AWS インバウンド プライベートリンクの DNS を構成する
プレビュー
アカウントレベルのリソースへのプライベートアクセスはベータ版です。
コンテキストベースのイングレスを使用したワークスペースへのプライベートアクセスはベータ版です。
DatabricksワークスペースとアカウントレベルのリソースにインバウンドPrivate Linkを使用する場合、ユーザーリクエストをプライベートネットワーク経由でルーティングするようにDNSを構成します。このページでは、DNS構成パターンとステップバイステップのセットアップ手順について説明します。AWS Private LinkのDNSは複数の方法で構成できますが、このページではほとんどのデプロイメントで機能する推奨アプローチをデフォルトとしています。
VPC エンドポイントで DNS 名の有効化 オプションを有効にすると、バックエンドのプライベートリンクエンドポイントは AWS DNS 解決を自動的に使用します。このページでは、受信プライベート リンク DNS 構成に焦点を当てています。
アーキテクチャの概要
次の図は、AWS Private Link の 2 つの DNS 解決パターンを示しています。選択するパターンは、エンドポイントの管理と分離に関する組織の要件によって異なります。
単一エンドポイントアプローチは、すべてのリージョンのすべてのワークスペースとアカウントレベルのリソースを1つの共有VPCエンドポイント経由でルーティングするため、DNSの構成と管理が簡素化されます。このページでは、すべての構成手順について、この推奨アプローチをデフォルトとしています。
マルチエンドポイントのアプローチでは、ネットワーク分離のために、各ワークスペースおよびアカウントレベルのリソースに対するリクエストを専用の VPC エンドポイントにルーティングできますが、管理の複雑さが増します。
プライベートリンクによるDNS解決
Private Linkがない場合、ワークスペース固有のURL（例：dbc-<workspace-deployment-id>.cloud.databricks.com）は、sydney.cloud.databricks.comのようなリージョンのホスト名を介してパブリックIPアドレスに解決され、そのホスト名はパブリックAWS Elastic Load Balancerを指します。例えば：
$ nslookup myworkspace.cloud.databricks.com
myworkspace.cloud.databricks.com canonical name = sydney.cloud.databricks.com
sydney.cloud.databricks.com canonical name = public-ingress-xxxxx.elb.ap-southeast-2.amazonaws.com
Name: public-ingress-xxxxx.elb.ap-southeast-2.amazonaws.com
Address: 3.26.4.13
プライベート アクセス設定オブジェクトをワークスペースにアタッチすると、Databricks は DNS 解決チェーンを更新してprivatelinkサブドメインを含めます。
$ nslookup myworkspace.cloud.databricks.com
myworkspace.cloud.databricks.com canonical name = sydney.privatelink.cloud.databricks.com
Name: sydney.privatelink.cloud.databricks.com
Address: 10.176.10.182
ワークスペース固有のURLは現在sydney.privatelink.cloud.databricks.comに解決されます。これは、VPCエンドポイントのプライベートIPアドレスを指すように構成します。これにより、他のDatabricksサービスに影響を与えることなく、privatelink.cloud.databricks.comドメインのみを上書きできます。
カスタムURL（<my-custom-account-name>.databricks.com）とaccounts.cloud.databricks.comは、DNS解決チェーンにprivatelinkサブドメインを含まず、個別に転送される必要があります。
$ nslookup <my-custom-account-name>.databricks.com
Name: my-custom-account-name.databricks.com
Address: 3.26.4.13
$ nslookup accounts.cloud.databricks.com
Name: accounts.cloud.databricks.com
Address: 3.26.4.13
プライベート アクセス設定オブジェクトをワークスペースにアタッチした後は、削除することはできません。別のプライベート アクセス設定オブジェクトにのみ置き換えることができます。この構成は永続的です。
DNS解決
