Guía de preparación para producción de ClickHouse Cloud

Guía para organizaciones que pasan del inicio rápido a implementaciones de ClickHouse Cloud listas para entornos empresariales

Para organizaciones que han completado la guía de inicio rápido y tienen un servicio activo con datos en ingestión

TL;DR

Esta guía le ayuda a pasar del inicio rápido a implementaciones de ClickHouse Cloud listas para entornos empresariales. Aprenderá a:

• Establecer entornos separados de desarrollo/preproducción/producción para realizar pruebas de forma segura
• Integrar la autenticación SAML/SSO con su proveedor de identidad
• Automatizar las implementaciones con Terraform o la Cloud API
• Conectar la monitorización con su infraestructura de alertas (Prometheus, PagerDuty)
• Validar los procedimientos de copia de seguridad y documentar los procesos de recuperación ante desastres

​

Introducción

Ya tiene ClickHouse Cloud funcionando correctamente para sus cargas de trabajo empresariales. Ahora necesita madurar su implementación para cumplir los estándares de producción empresariales, ya sea a raíz de una auditoría de cumplimiento, de un incidente en producción causado por una consulta no probada o de requisitos de TI para integrarse con sistemas corporativos.

La plataforma administrada de ClickHouse Cloud se encarga de las operaciones de infraestructura, el escalado automático y el mantenimiento del sistema. La preparación para producción a nivel empresarial requiere conectar ClickHouse Cloud con su entorno de TI más amplio mediante sistemas de autenticación, infraestructura de monitorización, herramientas de automatización y procesos de continuidad del negocio.

Sus responsabilidades para la preparación para producción a nivel empresarial:

• Establecer entornos separados para realizar pruebas seguras antes de la implementación en producción
• Integrarse con proveedores de identidad existentes y sistemas de gestión de acceso
• Conectar la monitorización y las alertas a su infraestructura operativa
• Implementar prácticas de infraestructura como código para una gestión coherente
• Establecer procedimientos de validación de copias de seguridad y recuperación ante desastres
• Configurar la gestión de costes y la integración de facturación

Esta guía le acompaña en cada área y le ayuda a pasar de una implementación funcional de ClickHouse Cloud a un sistema preparado para entornos empresariales.

​

Estrategia de entornos

Establezca entornos separados para probar cambios de forma segura antes de que afecten a las cargas de trabajo de producción. La mayoría de los incidentes en producción se deben a consultas o cambios de configuración no probados que se implementan directamente en los sistemas de producción.

En ClickHouse Cloud, cada entorno es un servicio independiente. Aprovisionará servicios distintos para producción, staging y desarrollo dentro de su organización, cada uno con sus propios recursos de cómputo, almacenamiento y endpoint.

Estructura de entornos: Mantenga entornos de producción (cargas de trabajo reales), staging (validación equivalente a producción) y desarrollo (experimentación individual o en equipo).

Pruebas: Pruebe las consultas en staging antes de implementarlas en producción. Las consultas que funcionan con conjuntos de datos pequeños suelen provocar agotamiento de memoria, uso excesivo de CPU o una ejecución lenta a escala de producción. Valide en staging los cambios de configuración, incluidos los permisos de usuario, las cuotas y la configuración del servicio; los errores de configuración detectados en producción generan incidentes operativos inmediatos.

Dimensionamiento: Dimensione su servicio de staging para que se aproxime a las características de carga de producción. Probar en una infraestructura significativamente más pequeña puede no revelar contención de recursos ni problemas de escalado. Use conjuntos de datos representativos de producción mediante actualizaciones periódicas de datos o generación de datos sintéticos. Para obtener orientación sobre cómo dimensionar su entorno de staging y escalar los servicios adecuadamente, consulte la documentación de Sizing and hardware recommendations y Scaling in ClickHouse Cloud. Estos recursos ofrecen recomendaciones prácticas sobre el dimensionamiento de memoria, CPU y almacenamiento, así como detalles sobre las opciones de escalado vertical y horizontal para ayudarle a ajustar su entorno de staging a las cargas de trabajo de producción.

