Çalışma alanı depolama hesabınız için güvenlik duvarı desteğini etkinleştirme

Makale
06/18/2024

Yeni bir Azure Databricks çalışma alanı oluşturduğunuzda, çalışma alanı depolama hesabı olarak bilinen yönetilen bir kaynak grubunda bir Azure depolama hesabı oluşturulur. Çalışma alanı depolama hesabı çalışma alanı sistem verilerini (iş çıktısı, sistem ayarları ve günlükler), DBFS kökünü ve bazı durumlarda Unity Kataloğu çalışma alanı kataloğunu içerir. Bu makalede, bir ARM şablonu kullanarak yalnızca yetkili kaynaklardan ve ağlardan çalışma alanı depolama hesabınıza erişimin nasıl sınırlandığı açıklanmaktadır.

Çalışma alanı depolama hesabınız için güvenlik duvarı desteği nedir?

Varsayılan olarak, çalışma alanı depolama hesabınızın Azure depolama hesabı tüm ağlardan kimliği doğrulanmış bağlantıları kabul eder. Çalışma alanı depolama hesabınız için güvenlik duvarı desteğini etkinleştirerek bu erişimi sınırlayabilirsiniz. Bu, genel ağ erişimine izin verilmemesini ve çalışma alanı depolama hesabına yetkisiz ağlardan erişilmemesini sağlar. Kuruluşunuzda depolama hesaplarının özel olduğundan emin olan Azure ilkeleri varsa bunu yapılandırmak isteyebilirsiniz.

Çalışma alanı depolama hesabınız için güvenlik duvarı desteği etkinleştirildiğinde Azure Databricks dışındaki hizmetlerden gelen tüm erişimler Özel Bağlantı ile onaylı özel uç noktaları kullanmalıdır. Azure Databricks, Azure yönetilen kimliği kullanarak depolamaya bağlanmak için bir erişim bağlayıcısı oluşturur. Azure Databricks sunucusuz işlemden erişim, hizmet uç noktalarını veya özel uç noktaları kullanmalıdır.

Gereksinimler

Çalışma alanınız, klasik işlem düzleminden gelen bağlantılar için sanal ağ ekleme özelliğini etkinleştirmelidir.

Yeni bir çalışma alanı oluşturuyorsanız, Sanal ağ gereksinimleri başlığındaki yönergeleri izleyerek bir sanal ağ ve iki alt ağ oluşturun.
Çalışma alanınız, klasik işlem düzleminden gelen bağlantılar için güvenli küme bağlantısını (Genel IP / NPIP Yok) etkinleştirmelidir.
Çalışma alanınız Premium planda olmalıdır.
Depolama hesabı için özel uç noktalar için ayrı bir alt ağınız olmalıdır. Bu, temel Azure Databricks işlevselliği için ana iki alt ağa ek olarak sağlanır.

Alt ağ, çalışma alanıyla aynı sanal ağda veya çalışma alanının erişebileceği ayrı bir sanal ağda olmalıdır. CIDR gösteriminde en düşük boyutu /28 kullanın.
Microsoft Fabric Power BI hizmeti ile Cloud Fetch kullanıyorsanız, çalışma alanı depolama hesabına özel erişim için her zaman bir ağ geçidi kullanmanız veya Cloud Fetch'i devre dışı bırakmanız gerekir. Bkz . 3. Adım (Önerilen): Bulut Getirme istemci sanal ağları için özel uç noktaları yapılandırma.

1. Adım: Gerekli ARM şablonunu dağıtma

Bu adım, Azure Databricks çalışma alanını yönetmek için bir ARM şablonu kullanır. Ayrıca Terraform'u kullanarak çalışma alanınızı güncelleştirebilir veya oluşturabilirsiniz. Azurerm_databricks_workspace Terraform sağlayıcısına bakın.

