CMEK v1 から v2 への移行 - ClickHouse Documentation

顧客管理暗号化キー (CMEK) サービスのセキュリティ強化を進めています。現在、すべてのサービスは、サービスごとに固有の AWS Role を使用するよう構成されており、顧客キーを用いたサービスの暗号化と復号を許可します。この新しいロールは、サービス設定画面にのみ表示されます。この新しいプロセスは、OpenAPI と Terraform の両方に対応しています。詳細については、ドキュメント (Enhanced Encryption、Cloud API、Official Terraform Provider) を参照してください。

CMEK v1 を利用しているお客様は、2026 年 6 月 1 日までにサービスを移行する必要があります。この日以降、顧客管理キーはデフォルトで ClickHouse 管理キーに切り替えられます。デフォルト移行後は、顧客管理キーに戻すこともできます。

手動移行

新しい手順に移行するには、次の手順を実行してください。

https://console.clickhouse.cloud にサインインします
暗号化されたサービスをクリックします
左側の Service Settings をクリックします
画面下部までスクロールし、View service details を展開します
Encryption Role ID (IAM) をコピーします
AWS の KMSキーに移動し、Key Policy を更新して次の内容を追加します:

{
   "Sid": "Allow ClickHouse Access",
   "Effect": "Allow",
   "Principal": {
       "AWS": ["Encryption role ID (ARN)"]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

ClickHouse Cloud で新しい方式を有効にできるよう、サポートケースを作成してご連絡ください。この変更にはサービスの再起動が必要ですので、再起動に適した曜日や時間帯があればお知らせください。
サービスの再起動後、AWS の KMS キーに移動し、キーポリシーから以下を削除します。

{
   "Sid": "Allow ClickHouse Access",
       "Effect": "Allow",
       "Principal": {
           "AWS": "arn:aws:iam::576599896960:role/prod-kms-request-role"
       },
       "Action": ["kms:GetPublicKey",
       "kms:Decrypt",
       "kms:GenerateDataKeyPair",
       "kms:Encrypt",
       "kms:GetKeyRotationStatus",
       "kms:GenerateDataKey",
       "kms:DescribeKey"],
       "Resource": "*"
}

更新が完了しました！

Terraform への移行

Terraform バージョン 3.5.0 以降に更新します
変更を加えずに Terraform を適用します。Terraform の state に transparent_data_encryption の新しいフィールドが表示されるので、role_id を控えておいてください。
AWS の KMS キーに移動し、Key Policy を更新して以下を追加します:

{
   "Sid": "Allow ClickHouse Access",
   "Effect": "Allow",
   "Principal": {
       "AWS": ["Encryption role ID (ARN)"]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

ClickHouse Cloud で、service name を添えてサポートケースを作成し、新しい方法を有効化できるようお知らせください。この変更にはサービスの再起動が必要となるため、再起動に適した曜日・時間帯があればお知らせください。
サービスの再起動後、transparent_data_encryption.enabled 設定を ‘True’ に更新し、Terraform の tier 設定を削除して適用できます。これによる変更はありません。
AWS の KMSキーに移動し、Key Policy から以下を削除します:

{
   "Sid": "Allow ClickHouse Access",
       "Effect": "Allow",
       "Principal": {
           "AWS": "arn:aws:iam::576599896960:role/prod-kms-request-role"
       },
       "Action": ["kms:GetPublicKey",
       "kms:Decrypt",
       "kms:GenerateDataKeyPair",
       "kms:Encrypt",
       "kms:GetKeyRotationStatus",
       "kms:GenerateDataKey",
       "kms:DescribeKey"],
       "Resource": "*"
}

更新が完了しました！

​手動移行

​Terraform への移行

手動移行

Terraform への移行