Přehled referenční architektury sítě

Různé organizace mají různé požadavky na izolaci sítě. Tato stránka popisuje tři referenční architektury pro běžné požadavky. Identifikujte architekturu, která nejlépe vyhovuje vaší topologii sítě, potřebám zásad správného řízení dat a zásadám řízení výchozího přenosu dat.

Architektura Databricks

Azure Databricks pracuje mimo řídicí rovinu a výpočetní rovinu.

• Řídicí rovina zahrnuje back-endové služby, které Azure Databricks spravuje ve vašem účtu Azure Databricks. Webová aplikace je v řídicí rovině.
• Výpočetní rovina je místo, kde se zpracovávají vaše data. Existují dva typy výpočetních rovin v závislosti na výpočetních prostředcích, které používáte.
  • U klasických výpočetních prostředků Azure Databricks jsou výpočetní prostředky ve vašem předplatném Azure v tom, co se nazývá klasická výpočetní rovina. To se týká sítě ve vašem předplatném Azure a jejích prostředků. Prostředky klasické výpočetní platformy jsou ve stejném regionu jako váš pracovní prostor.
  • Pro bezserverovou výpočetní rovinu ve vašem účtu Azure Databricks běží bezserverové výpočetní zdroje. Prostředky bezserverové výpočetní roviny se nacházejí ve stejné cloudové oblasti jako klasická výpočetní rovina vašeho pracovního prostoru. Tuto oblast vyberete při vytváření pracovního prostoru.

Další informace o klasických výpočetních a bezserverových výpočetních prostředcích najdete v tématu Výpočty. Další informace o architektuře najdete v tématu Architektura vysoké úrovně.

Typy síťového připojení

Databricks ve výchozím nastavení poskytuje zabezpečené síťové prostředí, ale pokud má vaše organizace další potřeby, můžete nakonfigurovat funkce síťového připojení mezi různými síťovými připojeními. Každá architektura konfiguruje funkce napříč třemi typy síťového připojení:

1. Inbound: Uživatelé a aplikace pro Azure Databricks: Můžete nakonfigurovat funkce pro řízení přístupu a poskytování privátního připojení mezi uživateli a jejich pracovními prostory Azure Databricks. Viz Síťové možnosti Azure Databricks pro uživatele.
2. Classic: Řídicí rovina a klasická výpočetní rovina: Klasické výpočetní prostředky, jako jsou clustery, se nasazují ve vašem Azure předplatném a připojují se k řídicí rovině. Pomocí klasických funkcí síťového připojení můžete nasadit prostředky klasické výpočetní roviny ve vlastní virtuální síti a povolit privátní připojení z clusterů do řídicí roviny. Viz klasickou výpočetní síť.
3. Odchozí komunikace: bezserverová výpočetní vrstva a úložiště: U svých prostředků můžete nakonfigurovat brány firewall tak, aby povolily přístup z bezserverové výpočetní vrstvy Azure Databricks. Viz Bezserverové výpočetní platformové sítě.

Pomocí následujícího diagramu můžete vizualizovat způsob, jakým data procházejí Databricks.

Volba síťové architektury

Tyto architektury poskytují zabezpečení sítě pro každý typ připojení v průběhu. Začněte se spravovaným zabezpečením jako základem a s rostoucími požadavky postupně přidávejte další bezpečnostní kontroly. Většina organizací před přechodem na úplné privátní připojení zpevní příchozí a výchozí přenos dat.

Architecture	Description
Spravované zabezpečení	Váš výchozí bod. Infrastruktura spravovaná službou Azure Databricks se zabezpečeným výchozím nastavením Použijte mechanismy Unity Catalog nad tímto základem pro správu dat.
Zabezpečené připojení	Posiluje zabezpečení příchozího a odchozího provozu nad rámec spravovaného zabezpečení. Nejvhodnější pro organizace, které musí mít auditovatelnost a řízení přístupu, aniž by se eliminovaly veřejné koncové body.
Izolované prostředí	Nastaví veškerý přístup jako soukromý nad rámec zabezpečeného připojení. Pro regulovaná odvětví (finanční služby, zdravotnictví, státní správa) s přísnými požadavky na exfiltraci dat.

Matice funkcí

Následující tabulka ukazuje, které funkce zabezpečení sítě platí pro každou architekturu:

Connectivity	funkce	Spravované zabezpečení	Zabezpečené připojení	Izolované prostředí
Klasické výpočetní prostředky	Zabezpečené připojení ke clusteru (SCC)	Ano	Ano	Ano
Klasické výpočetní prostředky	Injektáž virtuální sítě	Ano	Ano	Ano
Klasické výpočetní prostředky	Klasická výpočetní plocha Private Link	Volitelné	Ano	Ano
Příchozí	Private Link pracovního prostoru pro příchozí připojení	Ne	Ne	Ano
Příchozí	Příchozí privátní spojení pro výkonně náročné služby	Ne	Ne	Ano
Příchozí	Přístupové seznamy IP adres pracovního prostoru	Ne	Ano	Ano
Příchozí	Seznamy přístupu IP na úrovni účtu	Ne	Ano	Ano
Příchozí	Přístupové seznamy IP pro OpenSharing	Ne	Ano	Ano
Odchozí	Řízení výchozího přenosu dat bez serveru	Ne	Ano	Ano
Odchozí	Bezserverová Private Link (privátní koncové body NCC)	Ne	Ano	Ano
Odchozí	Bezserverové stabilní IP adresy	Ano	Ano	Ano
Odchozí	Externí firewall	Volitelné	Volitelné	Ano

Dodatečné zdroje

zdroj	Description
Osvědčené postupy zabezpečení Databricks	Referenční architektury zabezpečení, Nástroj pro analýzu zabezpečení (SAT) a dokument white paper o zabezpečení AWS
Náklady na sítě	Plánování a správa nákladů na sítě napříč nasazeními Azure Databricks