Quick Start 가이드를 완료했고 데이터가 유입되는 활성 서비스를 운영 중인 조직을 위한 가이드입니다
TL;DR이 가이드는 Quick Start에서 엔터프라이즈급 ClickHouse Cloud 배포로 전환하는 데 도움이 됩니다. 다음 방법을 알아봅니다:
- 안전한 테스트를 위해 dev/staging/production 환경을 분리하여 구축
- IdP(Identity Provider)와 SAML/SSO 인증 통합
- Terraform 또는 Cloud API를 사용한 배포 자동화
- 모니터링을 알림 인프라(Prometheus, PagerDuty)에 연결
- 백업 절차를 검증하고 재해 복구 프로세스를 문서화
- 프로덕션 배포 전에 안전하게 테스트할 수 있도록 분리된 환경을 마련합니다
- 기존 IdP(Identity Provider) 및 액세스 관리 시스템과 통합합니다
- 모니터링 및 알림을 운영 인프라와 연동합니다
- 일관된 관리를 위해 Infrastructure as Code 관행을 도입합니다
- 백업 검증 및 재해 복구 절차를 수립합니다
- 비용 관리 및 청구 통합을 구성합니다
이 가이드는 각 영역을 차례대로 안내하여, 현재 정상적으로 운영 중인 ClickHouse Cloud 배포를 엔터프라이즈 환경에 적합한 시스템으로 전환할 수 있도록 돕습니다.
프로덕션 워크로드에 영향을 주기 전에 변경 사항을 안전하게 테스트할 수 있도록 별도의 환경을 마련하십시오. 대부분의 프로덕션 장애는 테스트되지 않은 쿼리나 구성 변경을 프로덕션 시스템에 직접 적용하면서 발생합니다.
ClickHouse Cloud에서는 각 환경이 별도의 서비스입니다. 조직 내에 프로덕션, 스테이징, 개발 서비스를 각각 별도로 프로비저닝하며, 각 서비스는 자체 컴퓨트 리소스, 스토리지, 엔드포인트를 가집니다.
- AWS PrivateLink: 트래픽을 공용 인터넷에 노출하지 않고 VPC와 ClickHouse Cloud 간에 안전하게 연결할 수 있도록 합니다. 교차 Region 연결을 지원하며, Scale 및 Enterprise 플랜에서 사용할 수 있습니다. Setup 과정에는 PrivateLink endpoint를 생성하고 이를 ClickHouse Cloud 조직 및 ClickHouse 서비스 허용 목록에 추가하는 작업이 포함됩니다. 자세한 정보와 단계별 지침은 해당 문서에서 확인할 수 있습니다.
- GCP Private Service Connect (PSC): Google Cloud VPC에서 ClickHouse Cloud에 비공개로 액세스할 수 있도록 합니다. AWS와 마찬가지로 Scale 및 Enterprise 플랜에서 사용할 수 있으며, 서비스 endpoint와 허용 목록을 명시적으로 구성해야 합니다.
- Azure Private Link: Azure VNet과 ClickHouse Cloud 간의 비공개 연결을 제공하며, 교차 Region 연결도 지원합니다. Setup 과정에는 connection alias를 확보하고, private endpoint를 생성한 다음, 허용 목록을 업데이트하는 작업이 포함됩니다.
추가적인 기술 세부 사항이나 단계별 Setup 지침이 필요하면 각 클라우드 제공업체별로 연결된 문서에서 포괄적인 가이드를 확인할 수 있습니다.
Console 기반 사용자 관리에서 Enterprise 인증 통합으로 전환하는 것은 프로덕션 환경 운영 준비를 위해 필수적입니다.
SAML SSO: Enterprise tier ClickHouse Cloud는 Okta, Azure Active Directory, Google Workspace를 포함한 IdP(Identity Provider)와의 SAML 통합을 지원합니다. SAML 구성에는 ClickHouse 지원팀과의 조율이 필요하며, IdP 메타데이터를 제공하고 속성 매핑을 구성해야 합니다.
Social SSO: ClickHouse Cloud는 SAML SSO와 마찬가지로 안전한 대안으로 소셜 인증 제공자(Google, Microsoft, GitHub)도 지원합니다. Social SSO는 기존 SAML 인프라가 없는 조직에서 엔터프라이즈 보안 기준을 유지하면서 더 빠르게 설정할 수 있습니다.
