メインコンテンツまでスキップ
に最終更新

AWS フロントエンド PrivateLink の DNS を構成する

Databricks ワークスペースのフロントエンド PrivateLink を使用する場合は、ユーザー要求をプライベート ネットワーク経由でルーティングするように DNS を構成します。このページでは、DNS 構成パターンと段階的なセットアップ手順について説明します。AWS PrivateLink の DNS は複数の方法で設定できますが、このページでは、ほとんどのデプロイメントで機能する推奨アプローチがデフォルトで設定されています。

注記

VPC エンドポイントで DNS 名の有効化 オプションを有効にすると、バックエンドの PrivateLink エンドポイントは AWS DNS 解決を自動的に使用します。このページでは、フロントエンドの PrivateLink DNS 構成に焦点を当てています。

アーキテクチャの概要​

次の図は、AWS PrivateLink の 2 つの DNS 解決パターンを示しています。選択するパターンは、エンドポイントの管理と分離に関する組織の要件によって異なります。

単一エンドポイントDNS解決アーキテクチャ

単一エンドポイント アプローチでは、リージョン内のすべてのワークスペースが 1 つの共有 VPC エンドポイントを介してルーティングされるため、DNS の構成と管理が簡素化されます。このページでは、すべての構成手順に対してこの推奨アプローチがデフォルトになっています。

複数エンドポイントの DNS 解決アーキテクチャ

マルチエンドポイント アプローチでは、各ワークスペースに専用の VPC エンドポイントが提供され、複雑さが増す代わりにワークスペース レベルのネットワーク分離が可能になります。

PrivateLinkによるDNS解決​

PrivateLink がない場合、ワークスペース URL は、パブリック AWS Elastic Load Balancer を指すsydney.cloud.databricks.comなどのリージョンホスト名を介してパブリック IP アドレスに解決されます。例えば：

Bash
$ nslookup myworkspace.cloud.databricks.com

myworkspace.cloud.databricks.com    canonical name = sydney.cloud.databricks.com
sydney.cloud.databricks.com         canonical name = public-ingress-xxxxx.elb.ap-southeast-2.amazonaws.com
Name:    public-ingress-xxxxx.elb.ap-southeast-2.amazonaws.com
Address: 3.26.4.13

プライベート アクセス設定オブジェクトをワークスペースにアタッチすると、Databricks は DNS 解決チェーンを更新してprivatelinkサブドメインを含めます。

Bash
$ nslookup myworkspace.cloud.databricks.com

myworkspace.cloud.databricks.com    canonical name = sydney.privatelink.cloud.databricks.com
Name:    sydney.privatelink.cloud.databricks.com
Address: 10.176.10.182

ワークスペース URL はsydney.privatelink.cloud.databricks.comに解決され、VPC エンドポイントのプライベート IP アドレスを指すように構成されます。これにより、他の Databricks サービスに影響を与えずに、 privatelink.cloud.databricks.comドメインのみをオーバーライドできます。

重要

プライベート アクセス設定オブジェクトをワークスペースにアタッチした後は、削除することはできません。別のプライベート アクセス設定オブジェクトにのみ置き換えることができます。この構成は永続的です。

DNS解決​

必要な具体的な DNS レコードは設定方法によって異なりますが、すべての設定でワークスペース URL がフロントエンド VPC エンドポイントのプライベート IP アドレスに解決されます。

ほとんどのデプロイメントでは、リージョンエンドポイントを VPC エンドポイントのプライベート IP に解決するように DNS を構成します。リージョン内のすべてのワークスペースは同じ VPC エンドポイントを共有します。

