias と、プライベートリンク用の Private DNS ホスト名を取得します:

curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}/privateEndpointConfig" | jq  .result
{
  "endpointServiceId": "production-westus3-0-0.xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.westus3.azure.privatelinkservice",
  "privateDnsHostname": "xxxxxxxxxx.westus3.privatelink.azure.clickhouse.cloud"
}

endpointServiceId を控えておいてください。次の手順で使用します。

Azure でプライベートエンドポイントを作成する

このセクションでは、Azure Private Link を使用して ClickHouse を設定する際の、ClickHouse 固有の事項について説明します。Azure 固有の手順は、確認すべき箇所を示すための参考情報として記載していますが、Azure クラウドプロバイダーの都合により、予告なく変更される場合があります。Azure の設定は、実際のユースケースに応じてご検討ください。なお、必要な Azure のプライベートエンドポイントおよび DNS レコードの設定については、ClickHouse は責任を負いません。Azure の設定作業に関する問題については、Azure Support に直接お問い合わせください。

このセクションでは、Azure でプライベートエンドポイントを作成します。Azure Portal または Terraform のいずれかを使用できます。

オプション 1: Azure Portal を使用して Azure にプライベートエンドポイントを作成する

Azure Portal で、Private Link Center → Private Endpoints を開きます。 Create ボタンをクリックして、プライベートエンドポイントの作成ダイアログを開きます。

次の画面で、以下のオプションを設定します。

Subscription / Resource Group: プライベートエンドポイント用の Azure サブスクリプションとリソースグループを選択します。
Name: プライベートエンドポイント の名前を設定します。
Region: プライベートリンク経由で ClickHouse Cloud に接続する VNet がデプロイされているリージョンを選択します。

上記の設定が完了したら、Next: Resource ボタンをクリックします。

Connect to an Azure resource by resource ID or alias オプションを選択します。 Resource ID or alias には、Private Link 用の Azure connection alias を取得する手順で取得した endpointServiceId を使用します。 Next: Virtual Network ボタンをクリックします。

Virtual network: プライベートリンクを使用して ClickHouse Cloud に接続する VNet を選択します
Subnet: プライベートエンドポイントを作成するサブネットを選択します

任意:

Application security group: ASG をプライベートエンドポイントに関連付け、ネットワークセキュリティグループでプライベートエンドポイントとの間のネットワークトラフィックをフィルタリングするために使用できます。

Next: DNS ボタンをクリックします。 Next: Tags ボタンをクリックします。

必要に応じて、プライベートエンドポイントにタグを追加できます。 Next: Review + create ボタンをクリックします。

最後に、Create ボタンをクリックします。作成したプライベートエンドポイントの Connection status は Pending 状態になります。このプライベートエンドポイントをサービスの許可リストに追加すると、Approved 状態に変わります。プライベートエンドポイントに関連付けられているネットワークインターフェイスを開き、Private IPv4 address (この例では 10.0.0.4) をコピーします。この情報は次の手順で必要になります。

オプション 2: Terraform を使用して Azure でプライベートエンドポイントを作成する

Terraform でプライベートエンドポイントを作成するには、以下のテンプレートを使用します。

resource "azurerm_private_endpoint" "example_clickhouse_cloud" {
  name                = var.pe_name
  location            = var.pe_location
  resource_group_name = var.pe_resource_group_name
  subnet_id           = var.pe_subnet_id

  private_service_connection {
    name                              = "test-pl"
    private_connection_resource_alias = "<data from 'Obtain Azure connection alias for Private Link' step>"
    is_manual_connection              = true
  }
}

プライベートエンドポイントのリソース ID を取得する

プライベートリンクを使用するには、プライベートエンドポイント接続のリソース ID をサービスの許可リストに追加する必要があります。プライベートエンドポイントのリソース ID は Azure Portal で確認できます。前の手順で作成したプライベートエンドポイントを開き、JSON View をクリックします。最上位レベルの id フィールド (/subscriptions/.../providers/Microsoft.Network/privateEndpoints/<name> 形式のプライベートエンドポイントのリソース ID) をコピーします。properties オブジェクト内にネストされている id フィールドは使用しないでください。 推奨される方法: リソース ID を使用する 従来の方法: resourceGUID を使用する 後方互換性のため、resourceGUID も引き続き使用できます。resourceGuid フィールドを見つけて、この値をコピーします。

