Gérer le transfert de port vers l’informatique sans serveur

Le transfert de port vers l’informatique sans serveur permet aux utilisateurs d’accéder aux services fonctionnant sur l’informatique sans serveur via une URL dans votre espace de travail. Le tunnel SSH utilise la redirection de ports pour connecter un IDE ou un terminal local à un environnement de calcul serverless.

Cela inclut le calcul GPU serverless.

Le transfert de port vers le compute serverless est activé par défaut, sauf dans les espaces de travail où le profil de sécurité de conformité est activé, où il est désactivé par défaut. Un administrateur de compte peut le désactiver pour chaque espace de travail du compte. Sinon, chaque administrateur d’espace de travail prend la décision pour son propre espace de travail.

Warning

Ce réglage est un paramètre de stratégie, pas une limite de sécurité. Si Azure Databricks ne peut pas lire le paramètre, les connexions sont autorisées. Pour les autres limitations, voir Limitations.

Configurez le transfert de port pour un compte

Pour utiliser le tunnel SSH avec le calcul serverless, un administrateur de compte peut configurer le transfert de port comme suit :

1. Connectez-vous à la console du compte.
2. Paramètres.
3. Cliquez sur l’onglet Activation des fonctionnalités.
4. Sélectionnez si le transfert de port vers le calcul serverless doit être activé ou désactivé.

Lorsque cette option est activée, les administrateurs d’espace de travail peuvent également activer ou désactiver la redirection de port au niveau de l’espace de travail. Lorsqu’elle est désactivée, la redirection de port est désactivée dans tous les espaces de travail et ne peut pas être modifiée.

Configurez la redirection de port pour un espace de travail

À moins qu’un administrateur de compte n’ait désactivé la redirection de port, les administrateurs de l’espace de travail peuvent l’activer ou la désactiver pour leur propre espace de travail. Dans un espace de travail avec le profil de sécurité conformité, c’est la seule façon de l’activer.

1. Accédez à la page des paramètres.
2. Cliquez sur l'onglet Calculer.
3. Cliquez sur le bouton Port forwarding to serverless compute sous Serverless interactive.

Note

Après avoir modifié ce paramètre dans la console du compte ou dans les paramètres de l’espace de travail, les nouvelles connexions appliquent généralement la modification en quelques minutes, mais cela peut prendre plus de temps. Actualiser votre navigateur n’accélère pas sa prise d’effet, et les connexions déjà ouvertes ne sont pas fermées.

Ce qui change lorsque le transfert de port est désactivé

Lorsque le transfert de port vers le calcul serverless est désactivé, Azure Databricks refuse de nouvelles connexions vers le calcul serverless sur les ports transférés. Les utilisateurs qui essaient de se connecter reçoivent une FEATURE_DISABLED erreur indiquant qu’un administrateur a désactivé le transfert de port vers le calcul serverless pour l’espace de travail.

Les éléments suivants cessent de fonctionner sur le calcul serverless :

• Le tunnel SSH, y compris databricks ssh connect et les sessions Remote-SSH de Visual Studio Code ou de Cursor.
• Tout service qu’un utilisateur démarre sur une infrastructure serverless et ouvre via une URL retransmise, comme une application Streamlit, Gradio, Flask ou un serveur Jupyter.

Les suivants continuent de fonctionner :

• Le terminal web, l’interface Spark, l’interface des métriques du cluster, le tableau de bord Ray et TensorBoard.
• Notebooks, SQL, jobs, Databricks Connect et Databricks CLI. Ils n’utilisent pas la redirection de port.
• Toutes les connexions à Classic Compute.

Les connexions déjà ouvertes restent ouvertes jusqu’à leur fermeture.

Gérer l’accès au tunnel SSH de l’infrastructure de calcul classique

Ce paramètre ne s’applique pas au compute classique. Avec le calcul classique, un utilisateur ne peut se connecter au tunnel SSH qu’en utilisant un calcul dédié mono-utilisateur qui lui est attribué, et seulement s’il dispose des autorisations CAN ATTACH TO ou supérieures.

Pour empêcher les utilisateurs de se connecter aux ressources de calcul classiques via le tunnel SSH, limitez les utilisateurs auxquels des ressources de calcul dédiées sont attribuées :

• Restreignez l’accès à la stratégie Personal Compute, que tous les utilisateurs peuvent utiliser par défaut, ainsi qu’à d’autres stratégies de calcul autorisant un calcul dédié. Voir Gestion de l’accès à la stratégie Personal Compute.
• Accordez le droit de création de cluster sans restriction uniquement aux utilisateurs qui en ont besoin. Consultez les droits de calcul.
• N’attribuez pas de ressources de calcul dédiées à des utilisateurs qui ne devraient pas utiliser le tunnel SSH.

Limitations

• Si Azure Databricks ne peut pas lire le paramètre, il permet la connexion.
• Les ports utilisés par le terminal web, l’interface Spark, l’interface des métriques de cluster, le tableau de bord Ray et TensorBoard restent accessibles quel que soit le service qui les écoute. Un utilisateur capable d’exécuter du code sur un calcul serverless peut lancer son propre service sur l’un de ces ports.
• Ce paramètre ne s’applique ni au Classic Compute ni au terminal web. Pour contrôler l’accès par tunnel SSH au compute classique, voir Gérer l’accès au tunnel SSH au compute classique. Pour contrôler le terminal web, voir Activer le terminal web.