オンプレミスのDNS構成​

企業の DNS で条件付き転送を構成して、Databricks ドメインクエリを AWS に転送します。

ドメイン

転送先

クラウド.databricks.com

AWS DNSエンドポイント（Route 53インバウンドリゾルバー）

*.aws.databricksapps.com

AWS DNSエンドポイント（Route 53インバウンドリゾルバー）

プライベートホストゾーンの構成​

privatelink.cloud.databricks.comドメインのプライベート ホストゾーンを作成します。

構成

Value

プライベートホストゾーン

プライベートリンククラウドデータブリックス

レコード名

<region>

レコードタイプ

A（別名）

記録的な価値

VPCエンドポイントID

region値は AWS リージョン名ではなく、Databricks リージョン名 (例: sydney 、 virginia 、 oregonです。ワークスペースの正しいリージョン名を見つけるには、「Databricks コントロール プレーンへの受信 IP」 の 「Web アプリケーションを含むコントロール プレーン サービス」 行を参照してください。

注記

フロントエンド PrivateLink を使用する同じリージョン内のすべてのワークスペースは、同じ VPC エンドポイントを共有し、同じリージョン エンドポイントに解決できます。これは、管理を簡素化するために推奨されるアプローチです。

設定オプション​

Databricks ドメインのクエリを Amazon Route 53 に転送するように企業の DNS を設定します。AWS は、手動でのレコード管理なしで、ワークスペース URL をプライベート IP に自動的に解決します。このアプローチでは、リージョン内のすべてのワークスペースに対して単一の VPC エンドポイントを使用します。

条件付き転送の利点​

  • 自動解決 : VPC エンドポイントで DNS 名の有効化 オプションが有効になっている場合、Route 53 はワークスペース URL をプライベート IP に自動的に解決します。
  • 手動更新なし : VPC エンドポイント IP が変更されると、Route 53 は DNS レコードを自動的に更新します。
  • 管理を簡素化 : 単一の構成でリージョン内のすべてのワークスペースを処理します。

前提条件​

始める前に、次のことを確認してください。

  • DNS 名を 有効にするが有効になっているフロントエンドの PrivateLink VPC エンドポイント
  • Direct Connect または VPN を使用した企業ネットワークと AWS 間のネットワーク接続
  • Route 53 リソースを作成し、企業の DNS を変更するための権限

ステップ 1: プライベートホストゾーンを作成する​

Databricks ワークスペース DNS レコード用に Route 53 にプライベート ホストゾーンを作成します。

  1. AWS マネジメントコンソールのRoute 53 ホストゾーンページに移動します。
  2. 「ホストゾーンの作成」を クリックします。
  3. ドメイン名 にはprivatelink.cloud.databricks.comと入力します。
  4. タイプ には、 プライベートホストゾーン を選択します。
  5. 「関連付ける VPC」 セクションで、フロントエンド VPC エンドポイントが配置されている VPC を選択します。これは通常、トランジット VPC です。
  6. 「ホストゾーンの作成」を クリックします。

ステップ 2: DNS A レコードを作成する​

リージョンエンドポイントを VPC エンドポイントのプライベート IP アドレスにマッピングする A レコードを作成します。

  1. Route 53 コンソールで、作成したprivatelink.cloud.databricks.comホストゾーンを選択します。

  2. [レコードの作成] をクリックします。

  3. レコード名 に、Databricks リージョン名を入力します (例: sydney 、 virginia 、 oregon )。

  4. レコード タイプ には、 A - トラフィックを IPv4 アドレスにルーティングするを 選択します。

  5. [値] には、フロントエンド VPC エンドポイントのプライベート IP アドレスを入力します。

    プライベート IP を見つけるには:

    1. VPC エンドポイントページに移動します。
    2. フロントエンド VPC エンドポイントを選択します。
    3. [サブネット] タブで、 IPv4 アドレスをメモします。

  6. [レコードの作成] をクリックします。

ステップ 3: Route 53 インバウンドリゾルバーエンドポイントを作成する​

企業の DNS がクエリを Route 53 に転送できるように、インバウンド リゾルバ エンドポイントを作成します。

  1. Route 53 Resolverページに移動します。

  2. 左側のナビゲーションで、 [受信エンドポイント] をクリックします。

  3. [受信エンドポイントの作成]を クリックします。

  4. エンドポイントの名前（ databricks-privatelink-resolverなど）を指定します。

  5. VPC を選択します。

  6. [セキュリティ グループ] では、オンプレミス ネットワークからのポート 53 での受信 TCP および UDP トラフィックを許可するセキュリティ グループを選択または作成します。

