Metabase

Инструмент подключается к существующей базе - Postgres, MySQL, ClickHouse, MongoDB, BigQuery и еще полутора десяткам источников. Дальше человек собирает отчет мышкой или пишет SQL, если умеет.

Ключевая особенность: своего хранилища у Metabase нет. Он переводит клики в SQL и идет в чужую базу. Собственная БД хранит только его самого - вопросы, дашборды, пользователей и права.

Отсюда вывод, который важнее любой фичи: данные никуда не копируются. Для компании с требованием держать все внутри периметра это снимает половину вопросов.

Задача, которую он закрывает, звучит обыденно. Данные лежат в базе, а отчетность собирается вручную или выпрашивается у разработчика. Metabase снимает разработчика с этого потока.

Лицензия составная, и это не формальность. Все вне каталога enterprise/ - под AGPL-3.0, все внутри - под проприетарной Metabase Commercial License.

Сборки разведены по образам: metabase/metabase - бесплатная, metabase/metabase-enterprise - платная. В логе бесплатной прямым текстом: Enterprise Edition extensions are NOT PRESENT.

Обычно пишут коротко: SSO платный. На деле граница проходит иначе, и разница существенная для того, кто выбирает.

Проверяли не по документации, а включением. Настройка 2FA в бесплатной сборке присутствует, но только для чтения, и переменная MB_MFA_ENFORCEMENT ее не поднимает.

Документация вендора тут вводит в заблуждение: страница про 2FA описывает ее для self-host и, в отличие от остальных платных страниц, не несет пометки о платности.

Настройки saml-enabled в бесплатной сборке не существует вовсе - API отвечает «Неизвестная настройка». Платного кода в образе физически нет, он не заблокирован флагом.

Power BI и Tableau здесь официально не продаются с 2022 года. При запросе страницы цен Power BI Microsoft отдает в теле ответа «This product is not available in your market».

То есть выбор стоит не между Metabase и Power BI, а между Metabase, Superset и выгрузками в Excel.

Цены сняты в сентябре 2026 с официальных страниц вендоров. Данные по Tableau - из сводки третьей стороны: официальная страница цен содержимое не отдала.

Разница в подходе важнее цифр. Metabase не про «построй витрину и наведи семантический слой», а про «дай человеку без SQL получить ответ за пять минут».

Обратная сторона ровно та же. На сложной аналитике он упирается раньше, чем Superset, и набор типов графиков у него беднее.

База - одно ядро и гигабайт памяти. Плюс ядро и два гигабайта на каждые 20 одновременных пользователей. Базе приложения нужен отдельный Postgres: на старте ядро и два гигабайта.

Собственный тест вендора показывает, что узкое место снимается на третьем ядре: на двух ядрах 95-й перцентиль 390 мс, на трех - 119, на четырех - 82. Дальше прирост в пределах шума.

1. Поставить Docker

   Официальный apt-репозиторий docker.com. На чистой Ubuntu 24.04 заняло 143 секунды.

2. Сгенерировать секреты

   Пароль базы и ключ шифрования. Ключ обязателен: без него подключения к базам и секреты лежат в открытом виде.

   POSTGRES_PASSWORD=$(openssl rand -hex 24)
   MB_ENCRYPTION_SECRET_KEY=$(openssl rand -hex 32)

3. Описать два сервиса

   Приложение и Postgres. Порт наружу не публикуем - только на localhost, а снаружи ставим reverse-proxy с TLS.

   services:
     metabase:
       image: metabase/metabase:v0.63.18.2
       restart: unless-stopped
       ports:
         - "127.0.0.1:3000:3000"
       environment:
         MB_DB_TYPE: postgres
         MB_DB_HOST: postgres
         MB_DB_DBNAME: metabaseappdb
         MB_DB_USER: metabase
         MB_DB_PASS: ${POSTGRES_PASSWORD}
         MB_ENCRYPTION_SECRET_KEY: ${MB_ENCRYPTION_SECRET_KEY}
         JAVA_TIMEZONE: Europe/Moscow
         JAVA_TOOL_OPTIONS: "-Xmx2g"
       depends_on:
         postgres:
           condition: service_healthy
       healthcheck:
         test: ["CMD-SHELL", "curl --fail -I http://localhost:3000/api/health || exit 1"]
         interval: 15s
         start_period: 240s
     postgres:
       image: postgres:16.15
       restart: unless-stopped
       environment:
         POSTGRES_DB: metabaseappdb
         POSTGRES_USER: metabase
         POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
       volumes:
         - ./pg_data:/var/lib/postgresql/data
       healthcheck:
         test: ["CMD-SHELL", "pg_isready -U metabase -d metabaseappdb"]
         interval: 10s
         retries: 10

4. Поднять и подождать

   Скачивание образов заняло 109 секунд, запуск контейнеров - 23. Дальше терпение: первый старт идет больше трех минут.

   docker compose pull
   docker compose up -d
   docker compose logs -f metabase

Итого от чистой машины до рабочего интерфейса - около восьми минут. Мастер первичной настройки заводит администратора и спрашивает язык.

