ネットワーク

この記事では、Azure Databricks アカウントおよびワークスペースのデプロイと管理のためのネットワーク構成について説明します。

Azure Databricks アーキテクチャの概要

Azure Databricks は、"コントロールプレーン" と "コンピューティングプレーン" により動作します。

コントロールプレーンには、Azure Databricks によって Azure Databricks アカウントで管理されるバックエンドサービスが含まれています。 Web アプリケーションは、コントロールプレーン内にあります。
コンピューティングプレーンは、データが処理される場所です。コンピューティングプレーンには、使用するコンピューティングに応じて次の 2 つの種類があります。
- 従来の Azure Databricks コンピューティングの場合、コンピューティングリソースは、Azure サブスクリプション内にあり、"クラシックコンピューティングプレーン" と呼ばれます。これは、Azure サブスクリプション内のネットワークとそのリソースを指します。
- サーバーレスコンピューティングの場合、サーバーレスコンピューティングリソースは、Azure Databricks アカウント内の "サーバーレスコンピューティングプレーン" 内で実行されます。

アーキテクチャの追加情報については、「Azure Databricks アーキテクチャの概要」を参照してください。

Azure Databricks は既定で、セキュリティで保護されたネットワーク環境を提供しますが、組織に追加のニーズがある場合は、次の図に示すさまざまなネットワーク接続間でネットワーク接続機能を構成できます。

ネットワーク接続の概要図

ユーザーおよびアプリケーションから Azure Databricks: アクセスを制御し、ユーザーとその Azure Databricks ワークスペース間のプライベート接続を提供する機能を構成できます。「ユーザーから Azure Databricks ネットワークへ」を参照してください。
コントロールプレーンとクラシックコンピューティングプレーン: クラスターなどのクラシックコンピューティングプレーンは、Azure サブスクリプション内にデプロイされ、コントロールプレーンに接続されます。従来のネットワーク接続機能を使用して、クラシックコンピューティングプレーンリソースを独自の仮想ネットワークにデプロイし、クラスターからコントロールプレーンへのプライベート接続を有効にすることができます。｢クラシックコンピューティングプレーンネットワーク」を参照してください。
サーバーレスコンピューティングプレーンとストレージ: サーバーレスコンピューティングからストレージへのプライベート接続と専用接続を構成できます。「サーバーレスコンピューティングプレーンネットワーク」を参照してください。

プライベートエンドポイントなどの Azure ストレージネットワーク機能を構成して、クラシックコンピューティングプレーンと Azure リソース間の接続をセキュリティで保護できます。「Azure Databricks ワークスペースに Azure Data Lake Storage Gen2 へのアクセス権を付与する」と「Lakehouse フェデレーションのためのネットワークに関する推奨事項」をご覧ください。

ワークスペースストレージアカウントに対するファイアウォールのサポートを有効にして、許可されているネットワークと接続からのアカウントへのアクセスを制限することもできます。「ワークスペースストレージアカウントのファイアウォールサポートを有効にする」を参照してください。

コントロールプレーンとサーバーレスコンピューティングプレーンの間は常に、パブリックインターネットではなく Azure ネットワークバックボーン経由で接続されます。