Konfigurace privátního připojení k prostředkům ve vaší virtuální síti

Poznámka:

Azure Databricks účtuje poplatky za síťové náklady, když se bezserverové úlohy připojují k prostředkům zákazníka a když služby s vysokými nároky na výkon přenášejí odchozí data mezi oblastmi zpět ke klientům. Informace o nákladech na síť Databricks najdete v tématu Vysvětlení nákladů na síť Databricks.

Tato stránka vysvětluje, jak pomocí konzoly účtu Azure Databricks nakonfigurovat Private Link připojení z bezserverového výpočetního prostředí k prostředkům ve virtuální síti prostřednictvím nástroje pro vyrovnávání zatížení Azure.

Konfigurace privátního připojení pro bezserverové výpočetní prostředky poskytuje:

• A vyhrazené a privátní připojení: Váš privátní koncový bod je výhradně svázaný s vaším účtem Azure Databricks a zajišťuje, aby byl přístup k prostředkům virtuální sítě omezený jenom na autorizované pracovní prostory. Tím se vytvoří zabezpečený vyhrazený komunikační kanál.
• Posílení zmírnění exfiltrace dat: Zatímco Azure Databricks Serverless s katalogem Unity nabízí integrovanou ochranu před exfiltrací dat, Private Link poskytuje další vrstvu ochrany sítě. Umístěním prostředků virtuální sítě do privátní podsítě a řízením přístupu prostřednictvím vyhrazených privátních koncových bodů výrazně snížíte riziko neoprávněného přesunu dat mimo řízené síťové prostředí.

Požadavky

• Váš účet a pracovní prostor musí být v plánu Premium.
• Jste správcem účtu Azure Databricks.
• Máte alespoň jeden pracovní prostor pomocí bezserverového výpočetního prostředí. Podporované oblasti najdete v tématu Dostupnost bez serveru.
• Váš nástroj pro vyrovnávání zatížení má virtuální síť a podsíť a váš prostředek se nachází v této podsíti.
• Každý účet Azure Databricks může mít až 10 NCCs na region.
• Každá oblast může mít 100 privátních koncových bodů distribuovaných podle potřeby napříč 1 až 10 síťovými adaptéry.
• Každá NCC je možné připojit až k 50 pracovním prostorům.
• Každé pravidlo privátního koncového bodu pro privátní připojení k prostředkům ve vaší virtuální síti podporuje až 100 názvů domén.
• Pátrání DNS a také přesměrování DNS nejsou podporovány. Všechny názvy domén se musí směrovat přímo na backendové zdroje.

Krok 1: Vytvoření nástroje pro vyrovnávání zatížení Azure

Vytvořte Azure Load Balancer, která slouží jako front-end pro prostředky virtuální sítě. Tento nástroj pro vyrovnávání zatížení je propojený s vaší službou Private Link.

Pokud chcete vytvořit nástroj pro vyrovnávání zatížení, postupujte podle pokynů v Quickstart: Vytvořte interní nástroj pro vyrovnávání zatížení pro vyrovnávání zatížení virtuálních počítačů pomocí portálu Azure. Dokončete následující:

1. Vytvořte prostředek pro vyrovnávání zatížení.
2. Přidat konfiguraci front-endové IP adresy: Toto je vstupní bod pro vaši službu Private Link.
3. Přidejte backendový fond: Tento fond obsahuje IP adresy vašich prostředků VNet.
4. Vytvoření sondy stavu: Nakonfigurujte sondu stavu pro monitorování dostupnosti vašich back-endových prostředků.
5. Přidat pravidla vyrovnávání zatížení: Definujte pravidla pro distribuci příchozího provozu do back-endového fondu.

Krok 2: Vytvoření služby Private Link

Musíte vytvořit službu Private Link, která bezpečně zpřístupní váš nástroj pro vyrovnávání zatížení privátnímu koncovému bodu. Ověřte, že je služba Private Link vytvořená ve stejné oblasti jako váš vyrovnávač zatížení.

Pokyny najdete v dokumentaci k Azure: Vytvoření služby Private Link pomocí portálu Azure.

Krok 3: Vytvoření nebo použití existujícího objektu síťového připojení (NCC)

Objekt NCC v Azure Databricks definuje nastavení privátního připojení pro vaše pracovní prostory. Pokud už NCC existuje, tento krok přeskočte. Vytvoření objektu NCC:

1. Jako správce účtu přejděte do konzoly účtu.
2. Na bočním panelu klikněte na Zabezpečení.
3. Klikněte na Konfigurace připojení k síti.
4. Klikněte na Přidat konfiguraci sítě.
5. Zadejte název pro NCC.
6. Zvolte oblast. To musí odpovídat vaší oblasti pracovního prostoru.
7. Klikněte na tlačítko Přidat.

