Ce guide explique comment connecter ClickHouse Cloud à Azure Blob Storage de manière sécurisée pour l’ingestion de données, les tables externes et d’autres scénarios d’intégration.
ClickHouse Cloud peut se connecter à Azure Blob Storage à l’aide de plusieurs méthodes d’authentification.
Ce guide vous aidera à choisir l’approche appropriée et à configurer votre connexion de manière sécurisée.
Cas d’usage pris en charge :
Limitation réseau importanteLorsque votre service ClickHouse Cloud et votre conteneur Azure Blob Storage sont déployés dans la même région Azure, la mise en liste blanche des adresses IP ne fonctionne pas.Cela s’explique par le fait qu’Azure achemine le trafic au sein d’une même région via son réseau interne (VNet + Service Endpoints), en contournant l’internet public et les passerelles NAT.
Par conséquent, les règles de pare-feu de votre compte de stockage Azure basées sur des adresses IP publiques ne seront pas appliquées.La mise en liste blanche des adresses IP fonctionne lorsque :
- Votre service ClickHouse Cloud se trouve dans une région Azure différente de celle du compte de stockage
- Votre service ClickHouse Cloud s’exécute sur AWS/GCP et se connecte à un stockage Azure
La mise en liste blanche des adresses IP échoue lorsque :
- Votre service ClickHouse Cloud et le stockage se trouvent dans la même région Azure. Utilisez les Shared Access Signatures (SAS) via une chaîne de connexion au lieu de la mise en liste blanche des adresses IP, ou déployez ABS et ClickHouse dans des régions différentes.
Configuration réseau (interrégion uniquement)
Interrégion uniquementCette section s’applique uniquement lorsque votre service ClickHouse Cloud et votre conteneur Azure Blob Storage se trouvent dans des régions Azure différentes, ou lorsque ClickHouse Cloud est sur AWS/GCP.
Pour les déploiements dans la même région, utilisez plutôt des jetons SAS.
Trouvez les adresses IP de sortie de votre service ClickHouse Cloud
Pour configurer des règles de pare-feu basées sur les adresses IP, vous devez autoriser les adresses IP de sortie de votre région ClickHouse Cloud.Exécutez la commande suivante pour récupérer la liste des adresses IP de sortie et d’entrée par région.
Remplacez eastus ci-dessous par votre région afin de filtrer les autres régions :Vous verrez un résultat similaire à celui-ci :Consultez Azure regions pour obtenir la liste des régions Cloud prises en charge,
ainsi que la colonne « Programmatic name » de Azure regions list
pour savoir quel nom utiliser. Accédez à votre Storage Account dans Azure Portal
- Accédez à Networking → Firewalls and virtual networks
- Sélectionnez Enabled from selected virtual networks and IP addresses
- Ajoutez chaque adresse IP de sortie ClickHouse Cloud obtenue à l’étape précédente dans le champ Address range
N’ajoutez pas les adresses IP privées de ClickHouse Cloud (adresses 10.x.x.x)
- Cliquez sur Save
Consultez Configure Azure Storage firewalls docs pour plus de détails. Configuration de ClickPipes
ClickPipes utilise des adresses IP statiques distinctes pour les connexions sortantes.
Ces adresses IP doivent être ajoutées à la liste blanche si vous utilisez des règles de pare-feu basées sur les adresses IP.Consultez “Liste des IP statiques” La restriction concernant la mise en liste blanche des adresses IP dans une même région, mentionnée au début de ce document, s’applique également à ClickPipes.
Si votre service ClickPipes et Azure Blob Storage se trouvent dans la même région, utilisez l’authentification par SAS token plutôt que la mise en liste blanche des adresses IP.