중요한 제한 사항SAML 또는 소셜 SSO를 통해 인증된 사용자는 기본적으로 “Member” 역할이 할당되며, 첫 로그인 후 관리자가 추가 역할을 수동으로 부여해야 합니다. 그룹-역할 매핑과 자동 역할 할당은 현재 지원되지 않습니다.
- 애플리케이션 사용자: 특정 데이터베이스 및 테이블에만 접근할 수 있는 서비스 계정
- 분석 사용자: 선별된 데이터셋과 보고용 뷰에 대한 읽기 전용 접근 권한
- 관리자 사용자: 전체 관리 기능
서로 다른 사용자와 역할의 리소스 사용량을 관리할 수 있도록 쿼터, 제한, 설정 프로필을 구성하십시오. 개별 쿼리가 시스템 성능에 영향을 주지 않도록 메모리 및 실행 시간 제한을 설정하십시오. 감사 로그, 세션 로그, 쿼리 로그를 통해 리소스 사용량을 모니터링하여 제한에 자주 도달하는 사용자 또는 애플리케이션을 식별하십시오. ClickHouse Cloud의 감사 기능을 사용해 정기적으로 접근 권한을 검토하십시오.
ClickHouse Cloud는 Okta를 지원하는 SCIM 프로비저닝을 비공개 프리뷰로 제공합니다. SCIM은 사용자와 그룹의 라이프사이클 관리를 자동화하므로, IdP(Identity Provider)에서 사용자를 할당하거나 할당 해제할 때 사용자가 자동으로 생성되거나 제거됩니다. SCIM을 사용하지 않는다면, IdP에서 사용자를 제거한 후 ClickHouse Cloud 콘솔에서도 해당 사용자를 수동으로 제거해야 합니다. 이 경우 수동 사용자 관리 절차를 마련해야 합니다.
Cloud 접근 관리 및 SAML SSO 설정에 대해 자세히 알아보십시오.
코드형 인프라(IaC) 방식과 API 자동화를 통해 ClickHouse Cloud를 관리하면 배포 구성의 일관성을 유지하고, 버전 제어와 반복 가능한 배포를 구현할 수 있습니다.
ClickHouse Cloud 콘솔에서 생성한 API Key를 사용해 ClickHouse Terraform 프로바이더를 구성합니다:
The Terraform 프로바이더는 서비스 프로비저닝, IP 액세스 목록, 사용자 관리를 지원합니다. 프로바이더에서 지원하지 않는 기능은 Console에서 관리하거나 ClickHouse 지원팀에 문의하십시오.
서비스 구성과 네트워크 액세스 제어를 포함한 전체 예시는 Cloud API 사용 방법에 대한 Terraform 예시에서 확인할 수 있습니다.
기존 자동화 프레임워크를 사용하는 조직은 Cloud API를 통해 ClickHouse Cloud 관리를 직접 통합할 수 있습니다. API는 서비스 수명 주기 관리, 사용자 관리, 백업 작업, 모니터링 데이터 조회에 대한 프로그래밍 방식의 액세스를 제공합니다.
일반적인 API 통합 패턴:
- 내부 티켓 시스템과 통합된 맞춤형 프로비저닝 워크플로
- 애플리케이션 배포 일정에 따른 자동 스케일링 조정
- 컴플라이언스 워크플로를 위한 프로그래밍 방식의 백업 검증 및 보고
- 기존 인프라 관리 플랫폼과의 통합
API 인증은 Terraform과 동일한 토큰 기반 방식을 사용합니다. 전체 API 참조 및 통합 예시는 ClickHouse Cloud API 문서를 참조하십시오.
ClickHouse Cloud를 기존 모니터링 인프라에 연결하면 시스템 가시성을 높이고 문제를 선제적으로 감지할 수 있습니다.
ClickHouse Cloud는 초당 쿼리 수, 메모리 사용량, CPU 사용량, 스토리지 처리율을 포함한 실시간 메트릭을 제공하는 Advanced dashboard를 제공합니다. Cloud Console의 모니터링 → Advanced dashboard에서 확인할 수 있습니다. 특정 workload 패턴이나 팀의 리소스 활용에 맞춘 사용자 지정 대시보드를 만드세요.
프로덕션 환경에서 흔히 부족한 부분엔터프라이즈 인시던트 관리 시스템과 연동되는 사전 대응형 알림과 자동 비용 모니터링이 부족한 경우가 많습니다. 기본 제공 대시보드는 가시성을 제공하지만, 자동 알림을 구현하려면 외부 통합이 필요합니다.