必要な特定のDNSレコードは構成アプローチによって異なりますが、すべての構成はDatabricks URL（カスタムURLと非カスタムURLの両方）をインバウンドVPCエンドポイントのプライベートIPアドレスに解決する必要があります。シンプルにするために、Databricksは、すべてのDatabricksにアクセスするために、すべてのURLを単一のVPCエンドポイントにルーティングすることを推奨しています。ネットワーク分離要件がある場合は、異なるURLを異なるVPCエンドポイントにルーティングすることもできます。各エンドポイントには、コンテキストベースのイングレスポリシーで異なるアクセス権が付与されます（「ワークスペースのインバウンドPrivateLinkを構成する」を参照してください）。
- Single endpoint approach (recommended)
- Multi-endpoint approach
ほとんどのデプロイでは、DNSを設定してすべてのURLを単一のVPCエンドポイントのプライベートIPに解決します。任意のリージョンのすべてのワークスペースとアカウントレベルのリソースは、同じVPCエンドポイントを共有できます。この統合エンドポイントは、非カスタムURLとカスタムURLの両方を使用してリソースを提供できます。これは、簡素化された管理に推奨されるアプローチです。
オンプレミスのDNS構成
企業の DNS で条件付き転送を構成して、Databricks ドメインクエリを AWS に転送します。
ドメイン | 転送先 | 目的 |
|---|---|---|
または または | AWS DNSエンドポイント（Route 53インバウンドリゾルバー） | 常に必要です。プライベートアクセス設定がアタッチされたワークスペースに対して、ワークスペース固有のURLを転送します。 Databricks AppsやModel Servingなどの特定のワークスペースサービスは、
|
| AWS DNSエンドポイント（Route 53インバウンドリゾルバー） | 必須（カスタムURLを使用する場合）。ワークスペースとアカウントレベルの両方のトラフィックを含むカスタムURLを転送します。 |
| AWS DNSエンドポイント（Route 53インバウンドリゾルバー） | オプション。お客様のカスタムではないアカウントレベルのリソースURLを転送します（統合ログインにも使用されます）。ユーザーがDNS解決やリクエストのためにパブリックインターネットにアクセスできない場合にのみ必要です (「統合ログインによるインバウンドPrivate Linkの構成」を参照)。これは、カスタムURLを使用したくない場合でも、アカウントレベルのリソースへのインバウンドPrivate Linkを希望する場合にも役立ちます。 |
| AWS DNSエンドポイント（Route 53インバウンドリゾルバー） | オプション。Databricks Apps リクエストを転送します。DNS解決のためにパブリックインターネットにアクセスできない場合（つまり、手動のDNS設定を使用している場合）にのみ必要です。それ以外の場合は、ワークスペース固有のURL転送で十分です。 |
Databricks on AWS GovCloud上の Databricks の場合は、代わりに*.cloud.databricks.usと*.aws-gov.databricksapps.usを転送してください。 AWS GovCloud DoD については、 *.cloud.databricks.milと*.aws-dod.databricksapps.milを転送してください。Databricks on AWS GovCloud上の Databricks を参照してください。
プライベートホストゾーンの構成
以下のURLをVPCエンドポイントにルーティングするには、Private Hosted Zonesを作成する必要があります：
- カスタムURLを使用している場合、必須: カスタムURL。
- 常に必要: ワークスペース固有の URL（
dbc-<workspace-deployment-id>.cloud.databricks.comや<region>.privatelink.cloud.databricks.comなど）。 - オプション:
accounts.cloud.databricks.com。ユーザーがDNS解決またはリクエストのためにパブリックインターネットにアクセスできない場合にのみ必要です。その場合、プライベート統合ログインを有効にするにはaccounts.cloud.databricks.comをルーティングする必要があります（統合ログインでインバウンドPrivate Linkを構成するを参照）。これは、カスタムURLを使用しないが、インバウンドPrivate Linkをアカウントレベルのリソースに接続したい場合にも役立ちます。
単一エンドポイントアプローチでは、これらのすべてのURLを単一の共有General Access VPCエンドポイントにルーティングできます。
まず、カスタムURL用のプライベートホストゾーンを作成します。カスタムURLは、任意のリージョンのすべてのワークスペースのUIとAPI、およびアカウントレベルのリソースを提供できます。
構成 | Value |
|---|---|
プライベートホストゾーン |
|
レコード名 | 空白のままにします。 |
レコードタイプ | A（別名） |
記録的な価値 | VPCエンドポイントID |
