日常运维操作
ClickHouse Cloud 的 control plane 在不读取客户数据的前提下运行你的 BYOC deployment。向 ClickHouse 自有基础设施发送数据的组件仅传输运维层面的元数据：
查询流量、表内容以及 schema 绝不会经由这些通道传输。你的完整监控数据集 —— 包括 Prometheus 与 Thanos 技术栈以及你的 日志 —— 始终保留在你自己的 account 中；上表中列出的有限 telemetry 是唯一会持续导出到 ClickHouse 自有系统的可观测性数据。此外，ClickHouse 的监控仪表板以及经审批处理后的 ClickHouse 工程师，可通过 Tailscale 就地查询该技术栈和你的 日志，且不会在 ClickHouse 一侧持久化任何内容 —— 参见故障排查访问。完整的入站与出站流量参考，请参见网络边界。
故障排查访问
当 ClickHouse 工程师需要诊断您部署中的问题时，他们会通过内部处理和审批工作流申请即时访问权限。获批的访问权限通过有时限的证书授予，并经由 Tailscale 路由——绝不会通过公共互联网。工程师可以查看哪些内容
在 ClickHouse 内部，获得批准的故障排查访问权限仅限于系统表。包括：system.query_log— 针对您的 service 运行的查询的查询文本和执行元数据system.tables、system.columns以及类似的系统表 — schema 和元数据- 其他用于诊断的
system.*表 (例如：parts、变更、副本)
工程师无法查看的内容
工程师无法读取客户的用户表数据。在 ClickHouse 中,访问权限仅限于系统表。基础设施诊断
同样需经审批的处理流程还可单独授予限时权限，用于通过 Tailscale 访问基础设施相关的操作面：Kubernetes API server，以及集群内的监控技术栈和日志。这与上文所述的 ClickHouse 访问属于彼此独立的范围——其中不包含任何客户表数据，通过它读取的内容也不会在 ClickHouse 侧持久化。如何执行访问控制
- 需要审批：每个访问请求都必须经过内部审批系统，并由指定审批人批准。工程师不能自行授予自己访问权限。
- 有时限的证书：系统会为每个获批会话生成临时的时效性证书。访问权限会自动失效。
- 基于证书的身份验证：对于对 BYOC 实例的所有人工访问，均使用证书替代基于密码的访问方式。
- 系统表只读：证书对应的身份权限仅限于读取系统表。
- ClickHouse 侧不留存任何内容：故障排查会话期间读取的结果——无论来自系统表、监控技术栈还是您的日志——仅传输到工程师的工具中用于展示，不会存储在 ClickHouse 基础设施中，也不会回传到那里。
审计
您可以查看工程师的活动，且这些活动会由 ClickHouse 进行审计：- 客户可见 (ClickHouse) ：ClickHouse 工程师在您的实例上执行的每一条查询，都会出现在您自己的
system.query_log中，其中包括查询文本和证书标识。您可以直接在您的 ClickHouse 服务中审计这些内容。 - 客户可见 (基础设施) ：
system.query_log无法展示上述基础设施层面的操作。Kubernetes API 调用会出现在您集群的 Kubernetes 审计日志中，云 API 调用会出现在您的云审计记录中，而 Tailscale 连接本身则会出现在您已启用的流日志中。有关各个云平台上这些日志的具体位置 (包括哪些默认开启) ，请参阅审计边界。 - ClickHouse 侧：ClickHouse 的安全团队会在内部记录并审计所有访问请求、审批以及 Tailscale 连接。