​

Redes privadas

Las redes privadas en ClickHouse Cloud le permiten conectar sus servicios de ClickHouse directamente a su red virtual en la nube, garantizando que los datos no atraviesen la Internet pública. Esto es esencial para las organizaciones con requisitos estrictos de seguridad o cumplimiento normativo, o para aquellas que ejecutan aplicaciones en subredes privadas.

ClickHouse Cloud admite redes privadas mediante los siguientes mecanismos:

• AWS PrivateLink: Permite una conectividad segura entre su VPC y ClickHouse Cloud sin exponer el tráfico a la Internet pública. Admite conectividad entre regiones y está disponible en los planes Scale y Enterprise. La configuración implica crear un endpoint de PrivateLink y añadirlo a la lista de permitidos de su organización y servicio de ClickHouse Cloud. Encontrará más detalles e instrucciones paso a paso en la documentación aquí.
• GCP Private Service Connect (PSC): Permite el acceso privado a ClickHouse Cloud desde su VPC de Google Cloud. Al igual que AWS, está disponible en los planes Scale y Enterprise y requiere la configuración explícita de los endpoints del servicio y de las listas de permitidos aquí.
• Azure Private Link: Proporciona conectividad privada entre su VNet de Azure y ClickHouse Cloud, con soporte para conexiones entre regiones. El proceso de configuración implica obtener un alias de conexión, crear un endpoint privado y actualizar las listas de permitidos aquí.

Si necesita más detalles técnicos o instrucciones de configuración paso a paso, la documentación enlazada para cada proveedor contiene guías completas.

​

Autenticación Enterprise y gestión de usuarios

Pasar de la gestión de usuarios en la Console a la integración con autenticación Enterprise es esencial para la preparación para producción.

​

SSO y autenticación social

SAML SSO: el nivel Enterprise de ClickHouse Cloud admite la integración con SAML a través de proveedores de identidad como Okta, Azure Active Directory y Google Workspace. La configuración de SAML requiere coordinación con el soporte de ClickHouse e implica proporcionar los metadatos de tu IdP y configurar la asignación de atributos.

SSO social: ClickHouse Cloud también admite proveedores de autenticación social (Google, Microsoft, GitHub) como una alternativa a SAML SSO con el mismo nivel de seguridad. El SSO social permite una puesta en marcha más rápida para organizaciones que no cuentan con infraestructura SAML, sin dejar de mantener los estándares de seguridad empresarial.

Limitación importante

A los usuarios autenticados mediante SAML o SSO social se les asigna el rol “Member” de forma predeterminada, y un administrador debe concederles manualmente roles adicionales después de su primer inicio de sesión. Actualmente no se admite la asignación de grupos a roles ni la asignación automática de roles.

​

Diseño del control de acceso

ClickHouse Cloud usa roles a nivel de organización (Admin, Developer, Billing, Member) y roles a nivel de servicio o base de datos (Service Admin, Solo lectura, roles de la consola SQL). Diseñe los roles en función de las tareas de cada puesto, aplicando el principio de mínimo privilegio:

• Usuarios de aplicaciones: Cuentas de servicio con acceso específico a bases de datos y tablas
• Usuarios analistas: Acceso de solo lectura a conjuntos de datos seleccionados y vistas de informes
• Usuarios administradores: Plenas capacidades administrativas

Configure cuotas, límites y perfiles de configuración para gestionar el uso de recursos de los distintos usuarios y roles. Establezca límites de memoria y tiempo de ejecución para evitar que consultas individuales afecten al rendimiento del sistema. Supervise el uso de recursos mediante registros de auditoría, sesión y consultas para identificar a los usuarios o aplicaciones que alcanzan los límites con frecuencia. Realice revisiones periódicas de acceso con las capacidades de auditoría de ClickHouse Cloud.

