メインコンテンツまでスキップ
に最終更新

クロスワークスペースアクセス

クロスワークスペースアクセスは、Databricksワークスペース間のServerlessネットワークトラフィックを制御します。アカウント管理者はこれを使用して、どのワークスペースが特定のワークスペースにアクセスできるか、またワークスペースのServerlessワークロードがどのワークスペースにトラフィックを送信できるかを決定します。これにより、他のすべてのワークスペースを分離したまま、データやサービスを共有する必要があるワークスペースを接続できます。

備考

プレビュー

クロスワークスペースアクセスはベータ版です。

ワークスペースに割り当てられたネットワークポリシーで、クロスワークスペースアクセスを構成します。各ポリシーは、双方向のトラフィックを制御します：

2つのワークスペース間のトラフィックは、両方のポリシーが一致する場合にのみ流れます。リクエストは、ソースワークスペースのエグレスルールが宛先を許可し、かつ宛先ワークスペースのイングレスルールがソースを許可している場合にのみ許可されます。通信が必要なワークスペースのペアについては、両側を設定してください。

要件​

  • アカウント管理者である必要があります。

  • DatabricksアカウントとワークスペースがEnterprise価格プランである必要があります。

クロスワークスペースアクセスの仕組み​

クロスワークスペースアクセスは、コンテキストベースのイングレス制御およびServerlessエグレス制御と同じネットワークポリシーを使用します。クロスワークスペースルールでは、各ワークスペースを数値のワークスペースIDで識別します：

  • イングレス 側では、クロスワークスペースルールは追加のネットワークソースとして機能します。これらは、コンテキストベースのイングレスポリシー上の他のネットワークソースと同じID、および許可/拒否ルールを使用します。ネットワークソースを参照してください。
  • エグレス 側では、ワークロードがアクセスを許可される宛先ワークスペースをリスト化します。エグレス側は許可リストのみとなります。

同一ワークスペース内のトラフィックは常に許可されており、これらのルールの影響を受けません。ソースワークスペースと送信先ワークスペースは、同一のDatabricksアカウントにあっても、異なるDatabricksアカウントにあっても構いません。

制限事項​

  • ワークスペース間のアクセスは、Serverlessワークロードにのみ適用されます。これはClassic コンピュートのトラフィックを管理しません。
  • クロスクラウドアクセスはサポートされていません。
  • クロスリージョンかつクロスワークスペースの Lakebase アクセスはサポートされていません。

クロスワークスペースのイングレスアクセスを構成する​

ワークスペース間のイングレスアクセスは、どのソースワークスペースが Serverless トラフィック経由でワークスペースに到達できるかを制御します。ワークスペースのコンテキストベースのイングレスポリシーで構成します。コンテキストベースのイングレスの概要については、コンテキストベースのイングレス制御を参照してください。

ネットワークポリシーの 「イングレス」 tabにある 「互換モード」 チェックボックスで、そのポリシーがクロスワークスペースのイングレスを管理するかどうかを決定します。ポリシーはdefaultで 「互換モード」 になっています：

  • 「 互換性モード 」が選択されている場合、このポリシーはクロスワークスペースのイングレスを管理せず、ワークスペースの現在の動作を維持します。既存のネットワーク制御が適用されます。
  • 互換性モード のチェックを外すと、ポリシーによってクロスワークスペースアクセスモード、および許可・拒否ルールエディターが表示されます。

アカウントコンソールでクロスワークスペースのイングレスアクセスを構成するには：

  1. アカウントコンソールで、 セキュリティ をクリックします。

  2. 「 Networking tab」をクリックし、編集するネットワークポリシーを開きます。

  3. Ingress tabを選択します。

  4. [互換モード] チェックボックスをオフにします。

  5. クロスワークスペースアクセスモードを選択します：

    • 「任意のアカウント内のすべてのServerlessソースワークスペースからのアクセスを許可する」 (FULL_ACCESS): 任意のServerlessソースワークスペースから、このワークスペースにアクセスできます。
    • 特定のソースワークスペースへのアクセスを制限する (RESTRICTED_ACCESS): defaultではアクセスは拒否されます。リクエストは、許可ルールに一致する場合にのみ許可され、拒否ルールに一致する場合は拒否されます。

  6. 特定のソースワークスペースへのアクセスを制限する には、選択したワークスペースIDのリストに一致する許可ルールまたは拒否ルールを追加します。別のアカウントのソースワークスペースを参照するには、その数値ワークスペースIDを貼り付けて追加してください。

  7. 保存 をクリックします。

クロスワークスペースのエグレスアクセスを構成する​

ワークスペース間のエグレスアクセスは、Serverlessワークロードがトラフィックを送信できるDatabricksワークスペースを制御します。ワークスペースのServerlessエグレスネットワークポリシーで構成します。For an overview of Serverless egress control, see What is Serverless egress control?.

エグレス側は許可リストとして機能します。ワークロードが到達可能な宛先ワークスペースをリストアップします。ポリシーによってアクセスが制限されている間、その他のすべてのDatabricksワークスペースはブロックされたままになります。Databricksの宛先に対するエグレス拒否ルールはありません。

許可された宛先はネットワークポリシーのエグレスルールの一部であるため、ポリシーの他のアウトバウンドアクセスを管理するのと同じ ネットワークアクセス ポリシー エディターで構成します。別のアカウントのワークスペースを参照するには、その数値のワークスペースIDを使用します。

アカウントコンソールでワークスペース間の送信先を許可するには：

ネットワークポリシーを開く​

  1. アカウントコンソールで、 セキュリティ をクリックします。
  2. 「 Networking tab」をクリックし、編集するネットワークポリシーを開きます。
  3. Egress tabを選択します。

エグレスアクセスを制限する​

ネットワークアクセス で、 特定の宛先へのアクセス制限 を選択します。 許可されたDatabricksワークスペースの送信先 セクションは、アクセスが制限されている場合にのみ表示されます。If you select すべての宛先へのアクセスを許可する , Serverless workloads can reach any destination and cross-ワークスペース rules do not apply.

送信先ワークスペースを追加します​

  1. 許可されたDatabricksワークスペースの送信先 セクションで、 ワークスペースを追加 をクリックします。
  2. ワークスペースの送信先を追加 ダイアログで、 ワークスペース ピッカーを使用して、許可するワークスペースを選択します。別のアカウントのワークスペースを参照するには、その数値のワークスペースIDを貼り付けて追加してください。
  3. [ 追加 ] をクリックします。

追加したワークスペースは、 ワークスペースID 順にリストされたテーブルに表示されます。送信先を削除するには、その行の削除アクションを使用してください。

ポリシーを保存​

ポリシー強制モードを設定し、ポリシーを保存します。ドライランモードでは、ポリシー違反はLogsされますがブロックはされません。これにより、ポリシーを強制する前に、必要なすべての送信先が許可されていることを確認できます。

ネットワークポリシー REST API を使用して、許可された Databricks 送信先を構成することもできます。Serverlessエグレス制御のためのネットワークポリシーの管理を参照してください。

次のステップ​

このページの見出し