ClickHouse

​

사전 요구사항

• HTTP 인터페이스를 통해 CloudThinker에서 접근 가능한 ClickHouse 서버 (TLS 사용 시 8443, 미사용 시 8123). ClickHouse Cloud, 자체 호스팅 클러스터, Kubernetes에서 오퍼레이터가 운영하는 클러스터, 다른 업체의 관리형 ClickHouse 모두 동작합니다. CloudThinker에 필요한 것은 그 포트 하나뿐입니다.
• 전용 사용자를 생성할 관리자 접근.
• 네이티브 TCP 포트(9000)는 사용하지 않으므로 노출할 필요가 없습니다.

​

설정

CREATE USER cloudthinker IDENTIFIED BY 'your-secure-password';

GRANT SELECT ON your_database.* TO cloudthinker;
GRANT SHOW DATABASES, SHOW TABLES, SHOW COLUMNS ON *.* TO cloudthinker;

CREATE SETTINGS PROFILE cloudthinker_readonly SETTINGS readonly = 1 READONLY;
ALTER USER cloudthinker SETTINGS PROFILE cloudthinker_readonly;

GRANT SELECT ON system.tables TO cloudthinker;
GRANT SELECT ON system.columns TO cloudthinker;
GRANT SELECT ON system.parts TO cloudthinker;

​

연결 세부 정보

​

필요 권한

​

최소

GRANT SELECT ON your_database.* TO cloudthinker;
GRANT SHOW DATABASES, SHOW TABLES, SHOW COLUMNS ON *.* TO cloudthinker;

​

권장 (전체 분석)

-- 위의 모든 권한에 추가:
GRANT SELECT ON system.tables TO cloudthinker;
GRANT SELECT ON system.columns TO cloudthinker;
GRANT SELECT ON system.parts TO cloudthinker;
GRANT SELECT ON system.query_log TO cloudthinker;

​

쓰기 접근 (활성화하는 경우에만)

GRANT INSERT, ALTER, CREATE TABLE, CREATE VIEW ON your_database.* TO cloudthinker;
-- 에이전트가 객체를 제거해야 하는 경우에만:
GRANT DROP TABLE, TRUNCATE ON your_database.* TO cloudthinker;

​

에이전트 기능

​

연결 확인

@tony #report list the ClickHouse databases and the tables in each one

​

예시 프롬프트

@tony #report which ClickHouse tables grew the most in the last week
@tony #report show per-service p95 latency from the events table
@tony #recommend suggest a better sorting key for our largest MergeTree table

​

쓰기 접근

• Blocked는 테이블을 보호할 뿐, 행을 보호하지 않습니다. DROP TABLE과 TRUNCATE 문은 거부합니다. 그러나 ALTER TABLE ... DELETE, DROP PARTITION, DROP COLUMN은 거부하지 않으며, 이들은 테이블을 그대로 둔 채 데이터를 제거합니다. 두 번째 스위치와 관계없이 Full access는 “에이전트가 데이터를 파괴할 수 있다”로 간주하세요.
• ClickHouse에는 트랜잭션이 없습니다. ALTER TABLE ... DELETE는 비동기 뮤테이션이고 DROP은 즉시 적용됩니다. 둘 다 롤백할 수 없으므로 복구는 백업에서 복원하는 것을 의미합니다.
• 권한이 더 강력한 통제 수단입니다. 이 스위치는 CloudThinker가 readonly=1을 보낼지 여부만 결정하며, ClickHouse 사용자가 이미 가지고 있지 않은 권한을 부여하지는 않습니다. CloudThinker 사용자에게 도달을 허용할 데이터베이스에만 정확히 쓰기 권한을 주면, 스위치는 그 범위를 넘을 수 없습니다.

​

문제 해결

​

보안

• 최소 권한 — 에이전트가 사용 사례에 필요한 권한만 부여하세요. 읽기 전용으로 시작한 후 필요에 따라 확장하세요.
• 기본 읽기 전용 — 에이전트가 이 연결을 통해 변경 작업을 수행하게 할 것이 아니라면 읽기 전용 자격증명을 사용하세요.
• 자격증명 교체 — 정기 일정에 따라 키와 토큰을 교체하세요. 연결을 업데이트하면 CloudThinker가 새 값을 자동으로 반영합니다.
• 오프보딩 시 취소 — 연결을 삭제하거나 팀원이 퇴사할 때 프로바이더에서 자격증명을 제거하세요.

• 공개 엔드포인트에서의 TLS — ClickHouse Cloud 및 사설 네트워크 외부의 모든 엔드포인트에서는 Use TLS를 켠 상태로 유지하세요.
• 전용 사용자 — 관리자 계정을 절대 재사용하지 마세요. 별도의 사용자를 쓰면 감사 로그를 읽기 쉽게 유지할 수 있습니다.
• 스위치보다 권한 — ClickHouse 사용자에게 부여된 권한이 지속적인 경계입니다. Write access 스위치는 CloudThinker가 쓰기를 요청할지 여부를 결정하고, 권한은 ClickHouse가 그 쓰기를 허용할지 여부를 결정합니다.
• 서버 측 읽기 전용 — 절대 쓰기가 발생하면 안 되는 연결이라면 3단계의 설정 프로파일을 추가하세요. READONLY는 클라이언트 측에서 이를 해제할 수 없게 만듭니다.

​

관련 항목

Tony 에이전트

데이터베이스 중심 최적화 에이전트

PostgreSQL 연결

PostgreSQL 데이터베이스의 유사한 설정