プライベートネットワークゲートウェイ
プライベートプレビュー
プライベートネットワークゲートウェイはプライベートプレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
プライベートネットワークゲートウェイはエンタープライズ機能です。プライベートプレビュー期間中は課金されませんが、将来的に Databricks はこれに対して課金を行う予定です。
プライベートネットワークゲートウェイは、単一のマネージドゲートウェイを介して、DatabricksのServerlessコンピュートをVPC内の1つ以上のリソースに接続します。
1つのサブネット、クロスアカウントIAMロール、およびセキュリティグループをDatabricksに提供すると、Serverless環境は、AWS Direct ConnectやVPN経由のオンプレミスシステムなど、VPCに推移的に接続されたネットワークを含め、サブネットが到達可能なリソースと同じリソースに到達できるようになります。
プライベートネットワークゲートウェイは、Private Linkを置き換えるのではなく、補完するものです：
- 特定のクラウド管理リソース(例えばオブジェクトストレージ)への直接かつプライベートな接続には、プライベートLinkのプライベートEndpointルールを使用します。
- プライベートネットワークゲートウェイを使用してVPCまたは接続されたネットワーク内のリソースにアクセスするか、Serverlessのエグレスを独自のファイアウォールまたは専用のエグレスパス経由でルーティングします。
プライベートネットワークゲートウェイを設定するには、 「プライベートネットワークゲートウェイの設定」を参照してください。
概要
プライベート ネットワーク ゲートウェイは、単一のセットアップでいくつかの Serverless 接続ニーズに対応します。
- リソースごとのオンボーディングを必要としない広範な接続性。 リソースごとに個別のプライベート Endpoint を構成することなく、接続された AWS Direct Connect または VPN を介して、VPC 内の多くのリソースやオンプレミス システムに到達できます。
- 独自のセキュリティアプライアンス経由のエグレス。 トラフィックがネットワークから出る前にコンテンツ検査を行うため、Palo Alto やクラウドプロバイダーのファイアウォールサービスなど、独自のファイアウォールまたはネットワークセキュリティアプライアンス経由でServerlessエグレスをルーティングします。
- 安定した識別可能なソース IP アドレス。 独自の IP アドレスセットから Serverless エグレスを送信することで、ダウンストリームシステムがネットワーク層でトラフィックを識別できるようにします。これは、マルチテナント環境における安全な許可リスト登録に役立ちます。
プライベートネットワークゲートウェイを使用して、Serverless コンピュートがインターネットに到達する方法を制御することもできます：
- 独自のセキュリティ アプライアンスを介して、Serverless インターネット アクセスをファイアウォールで保護します。
- 独自の専用 IP アドレス セットからインターネットに到達します。
仕組み
プライベートネットワークゲートウェイを作成すると、Databricks は VPC 内で提供されたサブネットにクロスアカウントネットワークインターフェイスを配置します。Databricks は、そのネットワークインターフェイスをプロビジョニングおよび管理するために作成したクロスアカウント IAM ロールを引き受けます。構成した宛先への Serverless トラフィックは、このインターフェイスを通って VPC に流れ、その後 VPC がルーティングするネットワークへと進みます。
Databricksは、各接続の宛先に一致する最初の経路を用いて、設定済みのネットワークパスに対して優先順にアウトバウンドServerlessトラフィックを評価します。
優先順位 | パス | 適用対象 |
|---|---|---|
1 | Private Endpoint rules (Private Link) | プライベートEndpointルールを持つ特定のクラウド管理リソースへのトラフィック。 |
2 | AWS:Amazon S3およびDynamoDB向けのゲートウェイEndpoint。Azure:サービス Endpoint. | それらのEndpointに一致するトラフィックは、クラウドプロバイダーのバックボーン上に留まり、ゲートウェイによってオーバーライドされることはありません。 |
3 | プライベートネットワークゲートウェイ |
|
4 | default Databricks サーバレス エグレス | その他のすべてのアウトバウンドトラフィック。 |
プライベート ネットワーク ゲートウェイは、既存の Serverless ネットワーキングと次のように連携します。
- 既存の NCC を再利用： プライベートネットワークゲートウェイは、新しいオブジェクトモデルを導入するのではなく、既存の ネットワーク接続構成 (NCC) を再利用します。NCC は、Serverless ネットワーキングを管理するアカウントレベルのオブジェクトです。NCC 内にプライベートネットワークゲートウェイを作成し、その NCC をワークスペースにアタッチすると、それらのワークスペース内のServerless製品が自動的にゲートウェイを使用できるようになります。
- エグレス制御はゲートウェイの宛先を自動的に許可します: プライベート ネットワーク ゲートウェイを
SPECIFIC_DESTINATIONSモードで構成すると、Databricks は Serverless エグレス制御で指定した宛先を自動的に許可します。それらをネットワーク ポリシーに個別に追加する必要はありません。これは、ネットワーク ロード バランサーの Private Link エントリとして追加されたドメインが暗黙的に許可リストに登録される仕組みを反映しています。ただし、プライベート ネットワーク ゲートウェイがALL_TRAFFICモードの場合、ゲートウェイを介して接続するすべての宛先をエグレス ネットワーク ポリシーに明示的に追加する必要があります。詳細については、 Serverless エグレス制御とは何ですか?を参照してください。 - Private Endpoint rules take precedence: 特定のリソースに対してPrivate Endpointルールが存在する場合、
ALL_TRAFFICモードであっても、そのリソースへのトラフィックはプライベートネットワークゲートウェイではなく、常にPrivate Endpointを使用します。
プライベート ネットワーク ゲートウェイは、VPC 内のリソースおよび推移的に接続されたネットワークに接続します。ゲートウェイ VPC Endpoint を介して到達するクラウド マネージド サービスには接続しません。
交通モード
ゲートウェイは、作成時にtraffic_modeで設定される2つのモードのいずれかでトラフィックをルーティングします。
SPECIFIC_DESTINATIONS.destinationsにリストしたDNS名のみをゲートウェイ経由でルーティングします。その他のすべてのトラフィックは、既存のルーティングルールに従います。このモードは、関連のないトラフィックに影響を与えることなくきめ細かな制御が可能であるため、ほとんどのユースケースで推奨されます。ALL_TRAFFIC. Private Linkなどのより具体的なルートに一致するトラフィックを除き、Serverlessコンピュートからのすべてのアウトバウンドトラフィックをゲートウェイ経由でルーティングします。すべてのアウトバウンドトラフィックを独自のファイアウォールまたはセキュリティアプライアンス経由で通過させる必要がある場合は、このモードを使用します。
SPECIFIC_DESTINATIONS モードでは宛先のサフィックスマッチングがサポートされています。たとえば、mydb.contoso.com を指定すると sub.mydb.contoso.com にも一致します。
制限事項
プライベートプレビュー期間中は、次の制限が適用されます。
- ゲートウェイとそれが接続するサブネットは、NCCと同じリージョンにある必要があります。
- プライベートプレビューでは、1 つのアベイラビリティゾーン内のサブネットを正確に 1 つサポートしています。
- ゲートウェイは、アカウント REST API を通じてのみ構成します。UI または Terraform のサポートはありません。
- ゲートウェイは、お客様のVPC内のリソースおよび推移的に接続されたネットワークに接続します。これは、VPCゲートウェイまたはインターフェイスEndpoint経由で到達するAmazon S3などのAWSマネージドサービスには接続しません。
- ゲートウェイは、Serverless Databricks Runtime 製品をサポートしています。
- NCCは最大2つのゲートウェイをサポートします。ゲートウェイは、最大で2つのDNSリゾルバと最大100の宛先をサポートします。