El rol de IAM Bootstrap tiene los siguientes permisos:
- Operaciones de EC2 y VPC: Necesarias para configurar la VPC y los clústeres de EKS.
- Operaciones de S3 (por ejemplo,
s3:CreateBucket): Necesarias para crear buckets para el almacenamiento BYOC de ClickHouse.
- Operaciones de IAM (por ejemplo,
iam:CreatePolicy): Necesarias para que los controladores puedan crear roles adicionales (consulta la siguiente sección para obtener más detalles).
- Operaciones de EKS: Limitadas a recursos con nombres que comienzan con el prefijo
clickhouse-cloud.
Roles de IAM adicionales creados por el controlador
ClickHouseManagementRole, creado mediante CloudFormation, el controlador creará varios roles adicionales.
Estos roles los asumen aplicaciones que se ejecutan dentro del clúster de EKS del cliente:
- Rol de State Exporter
- Componente de ClickHouse que informa sobre el estado de salud del servicio a ClickHouse Cloud.
- Requiere permiso para escribir en una cola de SQS propiedad de ClickHouse Cloud.
- Load-Balancer Controller
- Controlador estándar de balanceador de carga de AWS.
- Controlador EBS CSI para gestionar volúmenes de los servicios de ClickHouse.
- External-DNS
- Propaga configuraciones de DNS a Route 53.
- cert-manager
- Aprovisiona certificados TLS para dominios de servicio de BYOC.
- Cluster Autoscaler
- Ajusta el tamaño del grupo de nodos según sea necesario.
Los roles K8s-control-plane y k8s-worker están pensados para que los asuman los servicios de AWS EKS.
Por último, data-plane-mgmt permite que un componente del control plane de ClickHouse Cloud reconcilie los Custom resources necesarios, como ClickHouseCluster y el Istio Virtual Service/Gateway.
Cuentas de servicio de GCP
Cuenta de servicio Bootstrap
- Common: Permisos básicos de lectura y de identidad.
- VPC: Administra la VPC, las subredes, el enrutamiento y los adjuntos de Private Service Connect que alojan tu infraestructura BYOC.
- Cluster: Administra los clústeres de GKE y los recursos dentro del clúster.
- Storage: Se usa para administrar los buckets de Cloud Storage que se utilizan para las copias de seguridad de ClickHouse, el estado compartido y los datos de monitorización.
- Rol de IAM: Administra las cuentas de servicio y los roles personalizados dentro del proyecto. Este rol no otorga la capacidad de crear claves de cuentas de servicio, vincular políticas de organización ni modificar recursos en otros proyectos.
Cuentas de servicio adicionales creadas por el controlador
clickhouse-management creada mediante Terraform como parte del onboarding, cuando aprovisionas tu primer servicio BYOC, el plano de control de ClickHouse (autenticándose como clickhouse-management) crea cuentas de servicio adicionales en tu proyecto para cargas de trabajo específicas dentro del clúster. Cada una de ellas se crea con un conjunto de permisos reducido y de un único propósito.
- Identidad de ejecución de los nodos de GKE
- Asociada a cada máquina virtual de nodo de GKE en tu clúster BYOC.
- La usan el agente kubelet, los agentes locales del nodo y los colectores de Cloud Operations para emitir logs y métricas, así como el subsistema de descarga de imágenes para descargar imágenes de contenedor.
- Identidad del scraper de facturación
- La usa la carga de trabajo scraper independiente para recopilar telemetría de facturación.
- Identidad de monitorización
- Identidad de destino para la pila de monitorización que se ejecuta en tu clúster. Se usa para leer y escribir en el almacenamiento de métricas a largo plazo de un bucket de GCS dedicado a esta implementación.
- Identidad de gestión del entorno de ejecución de ClickHouse
- La usa el controlador de gestión del plano de datos en tiempo de ejecución de ClickHouse, que se encarga de operaciones de día 2 como la gestión de endpoints de Private Service Connect, los ajustes del ciclo de vida del bucket y la rotación de cuentas de servicio.
Última modificación el 29 de junio de 2026