  7. IP アドレス セクションでは、次の操作を行います。

    • 高可用性を実現するには、異なるアベイラビリティーゾーンにある少なくとも 2 つのサブネットを選択します。
    • 各サブネットに対して、AWS に IP アドレスを自動的に割り当てるか、サブネット範囲内の特定の IP アドレスを選択します。

  8. [受信エンドポイントの作成]を クリックします。

  9. 次のステップで使用するために、受信リゾルバー エンドポイントの IP アドレスをメモします。

ステップ 4: 企業 DNS で条件付き転送を構成する​

企業の DNS サーバーを構成して、Databricks ドメインのクエリを Route 53 受信リゾルバー エンドポイントに転送します。

正確なステップは、BIND、 Windows DNS、Infoblox などの DNS ソフトウェアによって異なります。 特定の構成ステップについては、DNS サーバーのドキュメントを参照してください。

次のドメインに対して条件付き転送を構成します。

  • *.cloud.databricks.com - ワークスペース URL 解決に必要
  • *.aws.databricksapps.com - Databricksアプリを使用する場合は必須

これらのドメインを Route 53 インバウンド リゾルバ エンドポイントの IP アドレスに転送します。

検証​

構成が完了したら、企業ネットワークから DNS 解決をテストします。

Bash
$ nslookup myworkspace.cloud.databricks.com

myworkspace.cloud.databricks.com    canonical name = sydney.privatelink.cloud.databricks.com
Name:    sydney.privatelink.cloud.databricks.com
Address: 10.176.10.182

ワークスペース URL は、VPC エンドポイントのプライベート IP アドレスに解決される必要があります。パブリック IP アドレスが表示される場合は、条件付き転送ルールと Route 53 の構成を確認してください。

特別な展開シナリオ​

同じアカウント内で、一部のワークスペースではフロントエンド PrivateLink を使用し、他のワークスペースではパブリック エンドポイントを使用できます。DNS 解決により、このシナリオは自動的に処理されます。

プライベート アクセス設定オブジェクトのないワークスペースは、 <region>.cloud.databricks.comを使用してパブリック IP アドレスに解決されます。プライベート アクセス設定オブジェクトを持つワークスペースは<region>.privatelink.cloud.databricks.comに解決され、プライベート IP を使用します。

混合展開では追加の DNS 構成は必要ありません。

検証​

DNS を構成した後、ワークスペース URL がプライベート IP アドレスに正しく解決されることを確認します。

企業ネットワーク上のマシンから、ワークスペースの DNS 解決をテストします。

Bash
$ nslookup myworkspace.cloud.databricks.com

期待される出力:

myworkspace.cloud.databricks.com    canonical name = sydney.privatelink.cloud.databricks.com
Name:    sydney.privatelink.cloud.databricks.com
Address: 10.176.10.182

ワークスペース URL は、 privatelinkサブドメインを介してプライベート IP アドレス (通常は10.x.x.x 、 172.16.x.x 、または192.168.x.x範囲) に解決される必要があります。

よくある問題​

DNS 解決でパブリック IP が返される : 条件付き転送ルールが正しく機能していないか、クエリが Route 53 に到達していません。DNS サーバー構成と Route 53 インバウンド リゾルバ エンドポイントを確認します。

ワークスペース URL が解決されません : プライベート ホストゾーンに正しい A レコードがないか、ホストゾーンが適切な VPC に関連付けられていない可能性があります。Route 53 の設定を確認します。

DNS 解決後にワークスペースにアクセスできません : ネットワーク接続とセキュリティ グループ ルールを確認してください。企業ネットワークがポート 443 で VPC エンドポイントのプライベート IP にアクセスできることを確認します。

次は何？​