Redes de plano de proceso sin servidor

En esta página se presentan herramientas para proteger el acceso a la red entre los recursos de proceso de la Azure Databricks plano de proceso sin servidor y los recursos del cliente.

Para más información sobre el plano de control y el plano de proceso sin servidor, consulte Introducción a la arquitectura de referencia de red.

Para más información sobre el proceso clásico y el proceso sin servidor, consulte Proceso.

Para controlar el tráfico serverless entre los espacios de trabajo de Azure Databricks, consulta Acceso entre espacios de trabajo.

Nota:

Azure Databricks cobra los costes de red cuando las cargas de trabajo sin servidor se conectan a recursos del cliente y cuando los servicios de alto rendimiento transfieren datos de salida entre regiones de vuelta a los clientes. Consulte Descripción de los costos de red de Databricks.

Introducción a las redes del plano de proceso sin servidor

Los recursos de proceso sin servidor se ejecutan en el plano de proceso sin servidor, que se administra mediante Azure Databricks. Los administradores de cuentas pueden configurar la conectividad segura entre el plano de proceso sin servidor y sus recursos. Esta conexión de red se etiqueta como 2 en el diagrama siguiente:

La conectividad entre el plano de control y el plano de proceso sin servidor siempre se realiza a través de la red troncal de la nube y no de la red pública de Internet. Para más información sobre cómo configurar las características de seguridad en las otras conexiones de red del diagrama, consulte Conexión de red.

Identificación del tráfico de proceso sin servidor para habilitar las configuraciones de firewall

El proceso sin servidor alcanza los recursos mediante diferentes métodos de conectividad en función de la ubicación, configuración y tipo del recurso.

Nota:

Azure Databricks usa puntos de conexión de servicio, direcciones IP privadas y direcciones IP públicas para conectarse a recursos en función de su ubicación, configuración y tipo. Estos métodos de conectividad están disponibles con carácter general a menos que se indique explícitamente lo contrario.

Si quieres crear un cortafuegos alrededor de tus recursos permitiendo el acceso desde computación sin servidor, consulta Configurar un cortafuegos para acceso a computación sin servidor.

La creación de un firewall de recursos también afecta a la conectividad desde el plano de proceso clásico. También debe permitir el acceso a las redes en los firewalls de los recursos para permitir conexiones desde recursos de proceso clásico.

¿Qué es una configuración de conectividad de red (NCC)?

La conectividad de red sin servidor se administra con configuraciones de conectividad de red (NCC). Los NCC son construcciones regionales de nivel de cuenta que administran la creación de puntos de conexión privados.

Importante

Las cuentas de almacenamiento de Azure que incluyen en la lista de permitidos los ID de subred de Azure Databricks sin servidor ya no pueden conectarse. Para permitir que el cómputo sin servidor acceda a su almacenamiento, incorpore la cuenta de almacenamiento a un perímetro de seguridad de red y agregue la etiqueta de servicio AzureDatabricksServerless a la lista de permitidos. De lo contrario, el cómputo sin servidor devuelve un error 403 Forbidden cuando intenta acceder a tu almacenamiento. Consulte Configuración de un firewall para el acceso a procesos sin servidor.

Los administradores de cuentas crean "NCCs" en la consola de la cuenta. Un NCC puede estar vinculado a uno o más espacios de trabajo para gestionar el acceso desde la computación sin servidor a sus recursos de Azure.

Al agregar un punto de conexión privado a un NCC, Azure Databricks crea una solicitud de punto de conexión privado al recurso de Azure. Después de aceptar la solicitud, Azure Databricks usa el punto de conexión privado para acceder al recurso de Azure desde el plano de proceso sin servidor. Consulte Configurar la conectividad privada con recursos Azure.

Si no hay ningún punto de conexión privado configurado, la computación sin servidor se conecta a Azure Almacenamiento mediante puntos de conexión de servicio y a otros recursos mediante NAT IPs. Puede identificar el tráfico desde los puntos de conexión de servicio de Azure Databricks hacia su almacenamiento mediante la etiqueta de servicio AzureDatabricksServerless, que se puede restringir a su región (por ejemplo, AzureDatabricksServerless.EastUS2). Para usar este tag, incluya su cuenta de almacenamiento en un perímetro de seguridad de red. Consulte Configuración de un firewall para el acceso a procesos sin servidor.

Elige un espacio de trabajo de facturación para los cargos de punto de conexión privado

Importante

Esta característica está en versión preliminar pública.

Como administrador de cuentas, puedes elegir qué espacio de trabajo se factura por los cargos horarios asociados a los endpoints Private Link y puertas de enlace de red privada de un NCC.

Solo puedes seleccionar un espacio de trabajo activo, que pertenezca a la misma cuenta y que esté vinculado al NCC. Debes crear el NCC y adjuntar el espacio de trabajo antes de seleccionarlo.

Si el espacio de trabajo seleccionado ya no cumple estos requisitos (por ejemplo, si se elimina o se separa del NCC), los cargos se facturan automáticamente al espacio de trabajo adjunto al NCC con el ID de espacio de trabajo más bajo.

Para seleccionar un espacio de trabajo de facturación, envía la siguiente solicitud PATCH con billing_workspace_id en el cuerpo de la solicitud. Sustituye <TOKEN> y por tus IDs, 1234567890 por un <NCC_ID> y <ACCOUNT_ID> por el ID del espacio de trabajo.

curl --request PATCH \
  'https://accounts.azuredatabricks.net/api/2.0/accounts/<ACCOUNT_ID>/network-connectivity-configs/<NCC_ID>?update_mask=billing_workspace_id' \
  --header 'Authorization: Bearer <TOKEN>' \
  --header 'Content-Type: application/json' \
  --data '{"billing_workspace_id": 1234567890}'

Para borrar la selección de tu espacio de trabajo de facturación, envía la misma solicitud con un objeto JSON vacío ({}) como cuerpo, manteniendo update_mask=billing_workspace_id en la URL.

OpenSharing NCC

Las NCC se pueden conectar a un metastore para habilitar la conectividad privada para OpenSharing SecureConnect. Consulte Configuración de la conectividad privada para SecureConnect.