Managed Postgres には、データを保護し、コンプライアンス要件を満たすためのエンタープライズレベルのセキュリティ機能が備わっています。このページでは、ネットワークセキュリティ、暗号化、バックアップ保持期間のポリシーについて説明します。
IP フィルタは、Managed Postgres インスタンスへの接続を許可する送信元 IP アドレスを制御し、未承認の接続からデータベースを保護するためのネットワークレベルのアクセス制御を提供します。
IP フィルタの設定に関する詳細は、設定 ページを参照してください。
次を指定できます。
- 個別の IP アドレス (例:
203.0.113.5)
- ネットワークの CIDR 範囲 (例:
192.168.1.0/24)
- すべての IP アドレスを許可する Anywhere (本番環境では非推奨)
- すべての接続をブロックする Nowhere
本番環境のベストプラクティスIP フィルタが設定されていない場合、すべての IP アドレスからの接続が許可されます。本番ワークロードでは、既知の IP アドレスまたは CIDR 範囲のみにアクセスを制限してください。アクセスを許可する対象として、以下を検討してください。
- アプリケーションサーバー
- VPN ゲートウェイの IP アドレス
- 管理アクセス用の踏み台サーバー
- 自動デプロイ用の CI/CD パイプラインの IP アドレス
- 日次のフルバックアップ
- インクリメンタル WAL アーカイブ
- ポイントインタイムリカバリ用データ
すべてのバックアップデータは、各インスタンス専用の認証情報が設定された、専用かつ分離されたストレージバケットに保存されます。これにより、バックアップデータの安全性が確保され、許可されたシステムのみがアクセスできます。
保存時の暗号化は、すべての Managed Postgres インスタンスでデフォルトで有効になっており、無効にすることはできません。追加の設定は不要です。
手動でのセットアップが必要ですプライベートリンクはサポートされていますが、ClickHouse Support による手動設定が必要です。この機能は、厳格なネットワーク分離要件を持つ Enterprise のお客様に最適です。
-
サポートチケットを作成して ClickHouse Support に連絡します
-
次の情報を提供します:
- ClickHouse の Organization ID
- Postgres service の ID/hostname
- プライベートリンクの接続先としたい AWS アカウント ID/ARN
- (任意) Postgres インスタンスの Region 以外で、接続元として使用したい Region
-
ClickHouse Support が次を実施します:
- Managed Postgres 側でプライベートリンクの endpoint をプロビジョニングします
- endpoint の connection details を提供します。これを使用して endpoint インターフェイスを作成できます。
-
プライベートリンクを Setup します:
- AWS の設定で endpoint インターフェイスに移動し、ClickHouse Support から提供された設定を使用してプライベートリンクを作成します。
- プライベートリンクが “Available” 状態になったら、AWS UI に表示される Private DNS 名を使用して接続できます。
Managed Postgres は、誤削除や破損、その他のデータ損失から保護するために、データを自動的にバックアップします。
- デフォルトの保持期間: 7日間
- バックアップ頻度: 毎日のフルバックアップ + 継続的なWALアーカイブ (60秒ごと、または16 MBに達した時点のいずれか早い方)
- 復旧の粒度: 保持期間内の任意の時点へのポイントインタイムリカバリ
バックアップは、元データと同等のセキュリティ保証の下で保存されます。
- オブジェクトストレージでの保存時の暗号化
- 権限範囲が限定された認証情報を使用する、インスタンスごとに分離されたストレージバケット
- バックアップに関連付けられた Postgres インスタンスのみに制限されたアクセス制御
バックアップ戦略とポイントインタイム リカバリの詳細については、バックアップと復元 ページを参照してください。 
