Amazon Redshift

Kết nối một cluster Amazon Redshift hoặc workgroup Redshift Serverless với Fresco BI. Fresco BI chỉ đọc: liệt kê schema, bảng, view và bảng external của Spectrum, rồi import vào một Data Table.

Tính năng	Hỗ trợ
Import	Có
DirectQuery	Không
SSL/TLS	6 chế độ, mặc định require
SSH tunnel	Có
Cloud	Có
On-premises (qua Gateway)	Có

Chuẩn bị

• Một cluster Redshift (provisioned) hoặc workgroup Serverless, và endpoint của nó.
• Một superuser hoặc admin có quyền tạo user và cấp quyền.
• Đường mạng từ Fresco BI tới endpoint ở port 5439, hoặc một máy bastion SSH trong VPC, hoặc một Gateway Agent đi tới được cluster.

Bước 1: Tạo tài khoản chỉ đọc

Kết nối vào database bằng tài khoản admin và chạy lệnh sau, lặp lại cho mỗi schema cần đọc:

CREATE USER fresco_reader PASSWORD '<strong-password>';
GRANT USAGE ON SCHEMA <schema> TO fresco_reader;
GRANT SELECT ON ALL TABLES IN SCHEMA <schema> TO fresco_reader;

Lệnh trên không áp dụng cho bảng tạo sau này. Thêm default privilege cho user tạo bảng trong schema:

ALTER DEFAULT PRIVILEGES FOR USER <table_owner> IN SCHEMA <schema>
  GRANT SELECT ON TABLES TO fresco_reader;

Với external schema của Spectrum, cấp thêm USAGE trên schema đó:

GRANT USAGE ON SCHEMA <external_schema> TO fresco_reader;

Fresco BI gắn query group frescobi cho các truy vấn của mình, nên bạn tìm được chúng trong WLM và các bảng hệ thống. Fresco BI chỉ đọc, nhưng bạn vẫn nên dùng user không có quyền ghi.

Bước 2: Mở đường mạng

Cloud. Cho phép kết nối vào từ các địa chỉ IP đi ra của Fresco BI (hướng dẫn bên cạnh form nguồn dữ liệu có liệt kê) ở port 5439.

• Bật Publicly accessible cho cluster hoặc workgroup Serverless.
• Trong VPC security group gắn với nó, thêm inbound rule: loại Redshift, TCP 5439, source là từng IP dạng /32.

SSH tunnel. Nếu cluster là private, chạy một máy bastion trong cùng VPC, giữ Cloud và bật SSH tunnel trên form. Cho phép các địa chỉ IP đi ra của Fresco BI (hướng dẫn bên cạnh form nguồn dữ liệu có liệt kê) vào port SSH của bastion, và cho security group của bastion vào port 5439.

On-premises (qua Gateway). Nếu cluster chỉ đi tới được từ mạng nội bộ của bạn (ví dụ qua VPN hoặc Direct Connect), chọn On-premises (qua Gateway); khung này sẽ chuyển sang hướng dẫn Gateway.

Bước 3: Điền form

1. Kiểu kết nối: Cloud hoặc On-premises (qua Gateway). Với On-premises, chọn Cụm gateway.
2. Tên hiển thị: tên mà nhóm của bạn thấy trong Fresco BI.
3. Máy chủ: chỉ phần host của endpoint. Từ my-cluster.abc123.us-east-1.redshift.amazonaws.com:5439/dev, nhập my-cluster.abc123.us-east-1.redshift.amazonaws.com.
4. Cổng: đã điền sẵn 5439.
5. Database: tên database, ví dụ dev.
6. Tài khoản và Mật khẩu: user fresco_reader ở Bước 1.
7. Chế độ SSL: xem bảng bên dưới. Nên giữ require trở lên.
8. Chứng chỉ CA (PEM): hiện với verify-ca và verify-full. Dán CA đã ký chứng chỉ server (bắt buộc với verify-ca); để trống với verify-full thì dùng kho chứng chỉ hệ thống.
9. Kết nối qua SSH tunnel (bastion) (chỉ Cloud): điền Máy chủ SSH, Cổng SSH (22), Tài khoản SSH, Khóa riêng SSH (OpenSSH hoặc PEM) và Mật khẩu của khóa (nếu có). Khóa phải là Ed25519 hoặc RSA từ 3072 bit. Lần kiểm tra đầu tiên hiện khóa của bastion; so với vân tay do quản trị viên cung cấp, bấm Tin khóa này, rồi kiểm tra lại.
10. Bấm Kiểm tra kết nối, rồi Lưu.

Mỗi bảng được đọc trong một transaction chỉ đọc riêng, nên các bảng trong cùng một lần tải không phải là một snapshot tại cùng thời điểm.

Chế độ SSL

Chế độ	Ý nghĩa
disable	Không mã hóa
allow	Chỉ mã hóa khi server đòi
prefer	Mã hóa nếu server hỗ trợ
require (mặc định)	Luôn mã hóa, không kiểm tra chứng chỉ
verify-ca	Mã hóa, kiểm tra chứng chỉ do CA tin cậy ký
verify-full	Mã hóa, kiểm tra CA và tên máy chủ (an toàn nhất)

Ô Chứng chỉ CA (PEM) chỉ hiện với verify-ca và verify-full. verify-ca bắt buộc có chứng chỉ CA.

Xử lý sự cố

• Máy chủ từ chối tài khoản hoặc mật khẩu. Kiểm tra lại user và mật khẩu ở Bước 1.
• Máy chủ không phản hồi kịp. Thường do firewall chặn im lặng hoặc sai máy chủ, cổng. Kiểm tra cluster đã bật publicly accessible và security group đã cho phép các địa chỉ IP đi ra của Fresco BI (hướng dẫn bên cạnh form nguồn dữ liệu có liệt kê) ở port 5439.
• Không mở được kết nối tới máy chủ và cổng này. Kiểm tra máy chủ, cổng, và firewall đã cho phép IP của Fresco BI chưa. Kiểm tra host của endpoint và port 5439.
• Không phân giải được tên máy chủ (DNS). Kiểm tra lại ô Máy chủ. Chỉ nhập host của endpoint, bỏ phần :5439/dev.
• Địa chỉ máy chủ thuộc dải bị chặn (nội bộ, loopback hoặc metadata). Database trong mạng nội bộ cần kết nối On-premises qua Gateway. Endpoint đang trỏ về IP private trong VPC: bật publicly accessible, dùng SSH tunnel, hoặc chọn On-premises (qua Gateway).
• Chứng chỉ máy chủ không do CA tin cậy ký. Dán đúng chứng chỉ CA vào ô Chứng chỉ CA. Dán CA bundle cho endpoint Redshift của bạn.
• Tài khoản không có quyền đọc đối tượng này. Cấp USAGE trên schema và SELECT trên bảng (Bước 1).
• Không tìm thấy database hoặc đối tượng này trên máy chủ. Kiểm tra tên Database.
• Vượt giới hạn kích thước hoặc số kết nối đồng thời. Cluster chạm giới hạn kích thước kết quả cursor hoặc số kết nối; kiểm tra giới hạn của cluster và hàng đợi WLM, hoặc thử lại khi cluster bớt bận.