Gestire il port forwarding per il compute serverless

Il port forwarding verso serverless compute permette agli utenti di accedere ai servizi in esecuzione su serverless compute tramite un URL nel tuo workspace. Il tunnel SSH utilizza il port forwarding per collegare un IDE locale o un terminale al calcolo serverless.

Questo include il calcolo GPU serverless.

Il port forwarding verso il compute serverless è attivato di default, tranne che negli spazi di lavoro con il profilo di sicurezza di conformità attivato, dove è disattivato di default. Un amministratore dell'account può disattivarlo per ogni spazio di lavoro dell'account. Altrimenti, ogni amministratore dello spazio di lavoro decide per il proprio spazio di lavoro.

Warning

Questa impostazione è un controllo di policy, non un confine di sicurezza. Se Azure Databricks non può leggere l'impostazione, sono consentite le connessioni. Per le altre limitazioni, vedi Limitazioni.

Configura il port forwarding per un account

Per utilizzare il tunnel SSH con il calcolo serverless, un account admin può configurare il port forwarding come segue:

1. Accedi alla console dell'account.
2. Fai clic Impostazioni.
3. Fare clic sulla scheda Abilitazione funzionalità.
4. Seleziona se il port forwarding verso il calcolo serverless deve essere attivato o disattivato.

Quando attivato, gli amministratori dello spazio di lavoro possono anche attivare o disattivare il port forwarding a livello di spazio di lavoro. Quando disabilitato, il port forwarding è disattivato in ogni workspace e non può essere modificato.

Configura il port forwarding per uno spazio di lavoro

A meno che un amministratore dell'account non abbia disattivato il port forwarding, gli amministratori dello spazio di lavoro possono attivarlo o disattivarlo per il proprio spazio di lavoro. In uno spazio di lavoro con il profilo di sicurezza di conformità, questo è l'unico modo per attivarlo.

1. Andare alla pagina Impostazioni.
2. Fare clic sulla scheda Calcolo .
3. Clicca sull'opzione Inoltro delle porte al calcolo serverless sotto Serverless interattivo.

Note

Dopo aver cambiato questa impostazione sia nella console account che nelle impostazioni dell'area di lavoro, le nuove connessioni di solito recepiscono la modifica entro pochi minuti, ma può richiedere più tempo. Aggiornare il browser non ne anticipa l'effetto, e le connessioni già aperte non vengono chiuse.

Cosa cambia quando il port forwarding è disattivato

Quando il port forwarding verso il calcolo serverless è disattivato, Azure Databricks rifiuta nuove connessioni al calcolo serverless sulle porte inoltrate. Gli utenti che cercano di connettersi ricevono un errore FEATURE_DISABLED che dice che un amministratore ha disabilitato il port forwarding al calcolo serverless per lo spazio di lavoro.

I seguenti cessano di funzionare su serverless compute:

• Il tunnel SSH, incluse le sessioni Remote-SSH di databricks ssh connect e di Visual Studio Code o Cursor.
• Qualsiasi servizio che un utente avvia tramite calcolo serverless e apre tramite un URL inoltrato, come un'app Streamlit, Gradio o Flask, o un server Jupyter.

I seguenti continuano a funzionare:

• Il terminale web, l'interfaccia Spark, l'interfaccia delle metriche del cluster, il dashboard Ray e TensorBoard.
• Notebook, SQL, processi, Databricks Connect e la CLI di Databricks. Non utilizzano il port forwarding.
• Tutte le connessioni a classic compute.

Le connessioni già aperte rimangono aperte finché non si chiudono.

Gestire l'accesso al tunnel SSH a Classic Compute

Questa impostazione non si applica a classic compute. Con il calcolo classico, un utente può connettersi al tunnel SSH solo utilizzando computi dedicati per un singolo utente assegnati, e solo se possiede permessi CAN ATTACH TO o superiori.

Per impedire agli utenti di connettersi al compute classico usando il tunnel SSH, limitare quali utenti hanno il compute dedicato assegnato:

• Limitare l'accesso al criterio Personal Compute, che tutti gli utenti possono utilizzare per impostazione predefinita, e ad altri criteri di calcolo che consentono il calcolo dedicato. Vedere Gestione dell'accesso al criterio Personal Compute.
• Concedere il diritto di creazione di cluster senza restrizioni solo agli utenti che ne hanno bisogno. Vedere Diritti di calcolo.
• Non assegnare risorse di calcolo dedicate agli utenti che non dovrebbero usare il tunnel SSH.

Limitations

• Se Azure Databricks non riesce a leggere l'impostazione, consente la connessione.
• Le porte che usano il terminale web, l'interfaccia utente Spark, l'interfaccia delle metriche del cluster, il dashboard Ray e TensorBoard restano raggiungibili indipendentemente da quale servizio sia in ascolto su di esse. Un utente che può eseguire codice in un ambiente serverless può avviare il proprio servizio su una di queste porte.
• Questa impostazione non si applica né a classic compute né al terminale web. Per controllare l'accesso SSH tunnel al calcolo classico, vedi Gestire l'accesso al tunnel SSH al calcolo classico. Per controllare il terminale web, vedi Abilita il terminale web.