次に、privatelink.cloud.databricks.com ドメインのプライベートホストゾーンを作成して、ワークスペース固有の URL をルーティングします (例: dbc-<workspace-deployment-id>.cloud.databricks.com)。Databricks Apps や Model Serving などの特定のワークスペースサービスは、カスタム URL ではなくワークスペース固有の URL に依然として依存しているため、これは常に必要です。
構成 | Value |
|---|---|
プライベートホストゾーン |
|
レコード名 | 空欄のままにするか、 |
レコードタイプ | A（別名） |
記録的な価値 | VPCエンドポイントID |
簡素化のため、DatabricksではすべてのURLを単一のエンドポイントにルーティングすることを推奨しています。ただし、異なるリージョンのワークスペースで異なるルーティングが必要な場合は、<region>値を使用できます。リージョン値はDatabricksのリージョン名です（例: sydney、virginia、oregon）。AWSのリージョン名ではありません。ワークスペースの正しいリージョン名を確認するには、インバウンドIP の「**Control plane services, including webapp**」行を参照してください。
AWSの設定でDNS解決のためにパブリックインターネットにアクセスできない場合、または異なるワークスペースに異なるVPCエンドポイントが必要な場合は、privatelink.cloud.databricks.comの代わりに各ワークスペースURLにプライベートホストゾーンを作成します。
構成 | Value |
|---|---|
プライベートホストゾーン |
|
レコード名 | 空白のままにします。 |
レコードタイプ | A（別名） |
記録的な価値 | VPCエンドポイントID |
オプションで、accounts.cloud.databricks.comのプライベートホストゾーンを作成します。ユーザーがパブリックインターネットにアクセスできない場合にのみ必要です。その場合、プライベート統合ログインを有効にするにはaccounts.cloud.databricks.comをルーティングする必要があります（統合ログインでインバウンドPrivate Linkを構成するを参照）。これは、カスタムURLを使用したくない場合でも、アカウントレベルのリソースへのインバウンドPrivate Linkを希望する場合にも役立ちます。
構成 | Value |
|---|---|
プライベートホストゾーン |
|
レコード名 | 空白のままにします。 |
レコードタイプ | A（別名） |
記録的な価値 | VPCエンドポイントID |
異なるワークスペース、リージョン、またはアカウントレベルのリソースに個別のエンドポイントを使用すると、追加のDNS構成が必要になり、運用上の複雑さが増します。このアプローチは、特定のセキュリティ、コンプライアンス、またはネットワーキング要件のために、分離されたVPCエンドポイントが必要な場合にのみ使用してください。
個々のワークスペースまたはアカウントレベルのリソースに個別のVPCエンドポイントが必要な場合は、シングルエンドポイントアプローチと同じ一般的なステップに従ってください。ただし、すべてのDatabricks URLを1つのVPCエンドポイントにルーティングする代わりに、要件に基づいて、異なるURLが異なるVPCエンドポイントに解決されるようにDNSを設定します。
エンドポイントが登録されたら、コンテキストベースのインバウンド接続を使用して、登録された各プライベートエンドポイントがアクセスできるワークスペースおよびアカウントレベルのリソースを制御します。詳細については、ワークスペースのインバウンド PrivateLink の構成およびアカウントレベルのリソースのインバウンド Private Link の構成を参照してください。
構成例
次の例は、一般的なルーティングパターンを示しています。セキュリティ、コンプライアンス、またはネットワーキングの要件に合ったルーティングモデルを選択できます。
例1: 本番運用、非本番運用、アカウントレベルのリソース向けの統合エンドポイント (シングルエンドポイントのアプローチ)
この例では、すべてのワークスペースとアカウントレベルのリソースは、単一のVPCエンドポイントを介してアクセスされます。
次のルーティングとコンテキストベースのイングレスポリシーを構成します:
転送 | プライベートホストゾーンレコード | VPCエンドポイントにルーティングされます | コンテキストベースのイングレス構成 |
|---|---|---|---|
カスタムURL | カスタムURL | 登録済みエンドポイント1 |
|
|
| 登録済みエンドポイント1 | エンドポイント1からのイングレスを許可するワークスペースポリシーを作成し、それをすべてのワークスペースにアタッチします。 |
この構成により、ユーザーはインバウンドPrivate Linkを介してアクセスできます。
- アカウントコンソールやアカウントレベルのGenieといったアカウントレベルのリソースを、カスタムURLを使用して
- カスタム URL を使用しているすべてのワークスペース。
- ワークスペース固有のURLを使用しているすべてのワークスペース。
例2：本番運用、非本番運用、およびアカウントレベルのリソースごとの個別のエンドポイント（マルチエンドポイントアプローチ）
