メインコンテンツまでスキップ
に最終更新

VPC 内のリソースへのプライベート接続を構成する

注記

Databricks 、サーバレス ワークロードが顧客リソースに接続するとき、およびパフォーマンス重視のサービスがデータをリージョンを越えてクライアントに送信するときに、ネットワーク コストを請求します。 Databricksのネットワークコストについて理解するを参照してください。

このページでは、 Databricksアカウント コンソール UI を使用して、ネットワーク ロード バランサー (NLB) を介して、サーバーレス コンピュートから仮想プライベート クラウド ( VPC ) 内のリソースへのPrivateLink接続を構成する方法について説明します。 この機能は、同一リージョン内およびリージョン間のNLBへのプライベートリンク接続の両方をサポートします。

VPC 内のリソースへのプライベート接続。

サーバレス コンピュートのプライベート接続を構成すると、次のものが提供されます。

  • 専用のプライベート接続: プライベートエンドポイントは Databricks アカウントにのみ関連付けられているため、アクセスは許可されたワークスペースのみに制限されます。
  • データ流出の軽減策の強化: DatabricksUnity Catalogを搭載した サーバレスは組み込みデータ流出保護を提供しますが、PrivateLink はネットワーク防御のレイヤーを追加します。リソースをプライベートサブネットに配置し、VPC エンドポイントサービスと専用の VPC エンドポイントを介してアクセスを制御することで、不正なデータ移動のリスクを軽減できます。

必要条件​

  • ワークスペースは Enterprise プランです。
  • あなたは Databricks アカウントのアカウント管理者です。
  • サーバレス コンピュートを使用しているワークスペースが少なくとも 1 つあります。 対応地域については、地域レスの利用可能性をご覧ください。
  • 各 Databricks アカウントには、リージョンごとに最大 10 個の NCC を含めることができます。
  • 各リージョンには 30 個のプライベート エンドポイントがあり、必要に応じて 1 から 10 個の NCC に分散できます。
  • 各NCCは、最大50のワークスペースにアタッチできます。
  • VPC内のリソースへのプライベート接続のための各プライベートエンドポイントルールは、最大100個のドメイン名をサポートします。
  • DNSチェイシングとDNSリダイレクトはサポートされていません。すべてのドメイン名は、バックエンドリソースに直接解決される必要があります。
  • [リージョン間接続のみ] VPCエンドポイントサービスは、少なくとも2つのアベイラビリティゾーンに存在する必要があります。
  • [リージョン間のみ] VPCエンドポイントサービスのエンドポイントサービス構成に、コンシューマーのリージョンを追加する必要があります。

AWSでプライベート接続を構成する​

AWSでネットワークロードバランサー (NLB) を作成する​

VNet リソースのフロントエンドとして機能する Network Load Balancer を AWS に作成します。NLB を作成するには、 AWS ドキュメントの指示に従います。内部スキームを使用してターゲット リソースにトラフィックをルーティングするように NLB を構成します。

AWSアカウントでVPC Endpointサービスを作成する​

NLB をプライベートエンドポイントに安全に公開するには、VPC エンドポイントサービスを作成する必要があります。手順については、AWS のドキュメント「 AWS PrivateLink を利用したサービスを作成する」を参照してください。

注記

If your VPC endpoint service is in us-east-1, provision the VPC endpoint in one or more of the following availability zones:

  • use1-az1
  • use1-az2
  • use1-az4
  • use1-az5
  • use1-az6

必ず次の操作を完了してください。

  • [エンドポイントの必須の受け入れ ] で [同意が必要] ボックス がオンになっていることを確認します。

  • Databricks サーバレス stable IAMロールを許可リストに登録します。次の 2 つの方法のいずれかを選択します。

    • デプロイを簡略化するには 、次のようにします。

      • VPC エンドポイントサービスが作成されたら、[ Allow principals ] タブで * を許可します。これにより、Databricks は VPC エンドポイントサービスにリンクする 1 つの VPC エンドポイントを作成できます。

    • 詳細な権限制御の場合 :

      • VPC エンドポイントサービスが作成されたら、[ Allow principals ] タブに移動します。
        • Databricksサーバーレスの安定したIAMロールを許可リストに追加します。 これにより、DatabricksはサービスにリンクするVPCエンドポイントを作成できるようになります。ARNは、コンシューマーリージョン（ワークスペースのリージョン）を使用する必要があります。デプロイメントの種類に応じたフォーマットを使用してください。
          • AWS商用プラン： arn:aws:iam::565502421330:role/private-connectivity-role-<region> （例：us-east-1の場合はarn:aws:iam::565502421330:role/private-connectivity-role-us-east-1 ）
          • AWS GovCloud（民間向け）： arn:aws-us-gov:iam::347038500609:role/private-connectivity-role-us-gov-west-1
          • AWS GovCloud (国防総省): arn:aws-us-gov:iam::347034940029:role/private-connectivity-role-us-gov-west-1

  • [エンドポイント サービス ] に移動し、作成した Network Load Balancer を選択します。そこから、[ セキュリティ] タブ に移動し、[ PrivateLink トラフィックに受信ルールを適用する ] が [オフ] になっていることを確認します。

  • [リージョン間のみ] VPCエンドポイントサービスが少なくとも2つのアベイラビリティゾーンにあることを確認してください。

  • [リージョン間のみ] VPCエンドポイントサービスのエンドポイントサービス構成に、コンシューマーのリージョンを追加します。

注記

If your target resource is an RDS multi-AZ deployment, RDS does not provide stable IPs. In this case, the RDS IP changes each time the failover occurs. To automate NLB target group IP address synchronization, see Access Amazon RDS across VPCs using AWS PrivateLink and Network Load Balancer.

