Portweiterleitung für serverloses Computing verwalten

Port Forwarding zu serverless Compute ermöglicht es Nutzern, über eine URL in Ihrem Arbeitsbereich auf Serverless Compute laufende Dienste zu erreichen. Der SSH-Tunnel verwendet Port Forwarding, um eine lokale IDE oder ein Terminal mit serverlosen Rechenressourcen zu verbinden.

Dazu gehört serverlose GPU-Berechnung.

Portweiterleitung auf serverlose Compute ist standardmäßig aktiviert, außer in Arbeitsbereichen mit aktiviertem Compliance-Sicherheitsprofil , wo es standardmäßig deaktiviert ist. Ein Kontoadministrator kann es für jeden Arbeitsbereich im Konto deaktivieren. Ansonsten entscheidet jeder Workspace-Administrator für seinen eigenen Workspace.

Warning

Diese Einstellung ist eine Richtlinienkontrolle, keine Sicherheitsgrenze. Wenn Azure Databricks die Einstellung nicht lesen kann, sind Verbindungen erlaubt. Für die Einschränkungen, siehe Einschränkungen.

Portweiterleitung für ein Konto konfigurieren

Um den SSH-Tunnel mit serverloser Rechenleistung zu nutzen, kann ein Kontoadministrator die Portweiterleitung wie folgt konfigurieren:

1. Melde dich in der Kontokonsole an.
2. Klicken Sie auf das Einstellungen.
3. Klicken Sie auf die Registerkarte Featureaktivierung.
4. Wählen Sie aus, ob die Portweiterleitung auf serverloses Compute ein- oder ausgeschaltet sein soll.

Wenn aktiviert, können Workspace-Administratoren auch Port-Forwarding auf Workspace-Ebene ein- oder ausschalten. Wenn deaktiviert, ist Portweiterleitung in jedem Arbeitsbereich deaktiviert und kann nicht mehr geändert werden.

Konfigurieren Sie Port-Weiterleitung für einen Arbeitsbereich

Sofern ein Kontoadministrator die Portweiterleitung nicht deaktiviert hat, können Arbeitsbereichsadministratoren sie für ihren eigenen Arbeitsbereich ein- oder ausschalten. In einem Arbeitsbereich mit dem Compliance-Sicherheitsprofil ist dies die einzige Möglichkeit, es einzuschalten.

1. Navigieren Sie zur Seite Einstellungen.
2. Klicken Sie auf die Registerkarte Compute.
3. Klicken Sie auf den Portweiterleitung zu serverlosem Compute auf dem Umschalter unter Serverlos inaktiv.

Note

Nachdem Sie diese Einstellung entweder in der Kontokonsole oder in den Arbeitsbereichseinstellungen geändert haben, passen sich neue Verbindungen in der Regel innerhalb weniger Minuten an die Änderung an – es kann jedoch auch länger dauern. Ein Neuladen des Browsers führt nicht dazu, dass Änderungen schneller wirksam werden, und bereits bestehende Verbindungen werden nicht geschlossen.

Was ändert sich, wenn Portweiterleitung ausgeschaltet ist

Wenn die Portweiterleitung auf serverlose Compute-Ressourcen deaktiviert ist, verweigert Azure Databricks neue Verbindungen mit serverlosen Compute-Ressourcen über weitergeleitete Ports. Nutzer, die versuchen, sich zu verbinden, erhalten eine FEATURE_DISABLED-Fehlermeldung, dass ein Administrator die Portweiterleitung für serverloses Computing für den Arbeitsbereich deaktiviert hat.

Folgendes funktioniert nicht mehr bei serverloser Compute:

• Der SSH-Tunnel umfasst auch databricks ssh connect und Visual Studio Code- oder Cursor-Remote-SSH-Sitzungen.
• Jeder Dienst, den ein Nutzer auf serverloser Compute startet und über eine weitergeleitete URL öffnet, wie etwa eine Streamlit-, Gradio- oder Flask-App oder einen Jupyter-Server.

Folgende Funktionen funktionieren weiterhin:

• Das Webterminal, die Spark-Benutzeroberfläche, die Cluster-Metrik-Benutzeroberfläche, das Ray-Dashboard und TensorBoard.
• Notebooks, SQL, Jobs, Databricks Connect und die Databricks-CLI. Diese verwenden keine Portweiterleitung.
• Alle Verbindungen zu Classic Compute.

Verbindungen, die bereits offen sind, bleiben offen, bis sie geschlossen werden.

Verwaltung des SSH-Tunnelzugriffs auf Classic Compute

Diese Einstellung gilt nicht für Classic Compute. Mit klassischem Rechnen kann ein Benutzer nur über dedizierten Einzelbenutzer-Compute, der ihm zugewiesen ist, eine Verbindung zum SSH-Tunnel herstellen, und nur, wenn er die Berechtigung "CAN ATTACH TO" oder höher hat.

Um zu verhindern, dass Benutzer sich über den SSH-Tunnel mit klassischem Compute verbinden, beschränken Sie, welche Benutzer dedizierte Rechenleistung zugewiesen ist:

• Beschränken Sie den Zugriff auf die Personal-Compute-Richtlinie, die standardmäßig von allen Benutzern verwendet werden kann, sowie auf andere Compute-Richtlinien, die dedizierte Compute-Ressourcen ermöglichen. Siehe Zugriff verwalten auf die Personal Compute-Richtlinie.
• Gewähren Sie die Berechtigung zur uneingeschränkten Clustererstellung nur Nutzern, die sie benötigen. Siehe Berechnen von Berechtigungen.
• Weisen Sie keine dedizierten Rechenleistungen Benutzern zu, die den SSH-Tunnel nicht nutzen sollten.

Limitations

• Wenn Azure Databricks die Einstellung nicht lesen kann, erlaubt es die Verbindung.
• Die Ports, auf denen das Webterminal, Spark UI, Cluster Metrics UI, Ray Dashboard und TensorBoard lauschen, bleiben unabhängig davon erreichbar, welcher Dienst auf ihnen lauscht. Ein Nutzer, der Code auf serverless Compute ausführen kann, kann seinen eigenen Dienst auf einem dieser Ports starten.
• Diese Einstellung gilt nicht für klassische Compute-Instanzen oder das Webterminal. Um den SSH-Tunnelzugriff auf Classic Compute zu steuern, siehe SSH-Tunnelzugriff auf Classic Compute verwalten. Um das Webterminal zu steuern, siehe Webterminal aktivieren.