Apache Superset

Схема простая. Человек открывает дашборд, Superset переводит это в SQL-запрос к вашему хранилищу, получает строки и рисует график. В собственной базе он держит только определения графиков, пользователей и логи.

Отсюда главное следствие: данные никуда не копируются. Если требование «ничего не покидает периметр» у вас записано в политике, половина вопросов снимается сама.

Апстрим описывает продукт как «enterprise-ready business intelligence web application» и прямо предлагает им заменять платные BI-инструменты. Это не наша трактовка, это заявление проекта.

За Superset не стоит компания. Проект принадлежит Apache Software Foundation: код и товарный знак у фонда, коммерческий хостинг продает отдельная компания Preset, основанная автором продукта.

Практический смысл в том, что ядро нельзя закрыть. Перелицензировать проект фонда в BSL или SSPL некому - владельца, который мог бы это сделать, не существует.

В документации по установке через Docker Compose стоит предупреждение, которое легко пролистать: «мы не поддерживаем и не рекомендуем использовать наши конструкции docker compose для продакшена».

Дальше еще прямее: для одного хоста апстрим советует поднимать minikube и ставить через Kubernetes. А в сентябре 2026 он депрекировал и helm-чарт - официальным путем стал Kubernetes Operator.

Разберем, что за этим стоит, потому что звучит это страшнее, чем есть.

Довод у апстрима один и честный: compose работает на одной машине и не дает отказоустойчивости. Если сервер выключится, выключится и Superset. Это правда и для любого другого продукта на одном сервере.

Все остальное на compose работает штатно. Метабаза в PostgreSQL, кэш в Redis, фоновый обработчик, планировщик - мы подняли полный комплект и прошли клиентский путь целиком.

Веб-приложение - это Python и Flask с собранным React-фронтендом. Рядом обязательно живут еще четыре контейнера, и выкинуть их нельзя без потери функций.

Шестой контейнер, superset-init, одноразовый: прогоняет миграции, заводит администратора и загружает демо-данные. О нем отдельный разговор ниже - он определяет, сколько вы ждете первого входа.

Метабаза в комплекте идет контейнером, и апстрим для продакшена это не рекомендует. Под серьезной нагрузкой ее выносят на отдельный управляемый PostgreSQL, но на старте контейнерной хватает.

1. Docker и клон репозитория

   Ставим Docker Engine с compose-плагином - 81 секунда. Клонируем репозиторий на теге релиза: 24 секунды и 401 МБ рабочей копии.

2. Меняем все дефолты

   В файле docker/.env лежит ключ подписи сессий со значением TEST_NON_DEV_SECRET, пароль базы superset и пароль администратора admin. Все три меняются до первого запуска.

3. Правим ссылку на образ

   Compose апстрима тянет образ не с Docker Hub, а через шлюз телеметрии Scarf. У нас он дважды отвалился - подробности в разделе про грабли.

4. Закрываем порт и поднимаем TLS

   Приложение слушает только на 127.0.0.1:8088, наружу смотрит reverse-proxy с сертификатом. Голый порт в интернет не выставляем.

# тег обязательно с суффиксом -dev: в нем лежит драйвер psycopg2,
# без которого приложение не увидит метабазу в контейнере
export TAG=6.1.0-dev
docker compose -f docker-compose-image-tag.yml up -d

Отсюда прямой вывод: отключите примеры переменной SUPERSET_LOAD_EXAMPLES=no, и первый старт займет полторы минуты вместо двенадцати. Дашбордов из коробки при этом не будет.

Еще одна особенность: контейнер инициализации запускается заново при каждом docker compose up -d и снова проходит все четыре шага. Во второй раз это сорок секунд, но знать об этом стоит.

Документация обещает поддержку восьми десятков СУБД, и в интерфейсе действительно перечислено 78 типов баз - от ClickHouse и Greenplum до Snowflake и Oracle.

Но список типов и установленные драйверы - разные вещи. Мы проверили импортом прямо в контейнере: Snowflake в списке есть, драйвера нет. Oracle в списке есть, драйвера нет.