プライベートリンク用の DNS を設定する

プライベートリンク経由でリソースにアクセスするには、Private DNS zone (${location_code}.privatelink.azure.clickhouse.cloud) を作成し、VNet に関連付ける必要があります。

Private DNS zone を作成する

オプション 1: Azure Portal を使用する Azure Portal を使用して Azure の Private DNS zone を作成するには、こちらのガイドに従ってください。 オプション 2: Terraform を使用する 次の Terraform テンプレートを使用して Private DNS zone を作成します。

resource "azurerm_private_dns_zone" "clickhouse_cloud_private_link_zone" {
  name                = "${var.location}.privatelink.azure.clickhouse.cloud"
  resource_group_name = var.resource_group_name
}

ワイルドカード DNS レコードを作成する

ワイルドカードレコードを作成し、プライベートエンドポイントを指定します。 オプション 1: Azure Portal を使用する

MyAzureResourceGroup リソースグループを開き、${region_code}.privatelink.azure.clickhouse.cloud プライベートゾーンを選択します。
- Record set を選択します。
Name には * と入力します。
IP Address には、プライベートエンドポイントに表示されている IP アドレスを入力します。
OK を選択します。

オプション 2: Terraform を使用する 次の Terraform テンプレートを使用して、ワイルドカード DNS レコードを作成します。

resource "azurerm_private_dns_a_record" "example" {
  name                = "*"
  zone_name           = var.zone_name
  resource_group_name = var.resource_group_name
  ttl                 = 300
  records             = ["10.0.0.4"]
}

仮想ネットワークリンクを作成する

Private DNS zone を仮想ネットワークにリンクするには、仮想ネットワークリンクを作成する必要があります。 オプション 1: Azure Portal を使用する 仮想ネットワークを Private DNS zone にリンクするには、このガイドに従ってください。 オプション 2: Terraform を使用する

DNS の設定方法はいくつかあります。ご利用のユースケースに応じて設定してください。

Private Link の Azure connection alias を取得する手順で取得した “DNS name” が、プライベートエンドポイントの IP アドレスを指すように設定する必要があります。これにより、VPC/ネットワーク内のサービスやコンポーネントがその名前を適切に解決できるようになります。

DNS 設定を確認する

xxxxxxxxxx.westus3.privatelink.azure.clickhouse.cloud ドメインは、プライベートエンドポイントの IP (この例では 10.0.0.4) を指すように設定する必要があります。

nslookup xxxxxxxxxx.westus3.privatelink.azure.clickhouse.cloud.
Server: 127.0.0.53
Address: 127.0.0.53#53

Non-authoritative answer:
Name: xxxxxxxxxx.westus3.privatelink.azure.clickhouse.cloud
Address: 10.0.0.4

ご利用の ClickHouse Cloud 組織にプライベートエンドポイントのリソース ID を追加する

オプション 1: ClickHouse Cloud console

組織にエンドポイントを追加するには、プライベートエンドポイントリソース ID をサービスの許可リストに追加する手順に進んでください。ClickHouse Cloud コンソールからプライベートエンドポイントリソース ID をサービスの許可リストに追加すると、組織にも自動的に追加されます。エンドポイントを削除するには、Organization details -> Private Endpoints を開き、削除ボタンをクリックします。

オプション 2: API

コマンドを実行する前に、次の環境変数を設定してください。

PROVIDER=azure
KEY_ID=<Key ID>
KEY_SECRET=<Key secret>
ORG_ID=<set ClickHouse organization ID>
ENDPOINT_ID=<Private Endpoint Resource ID>
REGION=<region code, use Azure format>

プライベートエンドポイントリソース ID の取得の手順で取得したデータを使用して、ENDPOINT_ID 環境変数を設定します。次のコマンドを実行して、プライベートエンドポイントを追加します。

cat <<EOF | tee pl_config_org.json
{
  "privateEndpoints": {
    "add": [
      {
        "cloudProvider": "azure",
        "id": "${ENDPOINT_ID:?}",
        "description": "Azure private endpoint",
        "region": "${REGION:?}"
      }
    ]
  }
}
EOF