この例では、本番運用ワークスペース、非本番運用ワークスペース、およびアカウントレベルのリソースは、個別に分離されたVPCエンドポイントを介してアクセスされます。
次のルーティングとコンテキストベースのイングレスポリシーを構成します:
転送 | プライベートホストゾーンレコード | VPCエンドポイントにルーティングされます | コンテキストベースのイングレス構成 |
|---|---|---|---|
カスタムURL | カスタムURL | 登録済みエンドポイント1 |
|
個別の本番運用ワークスペース固有の URL または | 個々の本番運用ワークスペース固有のURL | 登録済みエンドポイント2 | エンドポイント2からのイングレスを許可するワークスペースポリシーを作成し、本番運用ワークスペースにアタッチします。 |
個々の非本番運用ワークスペース固有のURL、または | 個別の非本番運用ワークスペース固有のURL | 登録済みエンドポイント3 | エンドポイント3からのイングレスを許可するワークスペースポリシーを作成し、それを非本番運用ワークスペースにアタッチしてください。 |
この構成により、ユーザーはインバウンドPrivate Linkを介してアクセスできます。
- アカウントコンソールやアカウントレベルのGenieといったアカウントレベルのリソースを、カスタムURLを使用して
- 本番運用ワークスペース固有のURLを使用している本番運用ワークスペース。
- 非本番環境の**ワークスペース**で、非本番環境の**ワークスペース**固有のURLを使用します。
例 3: 異なるリージョンのワークスペースとアカウントレベルのリソースに個別のエンドポイントを使用（マルチエンドポイントアプローチ）
この例では、リージョンAのワークスペース、リージョンBのワークスペース、およびアカウントレベルのリソースは、別々の分離されたVPCエンドポイントを介してアクセスされます。
次のルーティングとコンテキストベースのイングレスポリシーを構成します:
転送 | プライベートホストゾーンレコード | VPCエンドポイントにルーティングされます | コンテキストベースのイングレス構成 |
|---|---|---|---|
カスタムURL | カスタムURL | 登録済みエンドポイント1 |
|
|
| 登録済みエンドポイント2 | エンドポイント2からのイングレスを許可するワークスペースポリシーを作成し、リージョンAのワークスペースにアタッチします。 |
|
| 登録済みエンドポイント3 | エンドポイント3からのイングレスを許可するワークスペースポリシーを作成し、リージョンBのワークスペースにアタッチします。 |
この構成により、ユーザーはインバウンドPrivate Linkを介してアクセスできます。
- アカウントコンソールやアカウントレベルのGenieといったアカウントレベルのリソースを、カスタムURLを使用して
- リージョンAのワークスペースは、ワークスペース固有のURLを使用します。
- ワークスペース固有のURLを使用するリージョンBのワークスペース。
例4：本番運用およびアカウントレベルのリソース用の共有エンドポイント、非本番運用用の個別のエンドポイント（マルチエンドポイントアプローチ）
この例では、本番運用ワークスペースとアカウントレベルのリソースが1つの分離されたVPCエンドポイントを共有し、非本番運用ワークスペースは個別のVPCエンドポイントを使用します。
次のルーティングとコンテキストベースのイングレスポリシーを構成します:
転送 | プライベートホストゾーンレコード | VPCエンドポイントにルーティングされます | コンテキストベースのイングレス構成 |
|---|---|---|---|
カスタムURL | カスタムURL | 登録済みエンドポイント1 |
|
個別の本番運用ワークスペース固有の URL または | 個々の本番運用ワークスペース固有のURL | 登録済みエンドポイント1 | また、エンドポイント1からのイングレスを許可するワークスペースポリシーを作成し、本番運用ワークスペースにアタッチします。 |
個々の非本番運用ワークスペース固有のURL、または | 個別の非本番運用ワークスペース固有のURL | 登録済みエンドポイント2 | エンドポイント2からのイングレスを許可するワークスペースポリシーを作成し、それを非本番運用ワークスペースにアタッチします。 |
この構成により、ユーザーはインバウンドPrivate Linkを介してアクセスできます。
- アカウントコンソールやアカウントレベルのGenieといったアカウントレベルのリソースを、カスタムURLを使用して
- カスタムURLを使用する本番運用ワークスペース。
- 本番運用ワークスペース固有のURLを使用している本番運用ワークスペース。
- 非本番環境の**ワークスペース**で、非本番環境の**ワークスペース**固有のURLを使用します。
本番運用およびアカウントレベルのトラフィックは、個別のVPCエンドポイントを使用することで、非本番ワークスペースのトラフィックから分離されたままになります。
