Skip to main content
ClickHouse Managed Postgres está diseñado con funciones de seguridad de nivel empresarial para proteger sus datos y cumplir los requisitos de cumplimiento normativo. Esta página cubre la seguridad de red, el cifrado y las políticas de retención de copias de seguridad.

​
Inclusión de IP en listas de permitidos

Los filtros IP determinan qué direcciones IP de origen pueden conectarse a su instancia de ClickHouse Managed Postgres, y proporcionan control de acceso a nivel de red para proteger la base de datos frente a conexiones no autorizadas.

​
Configuración de filtros IP

Para configurar los filtros IP:
  1. Ve a la pestaña Settings
  2. En IP Filters, haz clic en Edit
  3. Agrega las direcciones IP o los rangos CIDR a los que se permitirá la conexión
  4. Haz clic en Save para aplicar los cambios
Puedes especificar:
  • Direcciones IP individuales (p. ej., 203.0.113.5)
  • Rangos CIDR de red (p. ej., 192.168.1.0/24)
  • Anywhere para permitir todas las direcciones IP (no se recomienda en producción)
  • Nowhere para bloquear todas las conexiones
Buenas prácticas para producciónSi no se configura ningún filtro IP, se permiten conexiones desde cualquier dirección IP. Para cargas de trabajo de producción, restringe el acceso a direcciones IP conocidas o rangos CIDR. Considera limitar el acceso a:
  • Tus servidores de aplicaciones
  • Direcciones IP del gateway de VPN
  • Hosts bastión para acceso administrativo
  • Direcciones IP de pipelines de CI/CD para implementaciones automatizadas

​
Cifrado

ClickHouse Managed Postgres cifra sus datos tanto en reposo como en tránsito para garantizar una protección integral.

​
Cifrado en reposo

Todos los datos almacenados por ClickHouse Managed Postgres están cifrados en reposo para protegerlos frente al acceso no autorizado a la infraestructura de almacenamiento subyacente.

​
Cifrado del almacenamiento NVMe

Los archivos de la base de datos, los logs de transacciones y los archivos temporales almacenados en unidades NVMe se cifran mediante algoritmos de cifrado estándar del sector. Este cifrado es transparente para las aplicaciones y no requiere ninguna configuración.

​
Cifrado del almacenamiento de objetos

Las copias de seguridad y los archivos de Write-Ahead Log (WAL) almacenados en el almacenamiento de objetos también se cifran en reposo. Esto incluye:
  • Copias de seguridad completas diarias
  • Archivos WAL incrementales
  • Datos de restauración a un momento dado
Todos los datos de las copias de seguridad se almacenan en buckets de almacenamiento dedicados y aislados, con credenciales restringidas a cada instancia individual, lo que garantiza que estos datos permanezcan seguros y solo sean accesibles para los sistemas autorizados.
El cifrado en reposo está habilitado de forma predeterminada para todas las instancias de ClickHouse Managed Postgres y no puede deshabilitarse. No se requiere ninguna configuración adicional.

​
Cifrado en tránsito

Todas las conexiones de red a ClickHouse Managed Postgres están protegidas con TLS (Transport Layer Security) para proteger los datos mientras se transfieren entre sus aplicaciones y la base de datos.

​
Configuración de TLS/SSL

De forma predeterminada, las conexiones usan cifrado TLS sin verificación de certificados. Para las cargas de trabajo de producción, recomendamos conectarse mediante TLS con verificación de certificados para garantizar que se está comunicando con el servidor correcto. Para obtener más detalles sobre la configuración de TLS y las opciones de conexión, consulte la página Conexión. AWS PrivateLink permite la conectividad privada entre tu instancia de ClickHouse Managed Postgres y tu nube privada virtual (VPC) de AWS, sin exponer el tráfico a la Internet pública. Esto proporciona una capa adicional de aislamiento y seguridad de red.
Se requiere configuración manualAWS PrivateLink está disponible, pero requiere configuración manual por parte del soporte de ClickHouse. Esta funcionalidad es ideal para clientes empresariales con requisitos estrictos de aislamiento de red.
Para habilitar AWS PrivateLink para tu instancia de ClickHouse Managed Postgres:
  1. Ponte en contacto con el soporte de ClickHouse creando un ticket de soporte
  2. Proporciona la siguiente información:
    • Tu ID de organización de ClickHouse
    • El ID/hostname del servicio de Postgres
    • Los ID/ARN de las cuentas de AWS con las que quieres conectar el private link
      • (Opcional) Cualquier región distinta de la región de la instancia de Postgres desde la que quieras conectarte
  3. El soporte de ClickHouse:
    • Aprovisionará el endpoint de Private Link en el lado de ClickHouse Managed Postgres
    • Te proporcionará los detalles de conexión del endpoint, que podrás usar para crear una interfaz de endpoint.
  4. Configura tu AWS PrivateLink:
    • Crea el AWS PrivateLink yendo a la interfaz de endpoint en la configuración de AWS y usando la configuración proporcionada por el soporte de ClickHouse.
    • Una vez que tu AWS PrivateLink esté en estado “Available”, podrás conectarte usando el nombre DNS privado proporcionado en la UI de AWS.