​

Limitaciones de la gestión del ciclo de vida de usuarios

ClickHouse Cloud admite el aprovisionamiento SCIM con Okta y Microsoft Entra ID. SCIM automatiza la gestión del ciclo de vida de usuarios y grupos, por lo que los usuarios se crean y eliminan automáticamente cuando los asignas o les quitas la asignación en tu proveedor de identidad. Si no usas SCIM, los usuarios deben eliminarse manualmente de la consola de ClickHouse Cloud después de eliminarlos de tu IdP; en ese caso, ten en cuenta que necesitarás procesos manuales de gestión de usuarios.

Obtén más información sobre Cloud Access Management y la configuración de SAML SSO.

​

Infraestructura como código y automatización

Gestionar ClickHouse Cloud mediante prácticas de infraestructura como código y automatización mediante API aporta coherencia, control de versiones y reproducibilidad a la configuración de su implementación.

​

Proveedor de Terraform

Configure el proveedor de Terraform de ClickHouse con claves de API creadas en la consola de ClickHouse Cloud:

terraform {
  required_providers {
    clickhouse = {
      source  = "ClickHouse/clickhouse"
      version = "~> 2.0"
    }
  }
}

provider "clickhouse" {
  environment     = "production"
  organization_id = var.organization_id
  token_key       = var.token_key
  token_secret    = var.token_secret
}

El proveedor de Terraform admite el aprovisionamiento de servicios, las listas de acceso IP y la gestión de usuarios. Para las funciones que no cubre el proveedor, adminístrelas desde la consola o póngase en contacto con el soporte de ClickHouse.

Para ver ejemplos completos, incluida la configuración del servicio y los controles de acceso de red, consulte el ejemplo de Terraform para usar la Cloud API.

​

Integración con Cloud API

Las organizaciones con sistemas de automatización ya implantados pueden integrar la gestión de ClickHouse Cloud directamente a través de Cloud API. La API proporciona acceso programático a la gestión del ciclo de vida del servicio, la administración de usuarios, las operaciones de copia de seguridad y la recuperación de datos de monitorización.

Patrones comunes de integración de API:

• Flujos de trabajo de aprovisionamiento personalizados integrados con sistemas internos de gestión de tickets
• Ajustes automatizados de escalado en función de los calendarios de implementación de aplicaciones
• Validación programática de copias de seguridad e informes para flujos de trabajo de cumplimiento
• Integración con plataformas existentes de gestión de infraestructura

La autenticación de la API utiliza el mismo enfoque basado en tokens que Terraform. Para obtener la referencia completa de la API y ejemplos de integración, consulta la documentación de ClickHouse Cloud API.

​

Monitorización e integración operativa

Conectar ClickHouse Cloud con su infraestructura de monitorización existente garantiza visibilidad y una detección proactiva de problemas.

​

Monitorización integrada

ClickHouse Cloud proporciona un Advanced dashboard con métricas en tiempo real, incluidas consultas por segundo, uso de memoria, uso de CPU y tasas de almacenamiento. Acceda a él desde la Cloud Console, en Monitoring → Advanced dashboard. Cree dashboards personalizados adaptados a patrones específicos de carga de trabajo o al consumo de recursos del equipo.

Huecos habituales en producción

Falta integración de alertas proactivas con sistemas empresariales de gestión de incidentes y de monitorización automatizada de costos. Los dashboards integrados proporcionan visibilidad, pero las alertas automatizadas requieren integración externa.

​

Configuración de alertas para producción

Capacidades integradas: ClickHouse Cloud proporciona notificaciones sobre eventos de facturación, eventos de escalado y estado del servicio por correo electrónico, la UI y Slack. Configure los canales de entrega y los niveles de severidad de las notificaciones en la configuración de notificaciones de la consola.