ネットワーク接続構成（NCC）オブジェクトを作成します。​

使用する予定のリージョンと AWS アカウントに NCC が存在する場合は、このステップをスキップできます。

  1. アカウント コンソールで、 [セキュリティ] をクリックします。
  2. [ネットワーク接続構成] タブを選択します。
  3. [ネットワーク構成の追加] をクリックします。
  4. NCC の名前を入力します。
  5. 地域を選択します。これは、ワークスペースのリージョンと一致する必要があります。
  6. [ 追加 ] をクリックします。

AWSインターフェイスVPC Endpointを作成する​

このステップでは、VPC エンドポイントサービスを NCC にリンクします。プライベートエンドポイントを作成するには:

  1. アカウント コンソールで、 [セキュリティ] をクリックします。

  2. [ネットワーク接続構成]を クリックします。

  3. ステップ 3 で作成した NCC オブジェクトを選択します。

  4. 「プライベート・エンドポイント・ルール 」タブで、「 プライベート・エンドポイント・ルールの追加 」をクリックします。

  5. 完全な AWS VPC エンドポイントサービス名を入力します。このサービス名は、プライベート エンドポイントの宛先リソースへの接続を確立します。

  6. 宛先リソースの完全修飾ドメイン名 (FQDN) を指定します。ドメイン名は、接続 URL で参照される宛先リソースに対応している必要があります。宛先ホスト名がこれらのドメイン名のいずれかに一致するDatabricksサーバーレスからのアウトバウンド接続は、指定されたエンドポイント サービスにプライベートにルーティングされるように解決されます。

    • 例： 宛先が RDS インスタンスの場合、FQDN は通常、次の形式に従います。 <RDS instance DB identifier>.<random hash>.<region>.rds.amazonaws.com.

  7. NCC 詳細ページの [プライベート エンドポイント ルール ] タブに戻ります。

  8. 新しい VPC エンドポイントを選択します。

  9. VPC エンドポイント ID をコピーします。

注記

Domains added as PrivateLink entries are implicitly allowlisted in network policies.

お客様のVPCエンドポイントサービスでVPCエンドポイントを承認します。​

Databricks で VPC エンドポイント ルールを作成したら、AWS で接続要求を承認する必要があります。接続を承認するには:

  1. Amazon VPC コンソールを開きます。
  2. ナビゲーションペインで、[ エンドポイントサービス ] を選択します。
  3. エンドポイントサービスを選択します。
  4. [ エンドポイント接続 ] タブで、検索ボックスを使用して手順 5 で返されたエンドポイント ID をフィルター処理します。
  5. [アクション] を選択します。エンドポイント接続要求を受け入れます。
  6. 確認を求められたら、[Accept] (同意する) を選択します。

接続が完全に確立されるまでに数分かかる場合があります。

VPC Endpointのステータスを確認​

VPC エンドポイント接続が正常に確立されたことを確認します。接続を確認するには:

  1. アカウント コンソールの ネットワーク接続構成 ページを更新します。
  2. [ プライベート エンドポイント ルール ] タブで、新しいプライベート エンドポイントの [ステータス ] 列が [ ESTABLISHED] になっていることを確認します。

NCCを1つまたは複数のワークスペースにアタッチします​

この手順では、構成したプライベート接続をワークスペースに関連付けます。ワークスペースが目的の NCC に既にアタッチされている場合は、この手順をスキップします。NCC をワークスペースにアタッチするには:

  1. 左側のナビゲーションで [ワークスペース ] に移動します。
  2. 既存のワークスペースを選択します。
  3. **ネットワーク** カテゴリで、**ネットワーク接続構成**の**ドロップダウン**を選択し、作成したNCCを選択します。
  4. この NCC を適用するすべてのワークスペースに対してこの手順を繰り返します。
注記

NCCs are regional objects that can only be attached to workspaces in the same region.

次のステップ​

  • プライベートエンドポイントルールの管理 : 接続を許可または拒否する特定のルールを定義することで、VPC エンドポイントとの間のネットワークトラフィックを制御します。「プライベートエンドポイントルールの管理」を参照してください。
  • サーバレス コンピュート アクセス用のファイアウォールを構成する ：お客様のサーバレス コンピュート環境に対する送受信ネットワーク接続を制限および保護するために、ファイアウォールを実装します。サーバレス コンピュート ファイアウォールの設定を参照してください。
  • データ転送と接続コストを理解する : データ転送と接続とは、 Databricks環境からのデータの移動を指します。 サーバレス製品のネットワーク料金は、 Databricksサーバレス コンピュートを使用する顧客にのみ適用されます。 Databricksのネットワークコストについて理解するを参照してください。
このページの見出し