Безопасность

ClickHouse Managed Postgres включает средства защиты корпоративного уровня, которые помогают защищать ваши данные и обеспечивать соответствие нормативным требованиям. На этой странице рассматриваются сетевая безопасность, шифрование и политики хранения резервных копий.

​

Белый список IP-адресов

IP-фильтры определяют, каким исходным IP-адресам разрешено подключаться к вашему экземпляру ClickHouse Managed Postgres, обеспечивая управление доступом на уровне сети и защищая вашу базу данных от несанкционированных подключений. Чтобы настроить IP-фильтры:

1. Перейдите на вкладку Settings
2. В разделе IP Filters нажмите Edit
3. Добавьте IP-адреса или диапазоны CIDR, которым нужно разрешить подключение
4. Нажмите Save, чтобы применить изменения

Вы можете указать:

• Отдельные IP-адреса (например, 203.0.113.5)
• Диапазоны CIDR для сетей (например, 192.168.1.0/24)
• Anywhere, чтобы разрешить доступ с любых IP-адресов (не рекомендуется для продакшн)
• Nowhere, чтобы заблокировать все подключения

​

Шифрование

ClickHouse Managed Postgres шифрует ваши данные как при хранении, так и при передаче, обеспечивая их комплексную защиту.

​

Шифрование при хранении

Все данные, хранящиеся в ClickHouse Managed Postgres, шифруются при хранении для защиты от несанкционированного доступа к нижележащей инфраструктуре хранения. Файлы базы данных, журналы транзакций и временные файлы, хранящиеся на NVMe-накопителях, шифруются с использованием общепринятых в отрасли алгоритмов шифрования. Это шифрование прозрачно для приложений и не требует никакой настройки.

​

Шифрование в объектном хранилище

Резервные копии и архивы журнала предзаписи (WAL), хранящиеся в объектном хранилище, также шифруются при хранении. Это включает:

• Полные ежедневные резервные копии
• Инкрементные архивы WAL
• Данные для восстановления на определённый момент времени

Все данные резервных копий хранятся в отдельных изолированных бакетах, а учётные данные ограничены рамками каждого конкретного экземпляра, что обеспечивает безопасность данных резервных копий и доступ к ним только для авторизованных систем.

​

Шифрование при передаче

Все сетевые соединения с ClickHouse Managed Postgres защищены с помощью TLS (Transport Layer Security), чтобы обеспечить защиту данных при передаче между вашими приложениями и базой данных. По умолчанию соединения используют шифрование TLS без проверки сертификата. Для продакшн-нагрузок рекомендуем использовать TLS с проверкой сертификата, чтобы убедиться, что вы подключаетесь к нужному серверу. Подробнее о настройке TLS и вариантах подключения см. на странице Connection.

​

AWS PrivateLink

AWS PrivateLink обеспечивает приватное подключение между вашим экземпляром ClickHouse Managed Postgres и вашей AWS Virtual Private Cloud (VPC), не передавая трафик через публичный интернет. Это добавляет дополнительный уровень сетевой изоляции и безопасности.

​

Запрос настройки AWS PrivateLink

Чтобы включить AWS PrivateLink для вашего экземпляра ClickHouse Managed Postgres:

1. Обратитесь в службу поддержки ClickHouse, создав тикет в службу поддержки
2. Предоставьте следующую информацию:
   • ID вашей организации ClickHouse
   • ID/имя хоста сервиса Postgres
   • ID аккаунтов AWS/ARN, с которыми вы хотите связать Private Link
     • (Необязательно) Любые регионы, отличные от региона экземпляра Postgres, из которых вы хотите подключаться
3. Служба поддержки ClickHouse:
   • Подготовит конечную точку Private Link на стороне ClickHouse Managed Postgres
   • Предоставит вам сведения о подключении к конечной точке, которые можно использовать для создания интерфейса конечной точки.
4. Настройте AWS PrivateLink:
   • Создайте AWS PrivateLink: перейдите к интерфейсу конечной точки в настройках AWS и используйте конфигурацию, предоставленную службой поддержки ClickHouse.
   • Когда ваш AWS PrivateLink перейдет в состояние “Available”, вы сможете подключиться к нему, используя имя Private DNS, указанное в интерфейсе AWS.

​

GCP Private Service Connect

Private Service Connect обеспечивает приватное подключение между вашим экземпляром ClickHouse Managed Postgres и вашей Virtual Private Cloud (VPC) в GCP, не передавая трафик через публичный интернет. Чтобы включить Private Service Connect для вашего экземпляра ClickHouse Managed Postgres, обратитесь в службу поддержки ClickHouse, создав тикет в службу поддержки.

​

Срок хранения резервных копий

ClickHouse Managed Postgres автоматически создает резервные копии данных, чтобы защитить их от случайного удаления, повреждения и других ситуаций, которые могут привести к потере данных.

• Период хранения по умолчанию: 7 дней
• Частота резервного копирования: ежедневные полные резервные копии + непрерывное архивирование WAL (каждые 60 секунд или 16 МБ — в зависимости от того, что наступит раньше)
• Точность восстановления: восстановление на определённый момент времени в любой момент в пределах периода хранения

​

Безопасность резервных копий

Резервные копии хранятся с тем же уровнем защиты, что и ваши основные данные:

• Шифрование при хранении в объектном хранилище
• Изолированные бакеты для каждого экземпляра с учётными данными с ограниченной областью действия
• Управление доступом, ограниченное экземпляром Postgres, связанным с резервной копией.

Подробнее о стратегиях резервного копирования и восстановлении на определённый момент времени см. на странице Резервное копирование и восстановление.