> ## Documentation Index
> Fetch the complete documentation index at: https://private-7c7dfe99-fix-nav-issues.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# Миграция с CMEK v1 на v2

> Инструкции по миграции с устаревшего CMEK на версию 2

Мы повышаем безопасность сервисов с ключами шифрования, управляемыми клиентом (CMEK). Теперь для каждого сервиса настраивается уникальная роль AWS, которая авторизует использование клиентских ключей для шифрования и расшифровки данных сервиса. Эта новая роль отображается только на экране конфигурации сервиса.

Для этого нового процесса поддерживаются OpenAPI и Terraform. Подробнее см. в нашей документации ([Улучшенное шифрование](/ru/products/cloud/guides/security/cmek), [Cloud API](/ru/products/cloud/features/admin-features/api/api-overview), [Официальный Terraform-провайдер](https://registry.terraform.io/providers/ClickHouse/clickhouse/latest/docs)).

<Warning>
  Клиенты, использующие CMEK v1, должны выполнить миграцию сервисов не позднее 1 июня 2026 года. После этой даты ключи, управляемые клиентом, по умолчанию будут заменены на ключи, управляемые ClickHouse. После такой миграции клиенты смогут снова перейти на ключи, управляемые клиентом.
</Warning>

<div id="manual-migration">
  ## Ручная миграция
</div>

Выполните следующие шаги, чтобы перейти на новую процедуру:

1. Войдите в [https://console.clickhouse.cloud](https://console.clickhouse.cloud)
2. Нажмите на сервис с включённым шифрованием
3. Выберите слева Service Settings
4. Прокрутите страницу вниз и раскройте View service details
5. Скопируйте Encryption Role ID (IAM)
6. Перейдите к своему ключу KMS в AWS и обновите Key Policy, добавив следующее:

```json theme={null}
{
   "Sid": "Allow ClickHouse Access",
   "Effect": "Allow",
   "Principal": {
       "AWS": ["Encryption role ID (ARN)"]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}
```

7. В ClickHouse Cloud создайте обращение в поддержку, чтобы сообщить нам, что можно включить новый метод. Это изменение требует перезапуска сервиса, поэтому, пожалуйста, сообщите, есть ли предпочтительный день/время для перезапуска сервиса.
8. После того как мы перезапустим сервис, перейдите к своему ключу KMS в AWS и удалите следующее из Key Policy:

```json theme={null}
{
   "Sid": "Allow ClickHouse Access",
       "Effect": "Allow",
       "Principal": {
           "AWS": "arn:aws:iam::576599896960:role/prod-kms-request-role"
       },
       "Action": ["kms:GetPublicKey",
       "kms:Decrypt",
       "kms:GenerateDataKeyPair",
       "kms:Encrypt",
       "kms:GetKeyRotationStatus",
       "kms:GenerateDataKey",
       "kms:DescribeKey"],
       "Resource": "*"
}
```

9. Обновление завершено!

<div id="terraform-migration">
  ## Миграция Terraform
</div>

1. Обновите Terraform до [версии 3.5.0 или выше](https://registry.terraform.io/providers/ClickHouse/clickhouse/latest/docs)
2. Примените Terraform без изменений. В состоянии Terraform появится новое поле `transparent&#95;data&#95;encryption`. Запишите `role&#95;id`.
3. Перейдите к своему ключу KMS в AWS и обновите Key Policy, добавив следующее:

```json theme={null}
{
   "Sid": "Allow ClickHouse Access",
   "Effect": "Allow",
   "Principal": {
       "AWS": ["Encryption role ID (ARN)"]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}
```

4. В ClickHouse Cloud откройте обращение в поддержку, указав имя сервиса, чтобы сообщить нам, что мы можем включить новый метод. Это изменение требует перезапуска сервиса, поэтому, пожалуйста, сообщите, есть ли день/время, когда сервис лучше всего перезапустить.
5. После того как мы перезапустим сервис, вы сможете обновить настройку transparent\_data\_encryption.enabled до ‘True’, удалить настройку tier в Terraform и выполнить apply. Это не приведет ни к каким изменениям.
6. Перейдите к своему ключу KMS в AWS и удалите следующее из Key Policy:

```json theme={null}
{
   "Sid": "Allow ClickHouse Access",
       "Effect": "Allow",
       "Principal": {
           "AWS": "arn:aws:iam::576599896960:role/prod-kms-request-role"
       },
       "Action": ["kms:GetPublicKey",
       "kms:Decrypt",
       "kms:GenerateDataKeyPair",
       "kms:Encrypt",
       "kms:GetKeyRotationStatus",
       "kms:GenerateDataKey",
       "kms:DescribeKey"],
       "Resource": "*"
}
```

7. Обновление завершено!