上記のすべての構成では、accounts.cloud.databricks.com はオプションであるため、転送する必要はありませんでした (「統合ログインによるインバウンドPrivate Linkの構成」を参照)。統合ログインのためにこのURLを転送することを決定した場合、任意の登録済みVPCエンドポイントに解決できます。カスタムURLを使用せずにこのURLを転送してアカウントレベルのリソースにプライベートにアクセスすることを決定した場合は、次のルーティングとコンテキストベースのイングレスポリシーを構成します。
転送 | プライベートホストゾーンレコード | VPCエンドポイントにルーティングされます | コンテキストベースのイングレス構成 |
|---|---|---|---|
|
| 登録済みエンドポイント1 |
|
次のガイドラインを念頭に置いてください:
- カスタムURL、ワークスペース固有のURL、アカウントURLはすべて、同じVPCエンドポイントにルーティングすることも、分離要件に基づいて別々のVPCエンドポイントにルーティングすることもできます。
- カスタム URL を使用して、ワークスペースとアカウントレベルのリソースの両方にアクセスできます。
- コンテキストベースのイングレスを使用して、登録された各エンドポイントがどのワークスペースとアカウントレベルのリソースにアクセスできるかを制御します。コンテキストベースのイングレス制御を参照してください。
設定オプション
- Conditional forwarding to Route 53 (recommended)
- Manual DNS zone and records
企業のDNSを設定して、DatabricksドメインのクエリをAmazon Route 53に転送するようにします。AWSは、手動でのレコード管理なしで、ワークスペースURLを自動的にプライベートIPに解決します。このアプローチでは、任意のリージョン内のすべてのワークスペースに対して、単一のVPCエンドポイントを使用します。
条件付き転送の利点
- 自動解決：VPCエンドポイントで DNS名を有効にする オプションが有効になっている場合、Route 53はURLをプライベートIPに自動的に解決します。
- 手動更新なし: VPCエンドポイントIPが変更された場合、Route 53が自動的にDNSレコードを更新します。
- 管理を簡素化: 単一の設定で、あらゆるリージョンのすべてのワークスペースを処理します。
前提条件
始める前に、次のことを確認してください。
- [ DNS名を有効にする ] が有効になっているインバウンド Private Link VPC エンドポイント
- Direct Connect または VPN を使用した企業ネットワークと AWS 間のネットワーク接続
- Route 53 リソースを作成し、企業の DNS を変更するための権限
ステップ 1: プライベートホストゾーンを作成する
Databricks DNSレコード用にRoute 53にプライベートホストゾーンを作成します。
- AWS マネジメントコンソールのRoute 53 ホストゾーンページに移動します。
- 「ホストゾーンの作成」を クリックします。
- ドメイン名 に、PHZ名を入力します。例えば、
my-custom-account-name.databricks.com。 - タイプ には、 プライベートホストゾーン を選択します。
- 関連付ける VPC セクションで、インバウンド VPC エンドポイントが配置されている VPC を選択します。これは通常、トランジット VPC です。
- 「ホストゾーンの作成」を クリックします。
ステップ 2: DNS A レコードを作成する
リージョンエンドポイントを VPC エンドポイントのプライベート IP アドレスにマッピングする A レコードを作成します。
-
Route 53コンソールで、作成したホストゾーン（例：
<my-custom-account-name>.databricks.com）を選択します。 -
[レコードの作成] をクリックします。
-
レコード名 には、適切な値を入力します (前のセクションを参照してください)。
-
レコード タイプ には、 A - トラフィックを IPv4 アドレスにルーティングするを 選択します。
-
[値] には、受信 VPC エンドポイントのプライベート IP アドレスを入力します。
プライベート IP を見つけるには:
- VPC エンドポイントページに移動します。
- 受信 VPC エンドポイントを選択します。
- [サブネット] タブで、 IPv4 アドレスをメモします。
-
[レコードの作成] をクリックします。
上記の必要な各PHZについて、ステップ1と2を繰り返します。
ステップ 3: Route 53 インバウンドリゾルバーエンドポイントを作成する
企業の DNS がクエリを Route 53 に転送できるように、インバウンド リゾルバ エンドポイントを作成します。
-
Route 53 Resolverページに移動します。
-
左側のナビゲーションで、 [受信エンドポイント] をクリックします。
-
[受信エンドポイントの作成]を クリックします。
-
エンドポイントの名前（
databricks-privatelink-resolverなど）を指定します。 -
VPC を選択します。
-
[セキュリティ グループ] では、オンプレミス ネットワークからのポート 53 での受信 TCP および UDP トラフィックを許可するセキュリティ グループを選択または作成します。
-
IP アドレス セクションでは、次の操作を行います。
