> ## Documentation Index
> Fetch the complete documentation index at: https://private-7c7dfe99-home-button.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# AWS 向けカスタマイズ設定

> 既存の AWS VPC に ClickHouse BYOC をデプロイする

export const Image = ({img, alt, size}) => {
  return <Frame>
      <img src={img} alt={alt} />
    </Frame>;
};

<div id="customer-managed-vpc-aws">
  ## AWS 向けの顧客管理 VPC (BYO-VPC)
</div>

ClickHouse Cloud に新しい VPC をプロビジョニングさせる代わりに、既存の VPC を使用して ClickHouse BYOC をデプロイする場合は、以下の手順に従ってください。この方法では、ネットワーク構成をより柔軟に制御でき、既存のネットワークインフラストラクチャに ClickHouse BYOC を統合できます。

<Steps>
  <Step>
    ### 既存の VPC を設定する

    1. VPC に `clickhouse-byoc="true"` タグを付与します。
    2. ClickHouse Cloud で使用できるよう、3 つの異なるアベイラビリティゾーンにまたがるプライベートサブネットを少なくとも 3 つ割り当てます。
    3. ClickHouse のデプロイメントに十分な IP アドレスを確保できるよう、各サブネットの CIDR 範囲が少なくとも `/23` (例: 10.0.0.0/23) であることを確認します。
    4. ロードバランサーが適切に設定されるよう、各サブネットに `kubernetes.io/role/internal-elb=1` と `clickhouse-byoc="true"` のタグを追加します。

    <Image img="https://mintcdn.com/private-7c7dfe99-home-button/_21esTusVC0YTooo/images/cloud/reference/byoc-subnet-1.png?fit=max&auto=format&n=_21esTusVC0YTooo&q=85&s=5b92d510562164a4e070b6228acfc656" size="lg" alt="BYOC VPC サブネット" width="1600" height="827" data-path="images/cloud/reference/byoc-subnet-1.png" />

    <Image img="https://mintcdn.com/private-7c7dfe99-home-button/_21esTusVC0YTooo/images/cloud/reference/byoc-subnet-2.png?fit=max&auto=format&n=_21esTusVC0YTooo&q=85&s=e1c7689c5deab5862e7961fe3e0572ea" size="lg" alt="BYOC VPC サブネットタグ" width="1600" height="406" data-path="images/cloud/reference/byoc-subnet-2.png" />
  </Step>

  <Step>
    ### S3 ゲートウェイエンドポイントを設定する

    VPC に S3 ゲートウェイエンドポイントがまだ設定されていない場合は、VPC と Amazon S3 の間で安全かつプライベートに通信できるよう、これを作成する必要があります。このエンドポイントを使用すると、ClickHouse のサービスはパブリックインターネットを経由せずに S3 にアクセスできます。設定例については、以下のスクリーンショットを参照してください。

    <Image img="https://mintcdn.com/private-7c7dfe99-home-button/_21esTusVC0YTooo/images/cloud/reference/byoc-s3-endpoint.png?fit=max&auto=format&n=_21esTusVC0YTooo&q=85&s=6c863100120fdd29d86ca7020cc1c1d3" size="lg" alt="BYOC S3 エンドポイント" width="1711" height="1559" data-path="images/cloud/reference/byoc-s3-endpoint.png" />
  </Step>

  <Step>
    ### ネットワーク接続を確認する

    **Outbound インターネットアクセス**
    ClickHouse BYOC コンポーネントが Tailscale の control plane と通信できるようにするため、VPC では少なくともアウトバウンドのインターネットアクセスを許可する必要があります。Tailscale は、プライベートな管理操作のために安全なゼロトラストネットワークを提供する目的で使用されます。Tailscale への初回登録と初期セットアップにはパブリックインターネット接続が必要であり、これは直接接続または NAT ゲートウェイ経由で実現できます。この接続は、BYOC デプロイメントのプライバシーとセキュリティの両方を維持するために必要です。

    **DNS 名前解決**
    VPC で DNS 名前解決が正しく機能しており、標準の DNS 名がブロック、改変、上書きされていないことを確認してください。ClickHouse BYOC は、Tailscale の control server と ClickHouse service の endpoint を名前解決するために DNS に依存しています。DNS が利用できない、または設定に不備がある場合、BYOC サービスが接続できなかったり、正常に動作しなかったりする可能性があります。
  </Step>

