Skip to main content
ClickHouse Managed Postgres est conçu avec des fonctionnalités de sécurité de niveau entreprise afin de protéger vos données et de répondre aux exigences de conformité. Cette page présente la sécurité réseau, le chiffrement et les politiques de conservation des sauvegardes.

​
Filtrage par adresses IP

Les filtres IP déterminent quelles adresses IP source sont autorisées à se connecter à votre instance ClickHouse Managed Postgres, assurant un contrôle d’accès au niveau du réseau afin de protéger votre base de données contre les connexions non autorisées.

​
Configuration des filtres IP

Pour configurer les filtres IP :
  1. Accédez à l’onglet Paramètres
  2. Sous Filtres IP, cliquez sur Modifier
  3. Ajoutez les adresses IP ou plages CIDR autorisées à se connecter
  4. Cliquez sur Enregistrer pour appliquer les modifications
Vous pouvez spécifier :
  • Des adresses IP individuelles (par ex. 203.0.113.5)
  • Des plages CIDR pour les réseaux (par ex. 192.168.1.0/24)
  • Partout pour autoriser toutes les adresses IP (non recommandé en production)
  • Nulle part pour bloquer toutes les connexions
Bonnes pratiques en productionSi aucun filtre IP n’est configuré, les connexions provenant de toutes les adresses IP sont autorisées. Pour les charges de travail de production, limitez l’accès aux adresses IP ou plages CIDR connues. Envisagez de limiter l’accès aux éléments suivants :
  • Vos serveurs d’application
  • Les adresses IP de la passerelle VPN
  • Les hôtes bastion pour l’accès administratif
  • Les adresses IP des pipelines CI/CD pour les déploiements automatisés

​
Chiffrement

ClickHouse Managed Postgres chiffre vos données au repos comme en transit afin d’assurer une protection complète.

​
Chiffrement au repos

Toutes les données stockées par ClickHouse Managed Postgres sont chiffrées au repos afin de les protéger contre tout accès non autorisé à l’infrastructure de stockage sous-jacente.

​
Chiffrement du stockage NVMe

Les fichiers de votre base de données, les journaux de transaction et les fichiers temporaires stockés sur des disques NVMe sont chiffrés à l’aide d’algorithmes de chiffrement conformes aux normes du secteur. Ce chiffrement est transparent pour vos applications et ne nécessite aucune configuration.

​
Chiffrement du stockage objet

Les sauvegardes et les archives du Write-Ahead Log (WAL) stockées dans le stockage objet sont également chiffrées au repos. Cela inclut :
  • Les sauvegardes complètes quotidiennes
  • Les archives WAL incrémentales
  • Les données de restauration à un instant précis
Toutes les données de sauvegarde sont stockées dans des buckets de stockage dédiés et isolés, avec des identifiants propres à chaque instance, de sorte qu’elles restent sécurisées et accessibles uniquement aux systèmes autorisés.
Le chiffrement au repos est activé par défaut pour toutes les instances ClickHouse Managed Postgres et ne peut pas être désactivé. Aucune configuration supplémentaire n’est nécessaire.

​
Chiffrement des données en transit

Toutes les connexions réseau à ClickHouse Managed Postgres sont sécurisées à l’aide de TLS (Transport Layer Security) afin de protéger les données pendant leur transfert entre vos applications et la base de données.

​
Configuration TLS/SSL

Par défaut, les connexions utilisent le chiffrement TLS sans vérification du certificat. Pour les charges de travail en production, nous vous recommandons d’utiliser une connexion TLS avec vérification du certificat afin de vous assurer que vous communiquez avec le bon serveur. Pour plus de détails sur la configuration TLS et les options de connexion, consultez la page Connexion. AWS PrivateLink permet une connectivité privée entre votre instance ClickHouse Managed Postgres et votre Virtual Private Cloud (VPC) AWS, sans exposer le trafic à l’Internet public. Cela ajoute une couche supplémentaire d’isolation réseau et de sécurité.
Configuration manuelle requiseLa prise en charge d’AWS PrivateLink est disponible, mais nécessite une configuration manuelle par le support ClickHouse. Cette fonctionnalité est idéale pour les clients Enterprise ayant des exigences strictes en matière d’isolation réseau.
Pour activer AWS PrivateLink pour votre instance ClickHouse Managed Postgres :
  1. Contactez le support ClickHouse en créant un ticket de support
  2. Fournissez les informations suivantes :
    • Votre Organization ID ClickHouse
    • L’ID/le hostname du service Postgres
    • Les ID/ARN de compte AWS auxquels vous souhaitez connecter le Private Link
      • (Facultatif) Toute Region autre que celle de l’instance Postgres depuis laquelle vous souhaitez vous connecter
  3. Le support ClickHouse :
    • Provisionnera le endpoint Private Link côté ClickHouse Managed Postgres
    • Vous fournira les connection details du endpoint, que vous pourrez utiliser pour créer une interface endpoint.
  4. Configurez votre AWS PrivateLink :
    • Créez l’AWS PrivateLink en accédant à l’interface endpoint dans les paramètres AWS et en utilisant la configuration fournie par le support ClickHouse.
    • Une fois votre AWS PrivateLink à l’état « Available », vous pouvez vous y connecter à l’aide du nom DNS privé fourni dans l’UI AWS.

