Konfigurace privátního Gitu pro Databricks bez serveru

Poznámka:

Serverless Privátní Git Databricks je ve verzi Public Preview. Náklady na výpočetní prostředky a sítě se vztahují, když se výpočetní prostředky bez serveru připojují k externím prostředkům. Podrobnosti o fakturaci najdete v tématu Vysvětlení nákladů na sítě Databricks .

Bezserverový privátní Git Databricks umožňuje připojit pracovní prostor Databricks k privátnímu serveru Git pomocí bezserverového výpočetního prostředí a Azure Private Linku. Server Git je soukromý, pokud k němu uživatelé internetu nemají přístup.

Následující diagram znázorňuje celkovou systémovou architekturu:

Proč používat bezserverový privátní Git?

V porovnání s proxy serverem Git nabízí bezserverový privátní Git následující výhody:

• Bezserverový privátní Git získává bezserverové výpočetní prostředky pouze v případě, že obdrží požadavek Gitu, a pokud se nepoužívá, může být neaktivní. Proxy Git naproti tomu vyžaduje, aby byl proxy cluster aktivní, když uživatel odešle požadavek Gitu.
• Bezserverový privátní Git používá Azure Private Link k zabezpečenému připojení k privátní instanci Gitu.

Požadavky

• Povolte výpočetní prostředky bez serveru pro pracovní prostor.
• Umístěte privátní server Git do stejné virtuální sítě Azure jako Load Balancer úrovně Standard.
• Ujistěte se, že má privátní server Git podepsaný certifikát a platný plně kvalifikovaný název domény HTTPS (FQDN).
• Nakonfigurujte virtuální síť se standardem Load Balancer (SLB) pro službu Private Link.

Nastavení bezserverového privátního Gitu

1. Postupujte podle pokynů ke konfiguraci privátního připojení k prostředkům ve vaší virtuální síti. Toto vám umožní vytvořit připojení Azure Private Link ze Serverless k backendům ve vaší síti za SLB.
2. Vytvořte konfiguraci síťového připojení (NCC) pro konfiguraci výchozího přenosu dat do standardního nástroje pro vyrovnávání zatížení.
   • Pro privátní Git můžete nakonfigurovat jenom jednu službu NCC pro každý pracovní prostor. Pokud se pracovní prostor připojí k několika privátním serverům Git, musí všechny používat stejnou NCC.
   • Informace o omezeních NCC, jako jsou místní limity a limity příloh pracovního prostoru, najdete v tématu Co je konfigurace připojení k síti (NCC)?.

3. Získejte token rozhraní API účtu pomocí služebního principálu s přístupem na úrovni účtu.

curl --location 'https://accounts.azuredatabricks.net/oidc/accounts/{accountid}/v1/token' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'client_id=SP_CLIENT_ID_HERE' \
  --data-urlencode 'grant_type=client_credentials' \
  --data-urlencode 'scope=2ff814a6-3304-4ab8-85cb-cd0e6f879c1d/.default' \
  --data-urlencode 'client_secret=SP_CLIENT_SECRET_HERE'

Odpověď obsahuje přístupový token:

{ "access_token": "...", "scope": "all-apis", "token_type": "Bearer", "expires_in": 3600 }

Alternativně můžete použít přístupový token Microsoft Entra ID:

BEARER_TOKEN=$(az account get-access-token --resource \
  2ff814a6-3304-4ab8-85cb-cd0e6f879c1d --query "accessToken" -o tsv)

4. Přidejte pravidlo privátního koncového bodu pro definování logiky DNS pomocí rozhraní API.

V příkladu zadejte následující:

• ID účtu
• NCC ID
• OAuth token účtu
• ID identifikátoru služby Private Link
• Plně kvalifikovaný název domény serveru Git v domain_name seznamu

curl --location 'https://accounts.azuredatabricks.net/api/2.0/accounts/{accountid}/network-connectivity-configs/{nccid}/private-endpoint-rules' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer BEARER_TOKEN' \
  --data '{
    "resource_id": "/subscriptions/3f262328b/resourceGroups/rg/providers/Microsoft.Network/privateLinkServices/example",
    "domain_names": ["git-server.contoso.com"]
  }'

Odpověď obsahuje podrobnosti o pravidle privátního koncového bodu:

{
  "rule_id": "843ba2e5-bbbb-bbbb-bbbb-7f0d55555215",
  "network_connectivity_config_id": "5a9bdc5f-c43d-41cd-9a6d-1b653e20c7d2",
  "resource_id": "/subscriptions/3f262328b/resourceGroups/rg/providers/Microsoft.Network/privateLinkServices/example",
  "endpoint_name": "databricks-5a9bdc5f-c43d-41cd-9a6d-1b653e20c7d2-pe-99cbbac3",
  "connection_state": "PENDING",
  "creation_time": 1740000647980,
  "updated_time": 1740000647949,
  "domain_names": ["git-server.contoso.com"]
}

5. Po nastavení pravidel privátního koncového bodu NCC počkejte několik minut. NCC zobrazí pravidlo privátního koncového bodu se stavem čekajícího na vyřízení.
6. Schválení čekajícího připojení privátního koncového bodu ve službě Private Link, kterou jste nakonfigurovali v kroku 1.

