メインコンテンツまでスキップ
に最終更新

VPC 内のリソースへのプライベート接続を構成する

注記

現在、Serverless機能に対するネットワーク料金は発生しません。将来のリリースで、料金が発生する可能性があります。Databricksは、ネットワーク価格の変更について事前に通知します。

Databricksのネットワークコストを理解するを参照してください。

このページでは、Databricks アカウントコンソールを使用して、顧客管理の Google Cloud サービスアタッチメント経由で、サーバーレスコンピュートから VPC 内のリソースへの Private Service Connect 接続を構成する方法を説明します。

サーバレス コンピュートのプライベート接続を構成すると、次のものが提供されます。

  • 専用のプライベート接続: プライベートEndpointはDatabricksアカウントに排他的に紐付けられているため、VPCリソースへのアクセスは許可されたワークスペースのみに制限されます。これにより、安全な専用通信チャンネルが作成されます。
  • データ流出対策の強化: Unity Catalog を備えた Databricks Serverless は、組み込みのデータ流出防止機能を提供します。Private Service Connect は、ネットワーク層の防御を追加します。VPCリソースをプライベートサブネットに配置し、専用のプライベートEndpointを通じてアクセスを制御することで、管理外のネットワークへの不正なデータ移動のリスクを低減します。

要件​

  • アカウントとワークスペースがエンタープライズプランである必要があります。
  • あなたは Databricks アカウントのアカウント管理者です。
  • サーバレス コンピュートを使用しているワークスペースが少なくとも 1 つあります。 対応地域については、地域レスの利用可能性をご覧ください。
  • お客様の Google Cloud サービスアタッチメントは、ネットワーク接続構成（NCC）と同じリージョンにある、VPC 内の内部ロードバランサーによってフロントエンド処理されます。
  • 各 Databricks アカウントには、リージョンごとに最大 10 個の NCC を含めることができます。
  • 各リージョンには、1つ以上の NCC に分散して、最大 10 個のプライベート Endpoint を配置できます。
  • 各NCCは、最大50のワークスペースにアタッチできます。
  • 各プライベートEndpointルールは最大100個のドメイン名をサポートします。
  • Serverless コンピュートからの Private Service Connect は、NCC に接続されたワークスペース内のすべての Serverless クラスターに適用されます。
ヒント

同じリージョンにあり、同じビジネスユニットまたは環境に属するワークスペース間で NCC を共有し、同じプライベート接続構成を再利用できるようにします。

Google Cloudでのプライベート接続の構成​

リソース用のGoogle Cloudサービスアタッチメントを作成します​

内部ロードバランサーを介してリソース（データベース、内部サービス、アプリケーション）を公開するサービスアタッチメントをVPC内に作成します。

  1. リソースをターゲットとするリージョナル内部TCPロードバランサーを作成します。手順については、Google Cloud内部ロードバランサーのドキュメントを参照してください。
  2. ロードバランサをサービスアタッチメントとして公開します。手順については、Google Cloudドキュメントの「サービスを公開する」を参照してください。
  3. projects/<project-id>/regions/<region>/serviceAttachments/<name> 形式の完全なサービス アタッチメント URI に注意してください。プライベートEndpointルールを作成する際に、このURIが必要です。

サービスアタッチメントは、次のステップで作成するNCCと同じリージョンにある必要があります。

NCC を作成するか、既存の NCC を使用する​

NCCは、ワークスペースのプライベート接続設定を定義します。リージョナルNCCが既に存在する場合は、このステップをスキップします。

  1. アカウント管理者として、アカウントコンソールに移動します。
  2. サイドバーで、 セキュリティ をクリックします。
  3. Click the Networking tab.
  4. ネットワーク接続構成 で、 ネットワーク接続構成を追加 をクリックします。
  5. NCC の名前を入力します。
  6. リージョンを選択してください。これは、ワークスペースのリージョンおよびサービスアタッチメントのリージョンと一致している必要があります。
  7. [ 追加 ] をクリックします。

