Gérer la redirection de port vers le compute serverless

La redirection de port vers le compute serverless permet aux utilisateurs d'atteindre des services exécutés sur le compute serverless via une URL dans votre workspace. Le tunnel SSH utilise la redirection de port pour connecter un IDE local ou un terminal au compute serverless.

Cela inclut le compute GPU serverless.

Le transfert de port vers le compute Serverless est activé par default, sauf dans les Workspace où le profil de sécurité de la conformité est activé, auquel cas il est désactivé par default. Un administrateur de compte peut le désactiver pour chaque workspace du compte. Sinon, chaque administrateur de workspace décide pour son propre workspace.

attention

Ce paramètre est un contrôle de politique, pas une limite de sécurité. Si Databricks ne peut pas lire le paramètre, les connexions sont autorisées. Pour les autres limites, voir Limites.

Configurer le transfert de port pour un compte

Pour utiliser le tunnel SSH avec le compute serverless, un administrateur de compte peut configurer le transfert de port comme suit :

1. Connexion à la console du compte.
2. Cliquez sur Paramètres .
3. Cliquez sur le tab Activation de la fonctionnalité .
4. Indiquez si la redirection de port vers le compute serverless doit être activée ou désactivée.

Lorsque cette option est activée, les administrateurs du Workspace peuvent également activer ou désactiver la redirection de port au niveau du Workspace. Lorsqu’elle est désactivée, la redirection de port est désactivée dans chaque Workspace et ce paramètre n’est pas modifiable.

Configurer le transfert de port pour un workspace

Sauf si un administrateur de compte a désactivé le transfert de port, les administrateurs de workspace peuvent l’activer ou le désactiver pour leur propre workspace. Dans un workspace avec le profil de sécurité de la conformité, c’est le seul moyen de l’activer.

1. Accédez à la page des paramètres.
2. Cliquez sur le tab Compute .
3. Cliquez sur le bouton Transfert de port vers le compute serverless sous Serverless interactif .

remarque

Une fois que vous modifiez ce paramètre dans la console de compte ou les paramètres de workspace, les nouvelles connexions suivent généralement le changement en quelques minutes, mais cela peut prendre plus de temps. Actualiser votre navigateur ne permet pas une prise en compte plus rapide, et les connexions déjà ouvertes ne sont pas fermées.

Quelles sont les conséquences de la désactivation du transfert de port

Lorsque la redirection de port vers le compute serverless est désactivée, Databricks refuse les nouvelles connexions au compute serverless sur les ports redirigés. Les utilisateurs qui tentent de se connecter reçoivent une erreur FEATURE_DISABLED indiquant qu'un administrateur a désactivé la redirection de port vers le compute serverless pour le workspace.

Les éléments suivants ne fonctionnent pas sur le compute serverless :

• Tunnel SSH, y compris databricks ssh connect et les sessions Visual Studio Code ou Cursor Remote-SSH.
• Tout service start par un utilisateur sur un compute Serverless et ouvert via une URL transférée, telle qu’une application Streamlit, Gradio ou Flask, ou un serveur Jupyter.

Les éléments suivants continuent de fonctionner :

• Le terminal web, la Spark UI, l’interface utilisateur des métriques de cluster, le tableau de bord Ray et TensorBoard.
• Notebooks, SQL, jobs, Databricks Connect et Databricks CLI. Ceux-ci n’utilisent pas de transfert de port.
• Toutes les connexions au compute classique.

Les connexions déjà ouvertes restent ouvertes jusqu’à leur fermeture.

Gérer l’accès par tunnel SSH au compute classique

Ce paramètre ne s'applique pas au compute classique. Avec le compute classique, un utilisateur ne peut se connecter au tunnel SSH qu'à l'aide d'un compute mono-utilisateur dédié qui lui est attribué, et seulement s'il dispose des autorisations CAN ATTACH TO ou supérieures.

Pour empêcher les utilisateurs de se connecter au compute classique à l'aide du tunnel SSH, limitez les utilisateurs auxquels un compute dédié est attribué :

• Restreignez l'accès à la politique de Personal Compute, que tous les utilisateurs peuvent utiliser par default, et aux autres politiques de compute qui autorisent le compute dédié. Consultez Gérer l’accès à la politique de Personal Compute.
• N’accordez le droit Autoriser la création de cluster sans restriction qu’aux utilisateurs qui en ont besoin. Voir Droits de compute.
• Ne pas attribuer de compute dédié aux utilisateurs qui ne doivent pas utiliser le tunnel SSH.

Limitations

• Si Databricks ne peut pas lire le paramètre, il autorise la connexion.
• Les ports que le terminal web, la Spark UI, la UI de métriques de cluster, le tableau de bord Ray et TensorBoard utilisent restent accessibles, quel que soit le service qui les écoute. Un utilisateur qui peut exécuter du code sur le compute Serverless peut start son propre service sur l’un de ces ports.
• Ce paramètre ne s'applique pas au compute classique ni au terminal web. Pour contrôler l'accès au tunnel SSH au compute classique, voir Gérer l'accès au tunnel SSH au compute classique. Pour contrôler le terminal web, voir Activer le terminal web.