サーバレスコンピュートアクセス用のファイアウォールを設定する

プレビュー

この機能はパブリックプレビュー段階です。このプレビューに参加するには、Databricks アカウントチームにお問い合わせください。

この記事では、Databricks アカウントコンソール UI を使用してサーバレスコンピュート用のファイアウォールを構成する方法について説明します。ネットワーク接続構成 APIを使用することもできます。ファイアウォールの有効化は、Amazon S3 または Amazon DynamoDB ではサポートされていません。

注：

2024 年 10 月 7 日より、 Databricks は、サーバレスコンピュートリソースが外部リソースに接続することで発生するネットワーク費用を顧客に請求します。今後数か月で、コンピュートタイプに基づく請求に徐々に移行します。これにより、最初は請求額が安くなる可能性があります。課金の詳細については、「 Databricks 価格」を参照してください。

サーバレスコンピュートのファイアウォール有効化の概要

サーバーレスのネットワーク接続は、ネットワーク接続構成 (NCC) によって管理されます。アカウント管理者はアカウントコンソールで NCC を作成し、NCC を 1 つ以上のワークスペースに接続できます。

NCC には IP のリストが含まれています。 NCC がワークスペースに接続されている場合、そのワークスペースのサーバレスコンピュートは、これらの IP アドレスの 1 つを使用してリソースに接続します。リソースファイアウォール上でこれらのネットワークを許可リストに登録できます。

NCC ファイアウォールの有効化は、サーバーレスSQLウェアハウス、ジョブ、ノートブック、 Delta Live Tablesパイプライン、およびモデルサービング CPU エンドポイントからサポートされています。

NCC の詳細については、「ネットワーク接続構成 (NCC) とは何ですか?」を参照してください。。

要件

ワークスペースは、 Premium プラン以上である必要があります。
Databricksアカウント管理者である必要があります。
各 NCC は最大 50 のワークスペースに接続できます。

各 Databricks アカウントは、サポートされているリージョンごとに最大 10 個の NCC を持つことができます。サポートされているリージョンのリストについては、「Databricks のクラウドとリージョン」を参照してください。
ターゲットリソースはパブリックにアクセスできる必要があります。

ステップ 1: ネットワーク接続構成を作成し、安定した IP をコピーする

Databricks では、同じビジネスユニット内のワークスペース間および同じリージョンを共有するワークスペース間で NCC を共有することをお勧めします。

アカウント管理者として、アカウントコンソールに移動します。
サイドバーで、 「クラウドリソース」をクリックします。
[ネットワーク]をクリックします。
[ Network Connectivity Configuration] をクリックします。
[ Add Network Connectivity Configuration] をクリックします。
NCC の名前を入力します。
地域を選択します。これはワークスペースのリージョンと一致する必要があります。
「追加」をクリックします。
[デフォルトルール]タブをクリックします。
[安定した IP] で [すべての IP をコピー] をクリックし、IP のリストを保存します。

ステップ 2: NCC をワークスペースに接続する

NCC は、NCC と同じリージョン内の最大 50 のワークスペースにアタッチできます。

API を使用して NCC をワークスペースに接続するには、「アカウントワークスペース API」を参照してください。

アカウントコンソールのサイドバーで、 [ワークスペース]をクリックします。
ワークスペースの名前をクリックします。
[ワークスペースを更新]をクリックします。
「ネットワーク接続構成」フィールドで、NCC を選択します。表示されない場合は、ワークスペースと NCC の両方に同じリージョンを選択していることを確認してください。
[更新]をクリックします。
変更が有効になるまで 10 分間待ちます。
ワークスペースで実行中のサーバレスコンピュートリソースを再起動します。

ステップ 3: リソースアクセスルールを更新して IP をホワイトリストに登録する

安定した IP をリソースアクセスルールに追加します。詳細については、AWS ドキュメントの「AWS グローバル条件コンテキストキー」を参照してください。

ストレージファイアウォールを作成すると、従来のコンピュートプレーンリソースからリソースへの接続にも影響します。また、従来のコンピュートリソースから接続するための IP を許可リストに追加するように、リソースアクセスルールを更新する必要があります。

NCC ファイアウォールの有効化は、Amazon S3 または Amazon DynamoDB ではサポートされていません。 AmazonS3ワークスペースと同じリージョンにあるバケットを読み書きする場合は、ゲートウェイエンドポイントを使用してS3 AWSに直接アクセスします。これは、serverlessSQL コンピュートがSQL AWS内のワークスペースストレージバケットと、同じリージョン内の他のS3データソースに対して読み取りと書き込みを行う場合に適用されます。