  <Step>
    ### AWS アカウントを設定する

    初回の BYOC セットアップでは、ClickHouse Cloud の BYOC コントローラーがインフラストラクチャを管理できるようにするため、特権 IAM ロール (`ClickHouseManagementRole`) が作成されます。これは、[CloudFormation template](https://s3.us-east-2.amazonaws.com/clickhouse-public-resources.clickhouse.cloud/cf-templates/byoc.yaml) または [Terraform module](https://s3.us-east-2.amazonaws.com/clickhouse-public-resources.clickhouse.cloud/tf/byoc.tar.gz) のいずれかを使用して実行できます。

    `BYO-VPC` セットアップをデプロイする場合は、`IncludeVPCWritePermissions` パラメーターを `false` に設定し、ClickHouse Cloud にお客様管理の VPC を変更する権限が付与されないようにしてください。

    <Note>
      ClickHouse の実行に必要な storage bucket、Kubernetes クラスター、コンピュートリソースは、この初期セットアップには含まれていません。これらは後続の手順でプロビジョニングされます。VPC はお客様が管理しますが、ClickHouse Cloud が AWS アカウント内で Kubernetes クラスター、service account 用の IAM ロール、S3 bucket、そのほかの必須リソースを作成および管理するには、引き続き IAM 権限が必要です。
    </Note>

    #### 代替 Terraform module

    CloudFormation ではなく Terraform を使用する場合は、次の module を使用してください。

    ```hcl theme={null}
    module "clickhouse_onboarding" {
      source                     = "https://s3.us-east-2.amazonaws.com/clickhouse-public-resources.clickhouse.cloud/tf/byoc.tar.gz"
      byoc_env                   = "production"
      include_vpc_write_permissions = false
    }
    ```
  </Step>

  <Step>
    ### BYOC インフラストラクチャをセットアップする

    ClickHouse Cloud console で [BYOC セットアップページ](https://console.clickhouse.cloud/byocOnboarding) に移動し、次の項目を設定します。

    1. **VPC Configuration** で **Use existing VPC** を選択します。
    2. **VPC ID** を入力します (例: `vpc-0bb751a5b888ad123`) 。
    3. 先ほど設定した 3 つのサブネットの **Private subnet IDs** を入力します。
    4. 構成上パブリック向けロードバランサーが必要な場合は、必要に応じて **Public subnet IDs** を入力します。
    5. **Setup Infrastructure** をクリックしてプロビジョニングを開始します。

    <Image img="https://mintcdn.com/private-7c7dfe99-home-button/_21esTusVC0YTooo/images/cloud/reference/byoc-aws-existing-vpc-ui.png?fit=max&auto=format&n=_21esTusVC0YTooo&q=85&s=5c99ca535653c3971d2d685a976ab7de" size="lg" alt="Use existing VPC が選択された ClickHouse Cloud BYOC セットアップ UI" width="1392" height="1598" data-path="images/cloud/reference/byoc-aws-existing-vpc-ui.png" />

    <Note>
      新しいリージョンのセットアップには最大 40 分かかる場合があります。
    </Note>
  </Step>
</Steps>

<div id="customer-managed-iam-roles">
  ## お客様管理の IAM ロール
</div>

高度なセキュリティ要件や厳格なコンプライアンス ポリシーがある組織では、ClickHouse Cloud に IAM ロールを作成させる代わりに、お客様自身で IAM ロールを用意できます。この方法により、IAM 権限を完全に制御でき、組織のセキュリティポリシーを適用できます。

<Info>
  お客様管理の IAM ロールはプライベートプレビューです。この機能が必要な場合は、ClickHouse Support に連絡して、具体的な要件と導入時期についてご相談ください。

  提供開始後、この機能では次のことが可能になります。

  * ClickHouse Cloud が使用する事前設定済みの IAM ロールを提供する
  * クロスアカウントアクセスに使用される `ClickHouseManagementRole` について、IAM 関連の権限から書き込み権限を削除する
  * ロール権限と信頼関係を引き続き完全に制御する
</Info>

ClickHouse Cloud がデフォルトで作成する IAM ロールについては、[BYOC Privilege Reference](/ja/products/bring-your-own-cloud/reference/privilege) を参照してください。