Azure portalında araması yapın ve öğesini seçin Deploy a custom template.
Düzenleyicide Kendi şablonunuzu oluşturun'a tıklayın.
Çalışma alanı depolama hesabınız için güvenlik duvarı desteği için ARM şablonundan ARM şablonunu kopyalayın ve düzenleyiciye yapıştırın.
Kaydet'e tıklayın.
Alanları gözden geçirin ve düzenleyin. Alanların açıklaması için bkz . ARM şablonu alanları.
Gözden Geçir ve Oluştur'a ve ardından Oluştur'a tıklayın.

Özel uç noktalarınızı oluşturana kadar çalışma alanınız geçici olarak not defterlerini veya işleri çalıştıramaz.

Not

Çalışma alanı depolama hesabınızdaki genel ağ erişimi, özel uç noktalara gerek kalmadan sunucusuz işlem kaynaklarını desteklemek için Seçili sanal ağlardan ve IP adreslerinden etkinleştirildi ve Devre Dışı olarak ayarlanmadı. Çalışma alanı depolama hesabı yönetilen bir kaynak grubundadır ve depolama güvenlik duvarı yalnızca çalışma alanınıza sunucusuz bağlantılar için bir ağ bağlantısı yapılandırması (NCC) eklediğinizde güncelleştirilebilir. Bkz . 5. Adım: Sunucusuz işlem bağlantılarını yetkilendirme. Özel uç noktaları kullanarak Azure Databricks sunucusuz işlemden erişimi etkinleştirmek istiyorsanız Azure Databricks hesap ekibinize başvurun.

2. Adım: Depolama hesabına özel uç noktalar oluşturma

Hedef alt kaynak değerleri için sanal ağ ekleme için kullandığınız sanal ağınızdan çalışma alanı depolama hesabınıza iki özel uç nokta oluşturun: dfs ve blob.

Azure portalında çalışma alanınıza gidin.
Temel Bileşenler'in altında Yönetilen Kaynak Grubu'nun adına tıklayın.
Kaynaklar'ın altında, ile dbstoragebaşlayan bir ada sahip depolama hesabı türündeki kaynağa tıklayın.
Kenar çubuğunda Ağ'a tıklayın.
Özel uç nokta bağlantıları'nı tıklatın.
+ Özel uç nokta'ya tıklayın.
Kaynak Grubu adı alanında kaynak grubunuzu ayarlayın. Bu, çalışma alanı depolama hesabınızın içinde olduğu yönetilen kaynak grubuyla aynı olmamalıdır.
Ad alanına bu özel uç nokta için benzersiz bir ad yazın:
- Her kaynak ağ için oluşturduğunuz ilk özel uç nokta için bir DFS uç noktası oluşturun. Databricks son eki eklemenizi önerir -dfs-pe
- Her kaynak ağ için oluşturduğunuz ikinci özel uç nokta için bir Blob uç noktası oluşturun. Databricks son eki eklemenizi önerir -blob-pe
Ağ Arabirimi Adı alanı otomatik olarak doldurulur.
Bölge alanını çalışma alanınızın bölgesi olarak ayarlayın.
İleri'ye tıklayın.
Hedef alt kaynağında hedef kaynak türüne tıklayın.
- Her kaynak ağ için oluşturduğunuz ilk özel uç nokta için bunu dfs olarak ayarlayın.
- Her kaynak ağ için oluşturduğunuz ikinci özel uç nokta için bunu blob olarak ayarlayın.
Sanal ağ alanında bir sanal ağ seçin.
Alt ağ alanında, alt ağı depolama hesabının özel uç noktaları için sahip olduğunuz ayrı alt ağ olarak ayarlayın.

Bu alan, özel uç noktalarınız için alt ağ ile otomatik olarak doldurulabilir, ancak bunu açıkça ayarlamanız gerekebilir. Genellikle ve public-subnetolarak adlandırılan private-subnet temel Azure Databricks çalışma alanı işlevselliği için kullanılan iki çalışma alanı alt ağını kullanamazsınız.
İleri'ye tıklayın. DNS sekmesi, daha önce seçtiğiniz doğru aboneliğe ve kaynak grubuna otomatik olarak doldurulur. Gerekirse bunları değiştirin.
İleri'ye tıklayın ve isterseniz etiketleri ekleyin.
İleri'ye tıklayın ve alanları gözden geçirin.
Oluştur’a tıklayın.