​
GCP Private Service Connect

GCP Private Service Connect (PSC) permite establecer conectividad privada entre su instancia de ClickHouse Managed Postgres y su nube privada virtual (VPC) de Google Cloud sin exponer el tráfico a internet pública. Esto aporta una capa adicional de aislamiento y seguridad de red.
Requiere configuración manualGCP Private Service Connect está disponible, pero debe configurarlo manualmente el soporte de ClickHouse. Esta funcionalidad resulta ideal para clientes empresariales con requisitos estrictos de aislamiento de red.

​
Solicitud de configuración de GCP Private Service Connect

El acceso se concede por endpoint de Private Service Connect, no por proyecto de GCP. Solo se aceptará el endpoint que cree y comunique al soporte de ClickHouse. Por eso, la configuración requiere dos intercambios con el equipo de soporte. Para habilitar GCP Private Service Connect para su instancia de ClickHouse Managed Postgres:
  1. Póngase en contacto con el soporte de ClickHouse mediante un ticket de soporte
  2. Proporcione la siguiente información:
    • El ID de su organización de ClickHouse
    • El ID o nombre del host del servicio de Postgres
  3. El soporte de ClickHouse:
    • Aprovisionará la asociación de servicio de Private Service Connect para ClickHouse Managed Postgres
    • Le proporcionará el ID de la asociación de servicio para que pueda crear un endpoint.
  4. Cree su endpoint de Private Service Connect:
    • Cree el endpoint de Private Service Connect en su VPC, en la misma región que el servicio de Postgres, con el ID de la asociación de servicio proporcionado por el soporte de ClickHouse. Los endpoints de Private Service Connect son regionales, por lo que no se admiten conexiones entre regiones.
    • La conexión aparecerá como «Pending» en la consola de GCP. Permanecerá en ese estado hasta que el soporte de ClickHouse la acepte.
    • Localice el ID de conexión de PSC del endpoint. Puede consultarlo en los detalles del endpoint en la consola de GCP o ejecutar:
    • Envíe el ID de conexión de PSC al soporte de ClickHouse en el mismo ticket de soporte.
  5. El soporte de ClickHouse:
    • Añadirá su endpoint a la lista de permitidos de la asociación de servicio. La conexión pasará de «Pending» a «Accepted».
  6. Conéctese a su instancia de ClickHouse Managed Postgres:
    • Una vez que el endpoint esté en estado «Accepted», podrá conectarse a la instancia mediante la IP del endpoint por el puerto 5432 (conexión directa) o 6432 (agrupador de conexiones).
    • La IP del endpoint no tiene un nombre DNS que coincida con el nombre del host de Postgres. Use sslmode=require o, si desea usar sslmode=verify-full, añada un registro privado en Cloud DNS que asocie el nombre del host de Postgres con la IP del endpoint.
Para conectar otro endpoint a la misma instancia, por ejemplo, desde otra VPC o tras volver a crear un endpoint, repita los pasos 4 y 5: cree el endpoint con el mismo ID de la asociación de servicio y envíe su ID de conexión de PSC al soporte de ClickHouse. Para revocar el acceso de un endpoint, solicite al soporte de ClickHouse que lo retire de la lista de permitidos.

​
Retención de copias de seguridad

ClickHouse Managed Postgres realiza copias de seguridad de sus datos automáticamente para protegerlos frente a la eliminación accidental, la corrupción y otros escenarios de pérdida de datos.

​
Política de retención

  • Período de retención predeterminado: 7 días
  • Frecuencia de las copias de seguridad: copias de seguridad completas diarias + archivado continuo del WAL (cada 60 segundos o 16 MB, lo que ocurra primero)
  • Granularidad de la recuperación: recuperación a punto en el tiempo dentro del período de retención

​
Seguridad de las copias de seguridad

Las copias de seguridad se almacenan con las mismas garantías de seguridad que sus datos principales:
  • Cifrado en reposo en el almacenamiento de objetos
  • Buckets de almacenamiento aislados por instancia, con credenciales de alcance limitado
  • Control de acceso limitado a la instancia de Postgres vinculada a la copia de seguridad.
Para obtener más información sobre las estrategias de copia de seguridad y la recuperación a un momento específico, consulte la página Backup and restore.