С версии 0.60 ИИ-слой открыт: Metabot запускается на вашем ключе, и данные к вендору не уходят. В настройках поля под OpenAI, Anthropic, Bedrock, Azure, Mistral и OpenRouter.

Ключ выбирает клиент - продукт одинаково работает с любым провайдером. Платной в этой части остается только обвязка управления: лимиты токенов, доступы по группам и аналитика использования.

Проверили диалог на живом ключе: Metabot ответил потоком, finishReason: stop. Но до этого пришлось разобраться с двумя вещами.

Адрес провайдера может не отвечать

Запрос к модели с нашего сервера уходил в 403 Access denied by security policy - и без ключа, и с полностью валидным. Через прокси тот же запрос отдает 200 и ответ модели.

Metabase не читает HTTPS_PROXY

Привычные переменные окружения тут не работают: подмена прокси на заведомо мертвый адрес ничего не меняла, запрос все равно шел напрямую. Это обычное поведение JVM - HTTPS_PROXY понимает curl, а не Java.

Настраивается системными свойствами JVM:

JAVA_TOOL_OPTIONS: "-Xmx2g
  -Dhttps.proxyHost=api-proxy.fatmetal.net -Dhttps.proxyPort=8080
  -Dhttp.proxyHost=api-proxy.fatmetal.net  -Dhttp.proxyPort=8080
  -Dhttp.nonProxyHosts=localhost|127.0.0.1|postgres|metabase"

Разделитель в nonProxyHosts - вертикальная черта, не запятая. Имена контейнеров в списке обязательны: иначе обращение к базе уйдет в прокси и Metabase потеряет ее.

Главный вывод замера не в абсолютных числах. Упирается процессор, а не память: за всю нагрузку JVM прибавила 16 МиБ, тогда как CPU ушел в 131 процент из двухсот доступных.

Практический смысл простой. Растет команда - добавляйте ядра, а не гигабайты. Это сходится с нагрузочным тестом самого вендора.

Данные растут медленно

Мы прогнали 2000 запросов и замерили прирост базы приложения: 745 байт на выполненный запрос. Растет история выполнения, больше в этой базе расти нечему.

В пересчете это 21 МБ в месяц при тысяче запросов в день и около 1.3 ГБ в год даже при пяти тысячах. Диска в 50 ГБ хватает на годы.

Объектное хранилище продукт не поддерживает, да оно ему и не нужно: анализируемые данные он не хранит вовсе, у контейнера приложения нет ни одного тома.

Проверено на версии v0.63.18.2, 28 сентября 2026. На новых версиях результаты могут отличаться.

База по умолчанию живет внутри контейнера

Если не указать внешний Postgres, Metabase заведет встроенную H2 в файле внутри контейнера. Пересоздали контейнер - потеряли все вопросы, дашборды и коллекции.

Вендор предупреждает об этом прямым текстом. Переезд с H2 на Postgres потом делается отдельной процедурой миграции, поэтому внешнюю базу подключают с первого запуска.

Healthcheck успевает объявить контейнер больным

Письма уходят от чужого адреса

• Внешний Postgres с первого запуска, а не после первой потери данных.
• Ключ шифрования MB_ENCRYPTION_SECRET_KEY - иначе пароли подключений лежат в базе открытыми.
• TLS своим прокси. Вендор отдельно предупреждает, что терминация на том же сервере отъедает процессор у приложения.
• Порт только на localhost. Наружу - через reverse-proxy, а не голым портом.
• Бэкап - это дамп Postgres. Больше состояния нигде нет, томов у приложения ноль.
• Права на данные настраиваются на уровне подключения: отдельный пользователь базы только на чтение.

Обновление сводится к смене тега образа и перезапуску - схему база приложения мигрирует сама. Закрепляйте конкретную версию: на latest инструкция устареет незаметно.

Патчи выходят раз в одну-две недели, минорные версии - примерно раз в квартал. Параллельно поддерживается LTS-ветка, сейчас это 0.58.

• PostgreSQL или ClickHouse - источник данных и одновременно база приложения. ClickHouse поддерживается штатным драйвером.
• Reverse-proxy с TLS - обязательный сосед: наружу продукт смотреть не должен.
• Apache Superset - альтернатива для тех, кому нужны SAML и LDAP без платного тарифа.
• Grafana - соседняя задача, а не та же: метрики инфраструктуры вместо запросов к бизнес-базе.