プライベートエンドポイントを削除するには、次のコマンドも実行できます。

cat <<EOF | tee pl_config_org.json
{
  "privateEndpoints": {
    "remove": [
      {
        "cloudProvider": "azure",
        "id": "${ENDPOINT_ID:?}",
        "region": "${REGION:?}"
      }
    ]
  }
}
EOF

プライベートエンドポイントを追加または削除した後、次のコマンドを実行して組織に反映します。

curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" -X PATCH -H "Content-Type: application/json" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}" -d @pl_config_org.json

プライベートエンドポイントリソース ID をサービスの許可リストに追加する

デフォルトでは、プライベートリンク接続が承認され確立されていても、ClickHouse Cloud サービスはプライベートリンク接続経由では利用できません。プライベートリンク経由で利用可能にする各サービスについて、プライベートエンドポイントリソース ID を明示的に追加する必要があります。

オプション 1: ClickHouse Cloud console

ClickHouse Cloud console で、PrivateLink 経由で接続するサービスを開き、Settings に移動します。前の手順で取得した リソース ID を入力します。

既存の PrivateLink 接続からのアクセスを許可する場合は、既存のエンドポイントのドロップダウンメニューを使用します。

オプション 2: API

コマンドを実行する前に、以下の環境変数を設定してください。

PROVIDER=azure
KEY_ID=<Key ID>
KEY_SECRET=<Key secret>
ORG_ID=<set ClickHouse organization ID>
ENDPOINT_ID=<Private Endpoint Resource ID>
INSTANCE_ID=<Instance ID>

プライベートリンク経由で利用できるようにする各サービスに対して、これを実行します。以下のコマンドを実行して、サービスの許可リストにプライベートエンドポイントを追加します。

cat <<EOF | tee pl_config.json
{
  "privateEndpointIds": {
    "add": [
      "${ENDPOINT_ID:?}"
    ]
  }
}
EOF

次のコマンドを実行して、サービスの許可リストからプライベートエンドポイントを削除することもできます。

cat <<EOF | tee pl_config.json
{
  "privateEndpointIds": {
    "remove": [
      "${ENDPOINT_ID:?}"
    ]
  }
}
EOF

プライベートエンドポイントをサービスの許可リストに追加または削除した後、以下のコマンドを実行して組織に適用します。

curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" -X PATCH -H "Content-Type: application/json" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}" -d @pl_config.json | jq

プライベートリンクを使用して ClickHouse Cloud サービスにアクセスする

プライベートリンクが有効になっている各サービスには、パブリックエンドポイントとプライベートエンドポイントがあります。プライベートリンクを使用して接続するには、Private Link の Azure connection alias を取得するで取得した privateDnsHostname^API または DNS name^console に対応するプライベートエンドポイントを使用する必要があります。

プライベート DNS ホスト名の取得

オプション 1: ClickHouse Cloud console

ClickHouse Cloud consoleで Settings に移動します。Set up private endpoint ボタンをクリックします。開いたフライアウトで、DNS Name をコピーします。

オプション 2: API

コマンドを実行する前に、次の環境変数を設定してください。

KEY_ID=<Key ID>
KEY_SECRET=<Key secret>
ORG_ID=<set ClickHouse organization ID>
INSTANCE_ID=<Instance ID>

次のコマンドを実行します。

curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}/privateEndpointConfig" | jq  .result

次のようなレスポンスが返されるはずです。

{
  ...
  "privateDnsHostname": "xxxxxxx.<region code>.privatelink.azure.clickhouse.cloud"
}

この例では、xxxxxxx.region_code.privatelink.azure.clickhouse.cloud ホスト名への接続はプライベートリンク経由でルーティングされます。一方、xxxxxxx.region_code.azure.clickhouse.cloud への接続はインターネット経由でルーティングされます。 privateDnsHostname を使用して、プライベートリンク経由で ClickHouse Cloud サービスに接続してください。

トラブルシューティング

DNS 設定を確認する

次のコマンドを実行します。

nslookup <dns name>

ここで「dns name」は、Private Link の Azure connection alias を取得するに記載の privateDnsHostname^API または DNS name^console を指します次のレスポンスが返されるはずです。

Non-authoritative answer:
Name: <dns name>
Address: 10.0.0.4

接続がピアによってリセットされる

おそらく、プライベートエンドポイントリソース ID がサービスの許可リストに追加されていません。プライベートエンドポイントリソース ID をサービスの許可リストに追加する 手順を再度確認してください。

