ClickHouse 26.7がS3認証と複数の互換動作を変更

ClickHouse 26.7が公開され、利用者SQLからのS3資格情報解決、日付範囲、挿入重複排除などに後方互換性へ影響する変更が入りました。

要点

• 利用者SQLからのS3アクセスは、サーバー自身の環境・インスタンス資格情報を既定で使わなくなります。
• DateTime64の対応範囲拡大や、挿入重複排除方式の統一など、結果や起動条件が変わる項目があります。
• 新機能も多い一方、更新前には公式の後方互換性変更を自社設定と照合する必要があります。

今回の更新で変わること

最も運用影響が大きいのはS3認証の既定変更です。利用者が実行するSQLからのS3アクセスは、環境変数、インスタンスメタデータ、IRSA、設定ファイル、role_arnを使うSTSなど、サーバー自身のクラウド資格情報を暗黙には解決しません。明示的な資格情報またはNOSIGNが必要になり、名前付きコレクションのuse_environment_credentialsも既定で無効になります。従来動作へ戻す設定はありますが、利用者SQLがサーバー権限を意図せず借用する経路を閉じる変更なので、恒久的に戻す前に権限境界を確認すべきです。

永続的なS3・S3Queueテーブル、S3を使う動的ディスク、DataLakeCatalogが制限対象の資格情報へ依存する場合、起動や復元時の扱いも変わります。サーバー全体を停止させる代わりに匿名状態で読み込み、資格情報を再設定するまで利用できない動作が既定になります。更新試験では、起動成功だけでなく、対象テーブルが実際に読み書きできるか、匿名状態を監視で検知できるかを確認してください。

ほかにも結果へ影響する互換性変更があります。DateTime64は対応範囲が広がり、以前の範囲外で境界値へ丸められていた値がより正しく計算されます。旧挙動へ依存した試験は結果が変わり得ます。同期・非同期挿入の重複排除ハッシュは統一され、旧方式を明示したサーバーは起動を拒否します。互換方式を支える中間版で十分な期間を運用してから旧設定を外す段階移行が必要です。

さらに、オブジェクトストレージ上のバックアップではzipとzipxが拒否され、tar系形式への移行が求められます。古いSnowflake識別子変換関数は削除され、toTimeの既定結果型も変わります。集約木の不正確なスキーマは作成時に拒否され、旧構成型のNaive Bayesモデルも辞書形式へ作り直す必要があります。遠隔サーバーへ接続できたhasColumnInTableの追加引数は、安全上の理由で削除されました。

更新計画では、S3資格情報、重複排除設定、バックアップ形式、廃止関数、時刻変換を設定とSQLから検索します。ステージングで本番相当の資格情報経路を再現し、起動、復元、読み書き、挿入再試行を試します。新機能の評価より先に、後方互換性変更の該当有無と戻し方を記録することが重要です。

関係しそうなチーム

ClickHouse管理者、S3やデータレイクと連携するデータ基盤担当、更新試験とセキュリティ境界を管理するチームに関係します。

実務で確認したいポイント

1. S3アクセスが暗黙のサーバー資格情報へ依存していないか調べます。
2. 重複排除、日付、バックアップ、廃止関数の回帰試験を行います。
3. 中間版を含む更新順序と、設定を戻す条件を記録します。

結局、この更新をどう読むべきか

機能追加だけを見て即時更新する版ではなく、暗黙の権限利用と古い互換動作を整理する版です。特にS3と挿入重複排除は、設定の存在だけでなく実際の運用経路を再現して確認してください。