- 高可用性を実現するには、異なるアベイラビリティーゾーンにある少なくとも 2 つのサブネットを選択します。
- 各サブネットに対して、AWS に IP アドレスを自動的に割り当てるか、サブネット範囲内の特定の IP アドレスを選択します。
-
[受信エンドポイントの作成]を クリックします。
-
次のステップで使用するために、受信リゾルバー エンドポイントの IP アドレスをメモします。
ステップ 4: 企業 DNS で条件付き転送を構成する
企業の DNS サーバーを構成して、Databricks ドメインのクエリを Route 53 受信リゾルバー エンドポイントに転送します。
正確なステップは、BIND、 Windows DNS、Infoblox などの DNS ソフトウェアによって異なります。 特定の構成ステップについては、DNS サーバーのドキュメントを参照してください。
上記のオンプレミスDNS構成セクションにリストされているドメインに対して、条件付き転送を構成します。
これらのドメインを Route 53 インバウンド リゾルバ エンドポイントの IP アドレスに転送します。
検証
設定が完了したら、企業ネットワークから各URLのDNS解決をテストします。例えば：
$ nslookup <my-custom-account-name>.databricks.com
Name: <my-custom-account-name>.databricks.com
Address: 10.176.10.182
URLは、VPCエンドポイントのプライベートIPアドレスに解決される必要があります。パブリックIPアドレスが表示された場合は、条件付き転送ルールとRoute 53構成を確認してください。
ご使用の環境で Route 53 への条件付き転送が利用できない場合は、企業の DNS サーバーに DNS ゾーンとレコードを手動で作成できます。このアプローチでは、VPC エンドポイントの IP アドレスが変更された場合に手動で更新する必要があります。
手動DNSゾーンの利点
次の場合には手動 DNS 構成を使用します。
- AWS Route 53への条件付き転送を設定できない
- 企業のDNSポリシーでは、すべてのDNSレコードを社内で管理する必要がある
- DNSレコード管理を完全に制御する必要がある
手動 DNS 構成では、VPC エンドポイントの IP アドレスが変更されるたびに A レコードを更新します。レコードが古くなると、接続の問題が発生する可能性があります。
ステップ 1: DNS ゾーンを作成する
企業のDNSサーバーで、上記のオンプレミスDNS構成セクションに記載されているドメインのゾーンを作成します。
Databricks on AWS GovCloud上の Databricks の場合は、代わりにprivatelink.cloud.databricks.usゾーンを作成してください。 AWS GovCloud DoD の場合は、 privatelink.cloud.databricks.milを使用してください。
ステップ 2: A レコードを追加する
リージョンエンドポイントを VPC エンドポイントのプライベート IP にマッピングする A レコードを作成します。例えば：
レコード名 | レコードタイプ | Value |
|---|---|---|
| A | インバウンド VPC エンドポイントのプライベート IP |
AWS GovCloudの場合、リージョン名はpendleton 、ドメインはprivatelink.cloud.databricks.usです。AWS GovCloud DoD の場合は、 privatelink.cloud.databricks.milを使用してください。Databricks Appsを使用する場合は、 *.aws-gov.databricksapps.us ( GovCloud ) または*.aws-dod.databricksapps.mil (DoD) の転送またはレコードも追加してください。
検証
企業ネットワークから DNS 解決をテストします。例えば：
$ dig +short <my-custom-account-name>.databricks.com
<my-custom-account-name>.databricks.com
10.176.10.182
URLはVPCエンドポイントのプライベートIPアドレスに解決される必要があります。
特別な展開シナリオ
- Mixed deployments
- Hybrid access (private and public endpoints)
- Databricks Apps domains
同じアカウント内で、一部のワークスペースでは受信プライベート リンクを使用し、他のワークスペースではパブリック エンドポイントを使用できます。DNS 解決により、このシナリオは自動的に処理されます。
プライベート アクセス設定オブジェクトのないワークスペースは、 <region>.cloud.databricks.comを使用してパブリック IP アドレスに解決されます。プライベート アクセス設定オブジェクトを持つワークスペースは<region>.privatelink.cloud.databricks.comに解決され、プライベート IP を使用します。
混合展開では追加の DNS 構成は必要ありません。