Integración empresarial: Para alertas avanzadas (PagerDuty, webhooks personalizados), use el endpoint de Prometheus para exportar métricas a su infraestructura de monitorización existente:

scrape_configs:
  - job_name: "clickhouse"
    static_configs:
      - targets: ["https://api.clickhouse.cloud/v1/organizations/<org_id>/prometheus"]
    basic_auth:
      username: <KEY_ID>
      password: <KEY_SECRET>

Para obtener una configuración completa, incluida la configuración detallada de Prometheus/Grafana y alertas avanzadas, consulta la Guía de observabilidad de ClickHouse Cloud.

​

Continuidad del negocio e integración con el soporte

Establecer procedimientos para validar las copias de seguridad e integrar el soporte garantiza que su implementación de ClickHouse Cloud pueda recuperarse de incidentes y obtener ayuda cuando sea necesario.

​

Evaluación de la estrategia de copias de seguridad

ClickHouse Cloud proporciona copias de seguridad automáticas con periodos de retención configurables. Evalúe su configuración actual de copias de seguridad en función de los requisitos de cumplimiento normativo y recuperación. Si tiene requisitos específicos de cumplimiento normativo relacionados con la ubicación o el cifrado de las copias de seguridad, puede configurar ClickHouse Cloud para almacenarlas en sus propios buckets de almacenamiento en la nube (BYOB). Póngase en contacto con el soporte de ClickHouse para configurar BYOB.

​

Validar y probar los procedimientos de recuperación

La mayoría de las organizaciones descubren huecos en las copias de seguridad durante escenarios reales de recuperación. Establezca ciclos de validación periódicos para verificar la integridad de las copias de seguridad y probar los procedimientos de recuperación antes de que se produzcan incidentes. Programe restauraciones de prueba periódicas en entornos no productivos, documente los procedimientos de recuperación paso a paso, incluidas las estimaciones de tiempo, verifique que los datos restaurados estén completos y que la aplicación funcione correctamente, y pruebe los procedimientos de recuperación con distintos escenarios de fallo (eliminación del servicio, corrupción de datos, interrupciones regionales). Mantenga runbooks de recuperación actualizados y accesibles para los equipos de guardia.

Pruebe la restauración de copias de seguridad al menos una vez por trimestre para los servicios críticos de producción. Las organizaciones con requisitos estrictos de cumplimiento normativo pueden necesitar ciclos de validación mensuales o incluso semanales.

​

Planificación de la recuperación ante desastres

Documente sus objetivos de tiempo de recuperación (RTO) y de punto de recuperación (RPO) para validar que su configuración actual de copias de seguridad cumple los requisitos empresariales. Establezca un calendario periódico de pruebas de restauración de copias de seguridad y mantenga actualizada la documentación de recuperación.

Almacenamiento de copias de seguridad entre regiones: Las organizaciones con requisitos geográficos de recuperación ante desastres pueden configurar ClickHouse Cloud para exportar copias de seguridad a buckets de almacenamiento del cliente en regiones alternativas. Esto ofrece protección frente a caídas regionales, pero requiere procedimientos de restauración manuales. Póngase en contacto con el soporte de ClickHouse para implementar exportaciones de copias de seguridad entre regiones. Las próximas versiones de la plataforma ofrecerán capacidades automatizadas de replicación multirregional.

​

Integración del soporte en producción

Comprenda las expectativas del SLA de su nivel de soporte actual y los procedimientos de escalado. Cree runbooks internos que definan cuándo contactar con el soporte de ClickHouse e integre estos procedimientos en sus procesos actuales de gestión de incidentes.

Obtenga más información sobre copias de seguridad y recuperación en ClickHouse Cloud y servicios de soporte.

​

Próximos pasos

Después de implementar las integraciones y los procedimientos de esta guía, visita el recorrido por los recursos de Cloud para consultar las guías sobre monitorización, seguridad y optimización de costos.

Si las limitaciones actuales de los niveles de servicio afectan a tus operaciones en producción, considera las opciones de actualización para obtener capacidades mejoradas, como redes privadas, TDE/CMEK (Cifrado transparente de datos con claves de cifrado gestionadas por el cliente) u opciones avanzadas de copia de seguridad.