Çalışma alanı depolama hesabınız için güvenlik duvarı desteğini devre dışı bırakmak için yukarıdaki işlemle aynı işlemi kullanın, ancak Depolama Hesabı Güvenlik Duvarı (storageAccountFirewallşablonda) Disabled parametresini olarak ayarlayın ve alanı true olarak veya false çalışma alanınızın Unity Kataloğu çalışma alanı kataloğu kullanıp kullanmadığına bağlı olarak ayarlayınWorkspace Catalog Enabled. Bkz. Kataloglar.

3. Adım (Önerilen): Bulut Getirme istemci sanal ağları için özel uç noktaları yapılandırma

Cloud Fetch, ODBC ve JDBC'de verileri iş zekası araçlarına daha hızlı getirmek için bulut depolaması aracılığıyla paralel olarak veri getirmeye yönelik bir mekanizmadır. BI araçlarından 1 MB'tan büyük sorgu sonuçlarını getiriyorsanız, büyük olasılıkla Cloud Fetch kullanıyorsunuz.

Not

Azure Databricks ile Microsoft Fabric Power BI hizmeti kullanıyorsanız, bu özellik Fabric Power BI'dan çalışma alanı depolama hesabına doğrudan erişimi engellediği için Cloud Fetch'i devre dışı bırakmanız gerekir. Alternatif olarak, çalışma alanı depolama hesabına özel erişime izin vermek için bir sanal ağ veri ağ geçidi veya şirket içi veri ağ geçidi yapılandırabilirsiniz. Bu, Power BI desktop için geçerli değildir. Cloud Fetch'i devre dışı bırakmak için yapılandırmasını EnableQueryResultDownload=0kullanın.

Cloud Fetch kullanıyorsanız, Cloud Fetch istemcilerinizin herhangi bir sanal ağından çalışma alanı depolama hesabına özel uç noktalar oluşturun.

Bulut Getirme istemcileri için her kaynak ağ için, iki farklı Hedef alt kaynak değeri kullanan iki özel uç nokta oluşturun: dfs ve blob. Ayrıntılı adımlar için 2. Adım: Depolama hesabında özel uç noktalar oluşturma bölümüne bakın. Bu adımlarda, özel uç noktayı oluştururken Sanal ağ alanı için her Bulut Getirme istemcisi için kaynak sanal ağınızı belirttiğinizden emin olun.

4. Adım: Uç nokta onaylarını onaylama

Depolama hesabında tüm özel uç noktalarınızı oluşturduktan sonra onaylenip onaylanmadıklarını denetleyin. Bu kişiler otomatik olarak onaylayabilir veya bunları depolama hesabında onaylamanız gerekebilir.

Azure portalında çalışma alanınıza gidin.
Temel Bileşenler'in altında Yönetilen Kaynak Grubu'nun adına tıklayın.
Kaynaklar'ın altında, ile dbstoragebaşlayan bir ada sahip depolama hesabı türündeki kaynağa tıklayın.
Kenar çubuğunda Ağ'a tıklayın.
Özel uç nokta bağlantıları'nı tıklatın.
Bağlantı durumunu kontrol ederek Onaylandı ifadesini onaylayın veya seçin ve Onayla'ya tıklayın.

5. Adım: Sunucusuz işlem bağlantılarını yetkilendirme

Çalışma alanınıza bir ağ bağlantısı yapılandırması (NCC) ekleyerek çalışma alanı depolama hesabınıza bağlanmak için sunucusuz işlem kaynaklarını yetkilendirmeniz gerekir. Çalışma alanına bir NCC eklendiğinde, ağ kuralları çalışma alanı depolama hesabının Azure depolama hesabına otomatik olarak eklenir. Yönergeler için bkz . Sunucusuz işlem düzlemi ağı.

Özel uç noktaları kullanarak Azure Databricks sunucusuz işlemden erişimi etkinleştirmek istiyorsanız Azure Databricks hesap ekibinize başvurun.

Aracılığıyla paylaş