Configurer les paramètres du pare-feu pour la base de données SQL AWS
AWS fournit plusieurs options pour contrôler l'accès réseau entre les services déployés au sein de Virtual Private Clouds (VPC). Cela comprend la configuration des règles de groupe de sécurité, de l'appairage de Virtual Private Cloud (VPC) et d'AWS PrivateLink. La passerelle d'ingestion pour le connecteur SQL Server se déploie dans le compute classique et s'exécute dans le contexte du Virtual Private Cloud (VPC) associé à un workspace Databricks sur AWS.
Les étapes suivantes décrivent comment configurer l'accès entre Databricks sur AWS (avec le compute classique de la passerelle d'ingestion) et SQL Server hébergé sur AWS (basé sur RDS ou EC2) à l'aide de l'appairage Virtual Private Cloud (VPC) ou d'AWS PrivateLink.
Déployer un workspace Databricks dans votre Virtual Private Cloud (VPC)
Vérifiez que votre Workspace Databricks est déployé en mode de déploiement Virtual Private Cloud (VPC) (compute classique), avec des paramètres Virtual Private Cloud (VPC) personnalisés pour permettre le contrôle du trafic réseau. Databricks lancera des Ressources de compute (clusters) dans des sous-réseaux spécifiés au sein de votre Virtual Private Cloud (VPC), vous permettant de vous connecter en toute sécurité à d'autres services AWS tels que SQL Server à l'aide d'adresses IP privées. Pour plus d'informations, consultez Créer un workspace.
Option 1 : Configurer le peering de Virtual Private Cloud (VPC)
Si vos ressources de compute et votre instance SQL Server résident dans le même Virtual Private Cloud (VPC), vous pouvez les connecter directement. Assurez-vous qu'il est configuré comme suit :
- Les deux ressources se trouvent dans des sous-réseaux qui peuvent acheminer le trafic entre eux.
- Les groupes de sécurité sont configurés pour autoriser le trafic nécessaire (par exemple, le port TCP 1433 ou 3306).
- Les NACL sont configurés pour permettre le flux de trafic requis.
Si vos ressources de compute et votre instance SQL Server résident dans des VPC distincts, vous devez établir une connexion de peering entre les VPC. Cela leur permet de communiquer comme s’ils se trouvaient dans le même réseau. Assurez-vous que :
- Chaque Virtual Private Cloud (VPC) possède une plage d'adresses IP unique.
- Les tables de routage ont été mises à jour pour diriger le trafic entre les VPC.
- Vous avez mis à jour les groupes de sécurité et les NACL pour autoriser le trafic depuis le Virtual Private Cloud (VPC) appairé.
Option 2 : Utilisez AWS Transit Gateway
Pour des architectures plus complexes impliquant plusieurs VPC, AWS Transit Gateway agit comme un hub pour interconnecter les VPC et les réseaux on-premise. Pour le récapitulatif des étapes, consultez les étapes suivantes. Pour obtenir les instructions complètes pour configurer la connectivité on-premise, consultez Démarrer avec les passerelles de transit Virtual Private Cloud (VPC) Amazon dans la documentation AWS.
- Créez la passerelle de transit.
- Associez votre Virtual Private Cloud (VPC) AWS à votre passerelle de transit.
- Configurez la connectivité sur site avec un VPN site à site ou AWS Direct Connect.
- Mettez à jour les tables de routage. Consultez les tables de routage de passerelle de transit dans Amazon Virtual Private Cloud (VPC) Transit Gateways dans la documentation AWS.
- Configurez vos groupes de sécurité. Consultez Contrôle d'accès avec les groupes de sécurité dans la documentation AWS.
- Assurez-vous que votre SQL Server sur site autorise les connexions entrantes depuis la plage d'adresses IP du Virtual Private Cloud (VPC) Databricks.
Option 3 : Utiliser AWS PrivateLink avec un équilibreur de charge réseau
Pour accéder à Amazon RDS entre des Virtual Private Clouds (VPC) ou des comptes AWS sans peering de VPC ou Transit Gateway, vous pouvez utiliser AWS PrivateLink avec Network Load Balancer.
- AWS PrivateLink fournit une connectivité privée entre les VPC, les services AWS et les réseaux on-premise sans exposer le trafic à l'internet public.
- L’Équilibreur de charge réseau (NLB) achemine le trafic de base de données vers Amazon RDS.