プライベートEndpointルールを作成する​

このステップでは、サービスアタッチメントに接続するDatabricks管理下のPrivate Service Connect Endpointを作成します。

  1. アカウントコンソールで、[ セキュリティ ] をクリックし、[ ネットワーク ] をクリックします。
  2. 前のステップで作成した NCC を選択します。
  3. Private Endpoint rules tabで、 Private Endpoint ruleを追加 をクリックします。
  4. Service attachment フィールドに、作成したサービス添付ファイルからの完全なURIを貼り付けます。
  5. ドメイン名 フィールドに、Serverless コンピュートがリソースに到達するために使用するドメイン名を追加します。これらのドメインは、バックエンドのリソースに直接解決される必要があります。プライベート使用の TLD（.internal、.localhost、または .test など）を使用するドメインはサポートされていません。
  6. [ 追加 ] をクリックします。
  7. 新しいルールの Status 列が CREATING であることを確認します。エンドポイントがプロビジョニングされたら、ページを更新し、ステータスが PENDING に変わることを確認します。
注記

Domains added to private endpoint rules are implicitly allowlisted in network policies.

PSC Endpoint URIを取得する​

Endpointがプロビジョニングされるまで数分待機し、ルールから PSC Endpoint URI を取得します。次のステップで Google Cloud 上の Endpoint を承認するには、この URI が必要です。

[ Private Endpoint rules tab] を更新します。ルールにエンドポイント名が表示されたら、それをクリックして [ PSC Endpoint URI ] フィールドを表示します。URI の形式は https://www.googleapis.com/compute/v1/projects/<databricks-project>/regions/<region>/forwardingRules/<id> です。

Google Cloud 上の Endpoint を承認する​

このステップはDatabricksではなく、お客様のGoogle Cloudアカウントで行われます。前のステップで取得したPSC Endpoint URIを、サービスアタッチメントのコンシューマー許可リストに追加します。

  1. Google Cloudコンソールで、Private Service Connectに移動します。
  2. 前に作成したサービスアタッチメントを選択します。
  3. Consumers セクションで、PSC Endpoint URI に一致する保留中の接続を承認します。

Confirm the Endpoint status​

Databricks側から接続を検証してください。

  1. アカウントコンソールの Private Endpoint rules tabを更新します。
  2. ルールの Status カラムが ESTABLISHED であることを確認します。

これは通常、Google Cloud の承認から数分以内に発生します。ステータスが更新されない場合は、ページを更新してください。

NCCを1つまたは複数のワークスペースにアタッチします​

ワークスペースが既に NCC にアタッチされている場合は、このステップをスキップしてください。

  1. アカウントコンソールで、左側のナビゲーションにある [ ワークスペース ] をクリックします。
  2. ワークスペースを選択します。
  3. [ワークスペースを更新] をクリックします。
  4. ネットワーク接続構成 で、ドロップダウンから NCC を選択します。
  5. この NCC を使用する必要がある各ワークスペースに対して繰り返します。
注記

NCCs are regional objects. You can only attach an NCC to workspaces in the same region.

接続の検証​

Serverless コンピュートの再起動後、プライベート Endpoint を介してリソースに到達できることをテストします。最も簡単な確認方法は、ノートブックからロードバランサーのポートへの TCP 接続を開くことです。

NCCアタッチされたワークスペース内のServerlessクラスターにアタッチされたノートブックで、以下を実行します：

Bash
%sh nc -vz <domain-name> <port>

たとえば、MySQL ロードバランサーの場合は nc -vz staging-database.example.com 3306 です。接続が成功すると、プライベートEndpointがトラフィックを VPC リソースにルーティングしていることが確認されます。

制限事項​

  • Google CloudのプライベートEndpointルールは、Databricks Terraformプロバイダーでは利用できません。Terraformを使用してNCCとワークスペースバインディングを作成できますが、プライベートEndpointルールはアカウントコンソールで作成する必要があります。
  • プライベート使用の TLD（.internal、.localhost、.test）を持つドメイン名はサポートされていません。

その他のリソース​

このページの見出し