ワークスペースは、Private Link を使用するプライベート エンドポイントとインターネットを使用するパブリック エンドポイントの両方からアクセスできるように構成できます。
ハイブリッド アクセスを有効にするには:
- プライベート アクセス設定オブジェクトを作成するときは、 パブリック アクセスの有効化を True に設定します。
- ワークスペースは、プライベート リンクとパブリック インターネットの両方からアクセスできるようになりました。
- プライベート DNS が構成されている企業ネットワーク上のユーザーは、プライベート エンドポイントを自動的に使用します。
- 企業ネットワーク外のユーザーはパブリック エンドポイントを使用します。
ワークスペースにアクセスできるパブリック IP アドレスを制限するには、 IP アクセス リストを構成します。これにより、信頼できるサードパーティの SaaS アプリケーションなどの特定のソース IP アドレスを許可リストに登録できるようになります。
Databricks アプリはドメイン*.aws.databricksapps.comを使用します。これらのドメインは、 dbc-<workspace-deployment-id>.cloud.databricks.comに解決される CNAME レコードを使用し、これは地域のエンドポイントに解決されます。
例えば：
$ nslookup natural-language-to-qdrant-1016658646341465.aws.databricksapps.com
natural-language-to-qdrant-1016658646341465.aws.databricksapps.com
canonical name = dbc-35bfa1f1-1292.cloud.databricks.com
dbc-35bfa1f1-1292.cloud.databricks.com
canonical name = oregon.cloud.databricks.com
*.cloud.databricks.comに条件付き転送を使用すると、アプリのドメインは自動的に正しく解決されます。手動 DNS 構成を使用する場合は、 *.aws.databricksapps.com転送するか、対応するレコードを作成する必要があります。
AWS GovCloud: アプリケーションはドメイン*.aws-gov.databricksapps.usを使用し、そのドメインはdbc-<id>.cloud.databricks.usに CNAME されます。*.cloud.databricks.usに条件付き転送を使用すると、アプリのドメインは自動的に正しく解決されます。手動で DNS 設定を使用する場合は、 *.aws-gov.databricksapps.usも転送してください。
$ nslookup myapp-5271208389338040.aws-gov.databricksapps.us
myapp-5271208389338040.aws-gov.databricksapps.us
canonical name = dbc-a1b2c3d4.cloud.databricks.us
dbc-a1b2c3d4.cloud.databricks.us
canonical name = pendleton.cloud.databricks.us
AWS GovCloud DoD: アプリケーションはドメイン*.aws-dod.databricksapps.milを使用し、 dbc-<id>.cloud.databricks.milに CNAME されます。*.cloud.databricks.milに条件付き転送を使用すると、アプリのドメインは自動的に正しく解決されます。手動で DNS 設定を使用する場合は、 *.aws-dod.databricksapps.milも転送してください。
Databricksアプリのネットワークの詳細については、 「Ingress コントロール」を参照してください。
検証
DNSを設定したら、URLがプライベートIPアドレスに正しく解決されることを確認します。
- Use nslookup
- Use dig
- Test workspace access
会社のネットワーク上のマシンから、DNS解決をテストします：
$ nslookup myworkspace.cloud.databricks.com
期待される出力:
myworkspace.cloud.databricks.com canonical name = sydney.privatelink.cloud.databricks.com
Name: sydney.privatelink.cloud.databricks.com
Address: 10.176.10.182
URLは、privatelinkサブドメインを介して、通常は10.x.x.x、172.16.x.x、または192.168.x.xの範囲内のプライベートIPアドレスに解決される必要があります。
より詳細な DNS 情報を得るには、 dig使用することもできます。
$ dig +short myworkspace.cloud.databricks.com
sydney.privatelink.cloud.databricks.com
10.176.10.182
