الانتقال إلى المحتوى الرئيسي

​
أدوار AWS IAM

​
دور IAM للتهيئة الأولية

يتمتع دور IAM للتهيئة الأولية بالأذونات التالية:
  • عمليات EC2 وVPC: مطلوبة لإعداد شبكات VPC وعنقودات EKS.
  • عمليات S3 (مثل s3:CreateBucket): مطلوبة لإنشاء حاويات لـ BYOC storage في ClickHouse.
  • عمليات IAM (مثل iam:CreatePolicy): مطلوبة لكي تتمكن وحدات التحكّم من إنشاء أدوار إضافية (راجع القسم التالي لمزيد من التفاصيل).
  • عمليات EKS: تقتصر على الموارد التي تبدأ أسماؤها بالبادئة clickhouse-cloud.

​
أدوار IAM الإضافية التي تنشئها وحدة التحكم

بالإضافة إلى ClickHouseManagementRole الذي تم إنشاؤه عبر CloudFormation، ستنشئ وحدة التحكم عدة أدوار إضافية. تقوم التطبيقات التي تعمل داخل عنقود EKS الخاص بالعميل بافتراض هذه الأدوار:
  • State Exporter Role
    • مكوّن في ClickHouse يرسل معلومات حول صحة الخدمة إلى ClickHouse Cloud.
    • يتطلب إذنًا بالكتابة إلى قائمة انتظار SQS مملوكة لـ ClickHouse Cloud.
  • Load-Balancer Controller
    • وحدة تحكم AWS القياسية لموازن التحميل.
    • EBS CSI Controller لإدارة وحدات التخزين لخدمات ClickHouse.
  • External-DNS
    • ينشر إعدادات DNS إلى Route 53.
  • Cert-Manager
    • يوفّر شهادات TLS لنطاقات خدمة BYOC.
  • Cluster Autoscaler
    • يضبط حجم مجموعة العقد حسب الحاجة.
أدوار K8s-control-plane و k8s-worker مخصّصة لكي تفترضها خدمات AWS EKS. وأخيرًا، يتيح data-plane-mgmt لمكوّن في مستوى التحكم في ClickHouse Cloud توفيق الموارد المخصصة اللازمة، مثل ClickHouseCluster و Istio Virtual Service/Gateway.

​
حسابات خدمة GCP

​
حساب خدمة التهيئة الأولية

يُمنَح حساب خدمة التهيئة الأولية أدوارًا مخصصة على مستوى المشروع تتضمن الأذونات التالية:
  • مشتركة: أذونات القراءة الأساسية وأذونات الهوية.
  • VPC: إدارة VPC والشبكات الفرعية والتوجيه ومرفقات Private Service Connect التي تستضيف بنية BYOC التحتية الخاصة بك.
  • العنقود: إدارة عناقيد GKE والموارد داخل العنقود.
  • التخزين: يُستخدم لإدارة حاويات Cloud Storage المستخدمة لنسخ ClickHouse الاحتياطية، والحالة المشتركة، وبيانات المراقبة.
  • دور IAM: إدارة حسابات الخدمة والأدوار المخصصة داخل المشروع. لا يمنح هذا الدور القدرة على إنشاء مفاتيح حسابات الخدمة، أو ربط سياسات المؤسسة، أو إجراء أي تغييرات على الموارد في المشاريع الأخرى.

​
حسابات الخدمة الإضافية التي تنشئها وحدة تحكم

إلى جانب حساب الخدمة clickhouse-management الذي يُنشأ عبر Terraform كجزء من الإعداد الأوّلي، فعند توفير أول خدمة BYOC لك، ينشئ مستوى التحكم في ClickHouse (مع المصادقة بصفته clickhouse-management) حسابات خدمة إضافية في مشروعك لأحمال عمل محددة داخل العنقود. ويُنشأ كلٌّ منها بمجموعة أذونات محدودة ومخصّصة لغرض واحد.
  • هوية وقت تشغيل عُقد GKE
    • تُرفق بكل جهاز افتراضي لعقدة GKE في عنقود BYOC الخاص بك.
    • يستخدمها وكيل العقدة kubelet، والعوامل المحلية للعقدة، ومجمِّعات Cloud Operations لإرسال السجلات والمقاييس، كما يستخدمها النظام الفرعي لسحب الصور لتنزيل صور الحاويات.
  • هوية كاشط الفوترة
    • يستخدمها حمل العمل الخاص بالكاشط المستقل لجمع بيانات القياس عن بُعد المتعلقة بالفوترة.
  • هوية المراقبة
    • الهوية المستهدفة لمكدس المراقبة الذي يعمل في عنقودك. وتُستخدم لقراءة/كتابة التخزين طويل الأمد للمقاييس في حاوية GCS مخصّصة لهذا النشر.
  • هوية إدارة وقت تشغيل ClickHouse
    • يستخدمها وحدة تحكم ClickHouse لإدارة مستوى البيانات وقت التشغيل، والذي يتولى عمليات اليوم الثاني مثل إدارة نقاط نهاية Private Service Connect، وتعديلات دورة حياة الحاوية، وتدوير حسابات الخدمة.
آخر تعديل في ٢٩ يونيو ٢٠٢٦