Что лежит в официальном образе 6.1.0: PostgreSQL (он же закрывает Greenplum, TimescaleDB и Yugabyte), MySQL и MariaDB, Trino, Presto и Hive, Apache Druid, DuckDB, BigQuery.

Драйвера ClickHouse в образе нет. Для российских команд это главное, потому что данные у многих лежат именно там.

Лечится одной строкой, и это штатный механизм апстрима, а не хак. В файл docker/requirements-local.txt дописывается нужный пакет, и при старте контейнера он ставится сам.

echo "clickhouse-connect>=0.13.0" > docker/requirements-local.txt
docker compose up -d --force-recreate superset superset-worker

Мы это проверили: драйвер встал и в веб-приложение, и в фоновый обработчик, собственный образ собирать не понадобилось. Минимальная версия взята из файла обновлений апстрима, в 6.1.0 ее подняли.

SQL Lab - это полноценный веб-редактор с деревом схем, историей запросов и правами по ролям. Запрос с группировкой по таблице в 11 770 строк выполнился за 3,2 секунды.

Отдельно стоит отметить, как продукт сообщает об ошибке. На запрос с несуществующей колонкой он показал цепочку состояний и текст самой базы с номером строки, а не пустой экран.

Второй вход - датасеты. Аналитик один раз описывает таблицу, метрики и измерения, после чего человек без SQL собирает график мышью поверх готового описания. Апстрим называет это легким семантическим слоем.

Типов графиков несколько десятков: временные ряды, круговые, воронки, тепловые карты, диаграммы Санкея, деревья, сводные таблицы и геовизуализация на deck.gl.

Рекомендация по тарифу - CPU2-RAM4-DISK50 за 500 руб/мес. Мы заходили с гипотезой, что понадобится вдвое больше, и замер ее не подтвердил.

Но у этой рекомендации есть граница, и она важнее самой цифры. Результат запроса Superset затягивает в память веб-приложения, поэтому тариф выбирается под размер ответа вашей базы, а не под сам продукт.

На четырех гигабайтах после базового потребления остается около 2,3 ГБ. Умеренной работе этого хватает. Если ваши запросы вытаскивают из ClickHouse миллионы строк, берите следующий тариф сразу.

Платные BI продаются по людям. Вы платите за каждого, кто просто открывает дашборд раз в неделю. Своя установка эту переменную из расчета убирает совсем.

Посчитаем расклад «двое строят, тридцать смотрят». Тридцать два человека в Power BI Pro - это 448 долларов в месяц, в Tableau Standard - 480. Superset на своем сервере - 500 рублей, сколько бы людей ни смотрело.

Экономия эта стоит администрирования. Сервер, обновления, бэкап метабазы и слежение за уязвимостями ложатся на вас. Подписка покупает не софт, а отсутствие этой работы.

Цены сняты с официальных страниц вендоров в сентябре 2026. Ближайший бесплатный сосед - Metabase, и у нас есть его разбор: он легче и проще, Superset дает больше коннекторов, прав и типов графиков.

Superset по устройству дает человеку выполнять запросы к вашему хранилищу. Поэтому его уязвимости концентрируются в одном месте - в проверке того, что именно пользователю позволено спросить.

В версии 6.0.0 апстрим закрыл четыре такие уязвимости, включая обход режима «только чтение» в SQL-редакторе на PostgreSQL с возможностью менять данные. Раньше были обход построчных прав и чтение файла с сервера.

Правильный вывод отсюда не «продукт дырявый» - дыры ищут и закрывают, это признак живого проекта. Правильный вывод в том, что три вещи здесь обязательны, а не желательны.

• SQL-редактор не выдается широкой роли: это прямой доступ к базе;
• инстанс стоит за обратным прокси с аутентификацией, а не голым портом;
• обновления ставятся вовремя - апстрим ведет список уязвимостей по релизам.

Продавать Superset как «поставил и забыл» было бы неправдой. Это инструмент, который требует внимания к ролям.