Gerenciar encaminhamento de porta para serverless compute

O encaminhamento de porta para o compute serverless permite que os usuários alcancem os serviços que estão sendo executados no compute serverless por meio de uma URL no seu workspace. O túnel SSH usa o encaminhamento de porta para conectar um IDE local ou terminal ao compute serverless.

Isso inclui compute de GPU serverless.

O redirecionamento de portas para compute Serverless está ativado por default, exceto em Workspace com o perfil de segurança compliance habilitado, onde está desativado por default. Um administrador account pode desativá-lo para todos os Workspace na account. Caso contrário, cada administrador de workspace decide para seu próprio workspace.

atenção

Essa configuração é um controle de política, não um limite de segurança. Se o Databricks não conseguir ler a configuração, as conexões serão permitidas. Para outras limitações, consulte Limitações.

Configure o encaminhamento de porta para uma account

Para usar o túnel SSH com serverless compute, um administrador account pode configurar o encaminhamento de porta da seguinte maneira:

1. Faça log in no console da account.
2. Clique em Configurações .
3. Clique na guia Ativação de recursos .
4. Selecione se o Encaminhamento de porta para compute serverless deve estar ligado ou desligado.

Quando ativado, os administradores do workspace também podem ativar ou desativar o encaminhamento de porta no nível do workspace. Quando desativado, o encaminhamento de porta fica desligado em todos os Workspace e não pode ser alterado.

Configure o encaminhamento de porta para um workspace

A menos que um administrador account tenha desativado o encaminhamento de porta, os administradores do workspace podem ativá-lo ou desativá-lo para seu próprio workspace. Em um workspace com o perfil de segurança compliance, essa é a única maneira de ativá-lo.

1. Vá para a página de configurações.
2. Clique na aba Compute .
3. Clique na alternância Encaminhamento de porta para compute serverless em Serverless interativo .

nota

Depois de alterar essa configuração no console da account ou nas configurações do workspace, as novas conexões geralmente seguem a alteração dentro de alguns minutos, mas pode demorar mais. Atualizar seu navegador não faz com que ele entre em vigor mais rapidamente, e as conexões que já estão abertas não são fechadas.

O que muda quando o encaminhamento de porta está desativado

Quando o encaminhamento de porta para o compute serverless está desativado, o Databricks recusa novas conexões com o compute serverless em portas encaminhadas. Os usuários que tentam se conectar recebem um erro FEATURE_DISABLED que diz que um administrador desativou o encaminhamento de porta para o compute serverless para o workspace.

O seguinte para de funcionar no compute serverless:

• O túnel SSH, incluindo databricks ssh connect e sessões do Visual Studio Code ou Cursor Remote-SSH.
• Qualquer serviço que um usuário comece em compute Serverless e abra por meio de um URL encaminhado, como um aplicativo Streamlit, Gradio ou Flask, ou um servidor Jupyter.

Os seguintes continuam funcionando:

• O terminal web, a Spark UI, a IU de métricas de cluster, o painel Ray e o TensorBoard.
• Notebooks, SQL, jobs, Databricks Connect e a CLI do Databricks. Eles não usam encaminhamento de porta.
• Todas as conexões com o compute clássico.

As conexões que já estão abertas permanecerão abertas até serem fechadas.

Gerenciar acesso de túnel SSH ao compute clássico

Esta configuração não se aplica ao compute clássico. Com o compute clássico, um utilizador pode ligar-se ao túnel SSH apenas utilizando o compute dedicado de utilizador único que lhe está atribuído, e apenas se tiver permissões CAN ATTACH TO ou superiores.

Para evitar que os usuários se conectem ao compute clássico usando o túnel SSH, limite quais usuários têm compute dedicado atribuído a eles:

• Restrinja o acesso à política de Personal Compute, que todos os usuários podem usar por default, e a outras políticas de compute que permitem compute dedicada. Consulte Gerenciando o acesso à política de Personal compute.
• Conceda o direito de Permitir criação irrestrita de cluster apenas aos usuários que precisam dele. Consulte Direitos de compute.
• Não atribua compute dedicado a usuários que não devem usar o túnel SSH.

Limitações

• Se o Databricks não conseguir ler a configuração, ele permitirá a conexão.
• As portas que o terminal da web, o Spark UI, a UI de métricas de cluster, o dashboard do Ray e o TensorBoard usam permanecem acessíveis independentemente de qual serviço está escutando neles. Um usuário que pode fazer execução de código em compute Serverless pode começar seu próprio serviço em uma dessas portas.
• Essa configuração não se aplica ao compute clássico nem ao terminal da Web. Para controlar o acesso por túnel SSH ao compute clássico, consulte Gerenciar acesso por túnel SSH ao compute clássico. Para controlar o terminal da Web, consulte Habilitar o terminal da Web.