7. Vraťte se do služby NCC v konzole účtu a zkontrolujte, jestli byla vytvořena.
8. Proveďte v pracovním prostoru operaci Gitu. Indikátor uživatelského rozhraní potvrzuje, že je aktivní bezserverový privátní Git. Zobrazení indikátoru může trvat několik sekund, než se spustí bezserverové výpočetní prostředky.

Jakmile ho nakonfigurujete, bude mít bezserverový privátní Git přednost před jinými formami privátního připojení Gitu, které jste už zřídili, jako je klasický proxy Git. Pokud máte spuštěný klasický proxy cluster Git, ukončete ho po nastavení bezserverového privátního Gitu.

Další konfigurace

Přizpůsobte operace Gitu pomocí konfiguračního souboru.

1. Vytvořte konfigurační soubor podle níže uvedené specifikace na /Workspace/.git_settings/config.json.
2. Udělte všem uživatelům Gitu oprávnění k zobrazení konfiguračního souboru a všem souborům certifikátu certifikační autority, na které odkazuje.
3. Ověřte připojení ke vzdálenému Gitu provedením operace Gitu, například klonováním složky Git.
4. Než systém použije změny konfiguračního souboru, může to trvat až jednu minutu.

Struktura konfiguračních souborů nejvyšší úrovně

{
  "default": { ... },  // Optional global settings
  "remotes": [ ... ]   // Optional list of per-remote settings
}

default sekce (volitelná)

Globální výchozí nastavení platí pro všechny operace Gitu, pokud je nepřepíše specifické vzdálené úložiště.

Obor	Typ	Povinné	Výchozí hodnota	Description
sslVerify	Boolean	Ne	true	Zda ověřit certifikáty SSL.
caCertPath	řetězec	Ne	"" (prázdné)	Cesta pracovního prostoru k vlastnímu CA certifikátu
httpProxy	řetězec	Ne	"" (prázdné)	HTTP proxy server pro směrování provozu Gitu.
customHttpPort	integer	Ne	Nespecifikovaný	Vlastní port HTTP serveru Git.

remotes sekce (volitelná)

Seznam objektů definujících nastavení pro jednotlivé vzdálené servery Git. Tato nastavení přepíší default blok pro jednotlivé dálkové ovládání.

Obor	Typ	Povinné	Výchozí hodnota	Description
urlPrefix	řetězec	Ano	—	Předpona odpovídající vzdáleným adresám URL Gitu
sslVerify	Boolean	Ne	true	Zda ověřit certifikáty SSL.
cesta k certifikátu CA	řetězec	Ne	"" (prázdné)	Cesta pracovního prostoru k vlastní cestě certifikátu certifikační autority pro tento vzdálený přístup.
httpProxy	řetězec	Ne	"" (prázdné)	HTTP proxy server pro směrování provozu Gitu.
customHttpPort	integer	Ne	Nespecifikovaný	Vlastní port HTTP serveru Git.

Příklad konfigurace neobsahující specifické nastavení pro vzdálené systémy

{
  "default": {
    "sslVerify": false
  }
}

Příklad úplné konfigurace

{
  "default": {
    "sslVerify": true,
    "caCertPath": "/Workspace/my_ca_cert.pem",
    "httpProxy": "https://git-proxy-server.company.com",
    "customHttpPort": "8080"
  },
  "remotes": [
    {
      "urlPrefix": "https://my-private-git.company.com/",
      "caCertPath": "/Workspace/my_ca_cert_2.pem"
    },
    {
      "urlPrefix": "https://another-git-server.com/project.git",
      "sslVerify": false
    }
  ]
}

Poznámky

• Sekce default musí být alespoň částečně k dispozici.
• Oddíl remotes je nepovinný. V případě zahrnutí musí každá položka obsahovat urlPrefix pole.
• Nezadaná pole používají výchozí hodnoty.
• Neznámá pole jsou ignorována.

Omezení

• Protokoly bezserverového proxy serveru nejsou k dispozici.
• Bezserverový privátní Git je k dispozici jenom v bezserverových oblastech Azure.