​
GCP Private Service Connect

GCP Private Service Connect (PSC) permet d’établir une connectivité privée entre votre instance ClickHouse Managed Postgres et votre Virtual Private Cloud (VPC) Google Cloud, sans exposer le trafic à l’Internet public. Vous bénéficiez ainsi d’une couche supplémentaire d’isolation réseau et de sécurité.
Configuration manuelle requiseGCP Private Service Connect est pris en charge, mais doit être configuré manuellement par le ClickHouse Support. Cette fonctionnalité est particulièrement adaptée aux clients Enterprise soumis à des exigences strictes en matière d’isolation réseau.

​
Demander la configuration de GCP Private Service Connect

L’accès est accordé par endpoint Private Service Connect, et non par projet GCP. Seul l’endpoint que vous créez et communiquez à ClickHouse Support est accepté. La configuration nécessite donc deux échanges avec le support. Pour activer GCP Private Service Connect pour votre instance ClickHouse Managed Postgres :
  1. Contactez ClickHouse Support en créant un ticket de support
  2. Fournissez les informations suivantes :
    • L’ID de votre organisation ClickHouse
    • L’ID ou le nom d’hôte du service Postgres
  3. ClickHouse Support se chargera de :
    • Créer le rattachement de service Private Service Connect du côté de ClickHouse Managed Postgres
    • Vous fournir l’ID du rattachement de service, nécessaire pour créer un endpoint.
  4. Créez votre endpoint Private Service Connect :
    • Créez l’endpoint Private Service Connect dans votre VPC, dans la même région que le service Postgres, à l’aide de l’ID du rattachement de service fourni par ClickHouse Support. Les endpoints Private Service Connect sont régionaux : les connexions entre régions ne sont donc pas prises en charge.
    • La connexion apparaîtra à l’état « Pending » dans la console GCP. C’est normal tant que ClickHouse Support ne l’a pas acceptée.
    • Recherchez le PSC connection ID de l’endpoint. Il figure dans les détails de l’endpoint dans la console GCP. Vous pouvez également exécuter :
    • Envoyez le PSC connection ID à ClickHouse Support dans le même ticket de support.
  5. ClickHouse Support se chargera de :
    • Ajouter votre endpoint à la liste d’autorisation du rattachement de service. La connexion passera alors de l’état « Pending » à l’état « Accepted ».
  6. Connectez-vous à votre instance ClickHouse Managed Postgres :
    • Une fois votre endpoint à l’état « Accepted », vous pouvez vous y connecter via son adresse IP sur le port 5432 (connexion directe) ou 6432 (pooler).
    • Aucun nom DNS correspondant au nom d’hôte Postgres n’est associé à l’adresse IP de l’endpoint. Utilisez donc sslmode=require ou, pour utiliser sslmode=verify-full, ajoutez un enregistrement Cloud DNS privé qui associe le nom d’hôte Postgres à l’adresse IP de l’endpoint.
Pour connecter un autre endpoint à la même instance, par exemple depuis un autre VPC ou après avoir recréé un endpoint, répétez les étapes 4 et 5 : créez l’endpoint à partir du même ID de rattachement de service et envoyez son PSC connection ID à ClickHouse Support. Pour révoquer l’accès d’un endpoint, demandez à ClickHouse Support de le retirer de la liste d’autorisation.

​
Rétention des sauvegardes

ClickHouse Managed Postgres sauvegarde automatiquement vos données pour les protéger contre les suppressions accidentelles, la corruption et d’autres scénarios de perte de données.

​
Politique de rétention

  • Période de rétention par défaut : 7 jours
  • Fréquence des sauvegardes : sauvegardes complètes quotidiennes + archivage continu du WAL (toutes les 60 secondes ou tous les 16 Mo, selon la première éventualité)
  • Granularité de la restauration : restauration à un instant donné, à n’importe quel moment de la période de rétention

​
Sécurité des sauvegardes

Les sauvegardes sont stockées avec les mêmes garanties de sécurité que vos données principales :
  • Chiffrement au repos dans le stockage objet
  • Buckets de stockage isolés par instance, avec des identifiants aux autorisations limitées
  • Contrôle d’accès limité à l’instance Postgres liée à la sauvegarde.
Pour plus de détails sur les stratégies de sauvegarde et la restauration à un instant précis, consultez la page Sauvegarde et restauration.