> ## Documentation Index
> Fetch the complete documentation index at: https://private-7c7dfe99-detect-table-modification.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# AWS 向けカスタマイズ設定

> 既存の AWS VPC に ClickHouse BYOC をデプロイする

export const Image = ({img, alt, size = "lg"}) => {
  const normalizedSize = ["sm", "md", "lg"].includes(size) ? size : "lg";
  return <div className={`ch-image-${normalizedSize}`}>
      <Frame>
        <img src={img} alt={alt} />
      </Frame>
    </div>;
};

<div id="customer-managed-vpc-aws">
  ## AWS 向けの顧客管理 VPC (BYO-VPC)
</div>

ClickHouse Cloud に新しい VPC をプロビジョニングさせる代わりに、既存の VPC を使用して ClickHouse BYOC をデプロイする場合は、以下の手順に従ってください。この方法では、ネットワーク構成をより柔軟に制御でき、既存のネットワークインフラストラクチャに ClickHouse BYOC を統合できます。

<Steps>
  <Step>
    ### 既存の VPC を設定する

    1. VPC に `clickhouse-byoc="true"` タグを付与します。
    2. ClickHouse Cloud で使用できるよう、3 つの異なるアベイラビリティゾーンにまたがるプライベートサブネットを少なくとも 3 つ割り当てます。
    3. ClickHouse のデプロイメントに十分な IP アドレスを確保できるよう、各サブネットの CIDR 範囲が少なくとも `/23` (例: 10.0.0.0/23) であることを確認します。
    4. ロードバランサーが適切に設定されるよう、各サブネットに `kubernetes.io/role/internal-elb=1` と `clickhouse-byoc="true"` のタグを追加します。

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/m2_tVxhtEg5OHgtu/images/cloud/reference/byoc-subnet-1.webp?fit=max&auto=format&n=m2_tVxhtEg5OHgtu&q=85&s=9376b0d596d953fd3178b8348b27b852" size="lg" alt="BYOC VPC サブネット" width="1600" height="827" data-path="images/cloud/reference/byoc-subnet-1.webp" />

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/m2_tVxhtEg5OHgtu/images/cloud/reference/byoc-subnet-2.webp?fit=max&auto=format&n=m2_tVxhtEg5OHgtu&q=85&s=d79f2903034647bf5bf00062e7a21acd" size="lg" alt="BYOC VPC サブネットタグ" width="1600" height="406" data-path="images/cloud/reference/byoc-subnet-2.webp" />
  </Step>

  <Step>
    ### S3 ゲートウェイエンドポイントを設定する

    VPC に S3 ゲートウェイエンドポイントがまだ設定されていない場合は、VPC と Amazon S3 の間で安全かつプライベートに通信できるよう、これを作成する必要があります。このエンドポイントを使用すると、ClickHouse のサービスはパブリックインターネットを経由せずに S3 にアクセスできます。設定例については、以下のスクリーンショットを参照してください。

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/m2_tVxhtEg5OHgtu/images/cloud/reference/byoc-s3-endpoint.webp?fit=max&auto=format&n=m2_tVxhtEg5OHgtu&q=85&s=17764eec817e4d6923d9515ef62d0ae3" size="lg" alt="BYOC S3 エンドポイント" width="1711" height="1559" data-path="images/cloud/reference/byoc-s3-endpoint.webp" />
  </Step>

  <Step>
    ### ネットワーク接続を確認する

    **Outbound インターネットアクセス**
    ClickHouse BYOC コンポーネントが Tailscale の control plane と通信できるようにするため、VPC では少なくともアウトバウンドのインターネットアクセスを許可する必要があります。Tailscale は、プライベートな管理操作のために安全なゼロトラストネットワークを提供する目的で使用されます。Tailscale への初回登録と初期セットアップにはパブリックインターネット接続が必要であり、これは直接接続または NAT ゲートウェイ経由で実現できます。この接続は、BYOC デプロイメントのプライバシーとセキュリティの両方を維持するために必要です。

    **DNS 名前解決**
    VPC で DNS 名前解決が正しく機能しており、標準の DNS 名がブロック、改変、上書きされていないことを確認してください。ClickHouse BYOC は、Tailscale の control server と ClickHouse service の endpoint を名前解決するために DNS に依存しています。DNS が利用できない、または設定に不備がある場合、BYOC サービスが接続できなかったり、正常に動作しなかったりする可能性があります。
  </Step>