プライベートエンドポイントが保留状態です

最も可能性が高いのは、プライベートエンドポイントリソース ID がサービスの許可リストに追加されていないことです。プライベートエンドポイントリソース ID をサービスの許可リストに追加する 手順を再度確認してください。

接続をテストする

プライベートリンク経由の接続に問題がある場合は、openssl を使用して接続性を確認してください。プライベートリンクのエンドポイントのステータスが Accepted であることを確認してください。 OpenSSL で接続できるはずです (出力に CONNECTED と表示されます) 。errno=104 は想定内です。

openssl s_client -connect abcd.westus3.privatelink.azure.clickhouse.cloud:9440

CONNECTED(00000003)
write:errno=104
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 335 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)

プライベートエンドポイントのフィルタを確認する

コマンドを実行する前に、次の環境変数を設定します。

KEY_ID=<Key ID>
KEY_SECRET=<Key secret>
ORG_ID=<please set ClickHouse organization ID>
INSTANCE_ID=<Instance ID>

プライベートエンドポイントのフィルターを確認するには、次のコマンドを実行します。

curl --silent --user "${KEY_ID:?}:${KEY_SECRET:?}" -X GET -H "Content-Type: application/json" "https://api.clickhouse.cloud/v1/organizations/${ORG_ID:?}/services/${INSTANCE_ID:?}" | jq .result.privateEndpointIds

詳細情報

Azure プライベートリンクの詳細については、azure.microsoft.com/en-us/products/private-link を参照してください。

最終更新日 2026年8月14日

​注意

​プライベートリンク用の Azure connection alias を取得する

​オプション 1: ClickHouse Cloud console

​オプション 2: API

​Azure でプライベート エンドポイントを作成する

​オプション 1: Azure Portal を使用して Azure にプライベート エンドポイントを作成する

​オプション 2: Terraform を使用して Azure でプライベート エンドポイントを作成する

​プライベート エンドポイントのリソース ID を取得する

​プライベートリンク用の DNS を設定する

​Private DNS zone を作成する

​ワイルドカード DNS レコードを作成する

​仮想ネットワーク リンクを作成する

​DNS 設定を確認する

​ご利用の ClickHouse Cloud 組織にプライベート エンドポイントのリソース ID を追加する

​オプション 1: ClickHouse Cloud console

​オプション 2: API

​プライベート エンドポイント リソース ID をサービスの許可リストに追加する

​オプション 1: ClickHouse Cloud console

​オプション 2: API

​プライベートリンクを使用して ClickHouse Cloud サービスにアクセスする

​プライベート DNS ホスト名の取得

​オプション 1: ClickHouse Cloud console

​オプション 2: API

​トラブルシューティング

​DNS 設定を確認する

​接続がピアによってリセットされる

​プライベート エンドポイントが保留状態です

​接続をテストする

​プライベート エンドポイントのフィルタを確認する

​詳細情報

注意

プライベートリンク用の Azure connection alias を取得する

オプション 1: ClickHouse Cloud console

オプション 2: API

Azure でプライベートエンドポイントを作成する

オプション 1: Azure Portal を使用して Azure にプライベートエンドポイントを作成する

オプション 2: Terraform を使用して Azure でプライベートエンドポイントを作成する

プライベートエンドポイントのリソース ID を取得する

プライベートリンク用の DNS を設定する

Private DNS zone を作成する

ワイルドカード DNS レコードを作成する

仮想ネットワークリンクを作成する

DNS 設定を確認する

ご利用の ClickHouse Cloud 組織にプライベートエンドポイントのリソース ID を追加する

オプション 1: ClickHouse Cloud console

オプション 2: API

プライベートエンドポイントリソース ID をサービスの許可リストに追加する

オプション 1: ClickHouse Cloud console

オプション 2: API

プライベートリンクを使用して ClickHouse Cloud サービスにアクセスする

プライベート DNS ホスト名の取得

オプション 1: ClickHouse Cloud console

オプション 2: API

トラブルシューティング

DNS 設定を確認する

接続がピアによってリセットされる

プライベートエンドポイントが保留状態です

接続をテストする

プライベートエンドポイントのフィルタを確認する

詳細情報