DNS解決を検証した後、ワークスペースまたはアカウントレベルのリソースにアクセスできることをテストしてください：
- 企業ネットワーク上のマシンまたは VPN 経由で接続されたマシンから、Web ブラウザを開きます。
- お客様のURL（カスタムURLまたは非カスタムURL）にアクセスしてください。
- ワークスペースまたはアカウントレベルのリソースにログインしてアクセスできることを確認してください。
ワークスペースにアクセスできない場合:
- VPC エンドポイントで DNS 名の有効化 オプションが有効になっていることを確認します。
- プライベートホストゾーンが正しい VPC に関連付けられていることを確認します。
- 条件付き転送ルールが企業の DNS で正しく設定されていることを確認します。
- Direct Connect または VPN を使用して、企業ネットワークと AWS VPC の間にネットワーク接続が存在することを確認します。
- VPC エンドポイントのセキュリティ グループ ルールで、ポート 443 での受信 TCP トラフィックが許可されていることを確認します。
よくある問題
DNS解決でパブリックIPが返されます: 条件付き転送ルールが正しく機能していないか、クエリがRoute 53に到達していません。DNSサーバーの設定とRoute 53インバウンドリゾルバーエンドポイントを確認してください。
URL が解決されません：プライベートホストゾーンに正しい A レコードがないか、ホストゾーンが適切な VPC に関連付けられていません。Route 53 の設定を確認してください。
DNSが解決した後でワークスペースまたはアカウントレベルのリソースにアクセスできません: ネットワーク接続とセキュリティグループのルールを確認してください。企業のネットワークがポート443でVPCエンドポイントのプライベートIPに到達できることを確認してください。
ベスト プラクティス: クラシック コンピュート プレーンの一貫した DNS 解決 Private Link
クラシック コンピュート プレーン Private Link も構成する場合は、ワークスペース URL と中間 Private Link URL がコンピュート プレーンVPC内の同じVPCエンドポイントに解決されることを確認してください。 コンピュートが開始されると、 Databricksワーカー ノードはワークスペース URL と中間プライベート リンク URL の両方を使用してコントロール プレーンに到達します。 これらの URL が別のVPCエンドポイントに解決される場合、プライベート アクセス設定ポリシーと競合し、コンピュートのエラーが発生する可能性があります。
ワークスペースの解決チェーン内のすべての DNS 名を識別するには、Google Dig のようなツールを使用して、ワークスペース URL でパブリック DNS ルックアップを実行します。チェーンには通常、ワークスペース URL と、形式が dbc-dp-<workspace-id>.cloud.databricks.com である中間プライベート リンク URL が含まれます。
以下のいずれかの方法を使用して、両方が同じ VPC エンドポイントに解決されることを確認してください。
- 中間 Private Link URL の DNS のみを上書きします。ワークスペース URL の明示的な DNS 上書きを構成しないでください。AWS Route 53 のような、DNS チェイニングをサポートする DNS ソリューションを使用します。ワークスペース URL は中間 Private Link URL を介してパブリックに解決されるため、DNS チェイニングがチェーンを傍受し、両方を VPC エンドポイントのプライベート IP に解決します。
- ワークスペースURLのDNSを上書きする：ワークスペースURLが中間プライベートリンクURLと同じプライベートIPに解決されるように設定します。お使いのコンピュートプレーンVPCにパブリックDNS接続がある場合、ワークスペースURLに対する明示的なオーバーライドをすべて削除してください。VPCがプライベートDNSのみを使用している場合は、中間プライベートリンクURLの解決に一致させるために明示的な上書きを追加します。
確認するには、コンピュート プレーンVPC内から次のコマンドを実行します。 どちらのコマンドも同じプライベートIPアドレスを返すはずです。
nslookup <workspace-url>
nslookup dbc-dp-<workspace-id>.cloud.databricks.com
次は何？
- インバウンド (フロントエンド) Private Link を有効にする：Private Linkをまだ設定していない場合は、ワークスペースのインバウンドPrivateLinkを構成するを参照してください。
- クラシック コンピュートプレーン Private Link を有効にする: コンピュートプレーンからコントロールプレーンへの Private Link を構成して、プライベート接続のセットアップを完了します。「Databricks へのクラシック プライベート接続を構成する」を参照してください。
- IPアクセスリスト：どのパブリックIPアドレスがワークスペースにアクセスできるかを制御することで、セキュリティ層を追加します。ワークスペースの IP アクセス リストの構成を参照してください。