  <Step>
    ### AWS アカウントを設定する

    初回の BYOC セットアップでは、ClickHouse Cloud の BYOC コントローラーがインフラストラクチャを管理できるようにするため、特権 IAM ロール (`ClickHouseManagementRole`) が作成されます。これは、[CloudFormation template](https://s3.us-east-2.amazonaws.com/clickhouse-public-resources.clickhouse.cloud/cf-templates/byoc.yaml) または [Terraform module](https://s3.us-east-2.amazonaws.com/clickhouse-public-resources.clickhouse.cloud/tf/byoc.tar.gz) のいずれかを使用して実行できます。

    `BYO-VPC` セットアップをデプロイする場合は、`IncludeVPCWritePermissions` パラメーターを `false` に設定し、ClickHouse Cloud にお客様管理の VPC を変更する権限が付与されないようにしてください。

    <Note>
      Storage buckets、Kubernetes クラスター、コンピュートリソースはこの初期セットアップには含まれていません。これらは後続の手順でプロビジョニングされます。VPC はお客様が管理しますが、ClickHouse Cloud が AWS アカウント内で Kubernetes クラスター、service account 用の IAM ロール、S3 bucket、そのほかの必須リソースを作成および管理するには、引き続き IAM 権限が必要です。
    </Note>

    #### 代替 Terraform module

    CloudFormation ではなく Terraform を使用する場合は、次の module を使用してください。

    ```hcl theme={null}
    module "clickhouse_onboarding" {
      source                     = "https://s3.us-east-2.amazonaws.com/clickhouse-public-resources.clickhouse.cloud/tf/byoc.tar.gz"
      byoc_env                   = "production"
      include_vpc_write_permissions = false
    }
    ```
  </Step>

  <Step>
    ### BYOC インフラストラクチャをセットアップする

    ClickHouse Cloud console で新しいインフラストラクチャをセットアップする際は、次の項目を設定します。

    1. **VPC configuration** で **Use existing VPC** を選択します。
    2. **VPC ID** を入力します (例: `vpc-0bb751a5b888ad123`)。
    3. 先ほど設定した 3 つのサブネットの **Private subnet IDs** を入力します。
    4. 構成上パブリック向けロードバランサーが必要な場合は、必要に応じて **Public subnet IDs** を入力します。
    5. **Set up Infrastructure** をクリックしてプロビジョニングを開始します。

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/I0yKDIFW2QfsHJIe/images/cloud/reference/byoc-aws-existing-vpc-ui.webp?fit=max&auto=format&n=I0yKDIFW2QfsHJIe&q=85&s=9e01ca2b5adca2056c7b96c6e8576a78" size="lg" alt="ClickHouse Cloud BYOC setup UI with Use existing VPC selected" width="1392" height="1598" data-path="images/cloud/reference/byoc-aws-existing-vpc-ui.webp" />

    <Note>
      新しいリージョンのセットアップには最大 40 分かかる場合があります。
    </Note>
  </Step>
</Steps>

<div id="customer-managed-iam-roles">
  ## 顧客管理の IAM ロール
</div>

高度なセキュリティ要件や厳格なコンプライアンス ポリシーがある組織では、ClickHouse Cloud に IAM ロールを作成させる代わりに、お客様自身で IAM ロールを用意できます。この方法により、IAM 権限を完全に制御でき、組織のセキュリティポリシーを適用できます。

<Info>
  顧客管理の IAM ロールはプライベートプレビューです。この機能が必要な場合は、ClickHouse Support に連絡して、具体的な要件と導入時期についてご相談ください。

  提供開始後、この機能では次のことが可能になります。

  * ClickHouse Cloud が使用する事前設定済みの IAM ロールを提供する
  * クロスアカウントアクセスに使用される `ClickHouseManagementRole` について、IAM 関連の権限から書き込み権限を削除する
  * ロール権限と信頼関係を引き続き完全に制御する
</Info>

ClickHouse Cloud がデフォルトで作成する IAM ロールについては、[BYOC Privilege Reference](/ja/products/bring-your-own-cloud/reference/privilege) を参照してください。