Krok 4: Vytvoření privátního koncového bodu

Tento krok propojuje vaši službu Private Link s vaší službou Azure Databricks NCC. Vytvoření privátního koncového bodu:

1. V konzole účtu klikněte na Zabezpečení.
2. Klikněte na Konfigurace připojení k síti.
3. Vyberte objekt NCC, který jste vytvořili v kroku 3.
4. Na kartě Pravidla privátního koncového bodu klikněte na Přidat pravidlo privátního koncového bodu.
5. Do pole Azure ID prostředku vložte celé ID prostředku služby Private Link. Toto ID najdete na portálu Azure na stránce Overview vaší služby Private Link. Příklad ID: /subscriptions/\<subscription-id\>/resourceGroups/\<resource-group-name\>/providers/Microsoft.Network/privateLinkServices/\<private-link-service-name\>.
6. Do pole Domain names (Názvy domén ) přidejte vlastní názvy domén, které vaše prostředky virtuální sítě používají. Tyto názvy domén se musí mapovat na konfigurace IP adres v back-endovém fondu vašeho nástroje pro vyrovnávání zatížení. Zadejte název DNS konkrétní instance prostředku, kterou klienti používají pro připojení – ne doménu na úrovni služby nebo zástupné zóny. Domény používající privátní protokoly TLD (například .internal, .localhostnebo .test) se nepodporují.
7. Klikněte na tlačítko Přidat.
8. Ověřte, že sloupec Stav pro nově přidané pravidlo privátního koncového bodu je PENDING.

Poznámka:

Domény přidané jako položky Private Link jsou implicitně povolené v zásadách sítě.

Krok 5: Přijetí privátního koncového bodu ve vašem prostředku

Po vytvoření pravidla privátního koncového bodu v Databricks musíte schválit žádost o připojení na portálu Azure. Schválení připojení:

1. Na portálu Azure přejděte do centra Private Link.
2. Vyberte Private Link services.
3. Vyhledejte a vyberte službu Private Link přidruženou k vašemu nástroji pro vyrovnávání zatížení.
4. Na levém bočním panelu v části Nastavení vyberte připojení privátního koncového bodu.
5. Vyberte nevyřízený privátní koncový bod.
6. Kliknutím na Schválit přijměte připojení.
7. Když se zobrazí výzva, vyberte Ano.
8. Po schválení se stav připojení změní na Schváleno.

Úplné navázání připojení může trvat deset minut.

Krok 6: Potvrzení stavu privátního koncového bodu

Ověřte, že připojení soukromého koncového bodu je úspěšně navázáno ze strany Azure Databricks. Potvrzení připojení:

1. Aktualizujte stránku konfigurací síťového připojení v konzole účtu Azure Databricks.
2. Na kartě Pravidla privátního koncového bodu ověřte, že sloupec Stav nového privátního koncového bodu je ESTABLISHED.

Krok 7: Připojení NCC k jednomu nebo více pracovním prostorům

Tento krok přidruží nakonfigurované privátní připojení k pracovním prostorům Azure Databricks. Tento krok přeskočte, pokud je váš pracovní prostor již připojený k požadované NCC. Připojení NCC k pracovnímu prostoru:

1. V levém navigačním panelu přejděte do pracovních prostorů .
2. Vyberte existující pracovní prostor.
3. V kategorii Sítě vyberte rozevírací nabídku Konfigurace připojení k síti a zvolte vámi vytvořené NCC.
4. Opakujte pro všechny pracovní prostory, na které chcete použít tuto NCC.

Poznámka:

NCCs jsou regionální objekty, které je možné připojit pouze k pracovním prostorům v tomtéž regionu.

Další kroky

• Konfigurujte privátní připojení k prostředkům Azure: Pomocí Private Link můžete vytvořit zabezpečený a izolovaný přístup ke službám Azure z vaší virtuální sítě a obejít veřejný internet. Viz Konfigurování privátního připojení k prostředkům Azure.
• Správa pravidel pro privátní koncové body: Kontrolujte síťový provoz do a z vašich privátních koncových bodů Azure definováním specifických pravidel, která povolují nebo zakazují připojení. Viz Správa pravidel privátních koncových bodů.
• Nakonfigurujte bránu firewall pro bezserverový výpočetní přístup: Implementujte bránu firewall pro omezení a zabezpečení příchozích a odchozích síťových připojení pro výpočetní prostředí bez serveru. Viz Konfigurace obvodu zabezpečení sítě (NSP) Azure pro prostředky Azure.
• Pochopte náklady na přenos dat a připojení: Přenos a připojení dat se týkají přesunu dat do a z bezserverových prostředí Azure Databricks. Poplatky za sítě pro bezserverové produkty platí jenom pro zákazníky, kteří používají Azure Databricks bezserverové výpočetní prostředky. Informace o nákladech na síť Databricks najdete v tématu Vysvětlení nákladů na síť Databricks.