Güvenli küme bağlantısını etkinleştirme

Bu makalede Azure Databricks çalışma alanları için güvenli küme bağlantısının nasıl kullanılacağı açıklanmaktadır. Genel IP adresi (NPIP) kullanılmayan güvenli küme bağlantısı olarak da bilinir. Sunucusuz işlem kaynakları güvenli küme bağlantısı kullanmaz, aynı zamanda genel IP adreslerine de sahip değildir.

Önemli

Gelecekteki bir sürümde Azure Databricks, tüm klasik çalışma alanları için güvenli küme bağlantısı gerektirmeyi planlıyor. enableNoPublicIp değeri false olarak ayarlanarak oluşturulan çalışma alanları artık desteklenmeyecektir ve parametre zorunlu hâle gelecektir. Ayrıntılar için bkz . Güvenli küme bağlantısı kısa süre içinde klasik çalışma alanları için zorunlu hale gelecek.

Güvenli küme bağlantısına genel bakış

Güvenli küme bağlantısı etkinleştirildiğinde, müşteri sanal ağlarının açık bağlantı noktası yoktur ve klasik işlem düzlemindeki işlem kaynaklarının genel IP adresleri yoktur.

  • Her bir küme, küme oluşturma sırasında denetim düzlemi güvenli küme bağlantı aktarımına bir bağlantı gerçekleştirir. Küme bu bağlantıyı 443 (HTTPS) numaralı bağlantı noktasını kullanarak kurar ve web uygulaması ve REST API için kullanılandan farklı bir IP adresi kullanır.
  • Denetim düzlemi küme yönetim görevlerini gerçekleştirdiğinde, bu istekler bu tünel üzerinden kümeye gönderilir.

Not

Klasik işlem düzlemi VNet ile Azure Databricks kontrol düzlemi arasındaki tüm Azure Databricks ağ trafiği, genel İnternet yerine Microsoft ağ omurgasıüzerinden geçer. Güvenli küme bağlantısı devre dışı bırakılıyor olsa bile bu durum geçerlidir.

Yeni bir çalışma alanında güvenli küme bağlantısını etkinleştirebilir veya zaten kullanan mevcut bir çalışma alanına Sanal Ağ eklemeekleyebilirsiniz.

Yeni bir çalışma alanında güvenli küme bağlantısını etkinleştirme

Azure portalını veya Azure Resource Manager (ARM) şablonunu kullanarak bir çalışma alanı oluşturduğunuzda güvenli küme bağlantısı otomatik olarak etkinleştirilir.

  • Azure portal: Çalışma alanını sağladığınızda , Ağ sekmesinde Azure Databricks çalışma alanını Güvenli Küme Bağlantısı (Genel IP Yok) ile dağıtma varsayılan olarak Evet olarak ayarlanır.

    Çalışma alanı oluşturmak için Azure portalını kullanma hakkında ayrıntılı yönergeler için bkz. Azure Databricks çalışma alanı oluşturmak için portalı kullanma.

  • ARM şablonu: Kaynaktaki enableNoPublicIpMicrosoft.Databricks/workspaces parametresi, 2024-05-01 ve üzeri sürümlerde varsayılan olarak true olarak ayarlanır. Parametre şablona enableNoPublicIp açıkça dahil edilmediyse, true olarak ayarlanmış gibi davranır. Şablonunuzda false olarak ayarlayarak enableNoPublicIp bu varsayılanı açıkça geçersiz kılabilirsiniz.

    Çalışma alanı oluşturmak için ARM şablonu kullanma hakkında ayrıntılı yönergeler için bkz. ARM şablonuyla çalışma alanı dağıtma. ARM şablonlarında VNet Ekleme kullanıyorsanız bkz. Azure sanal ağında Azure Databricks'i dağıtma (VNet Ekleme).

Mevcut çalışma alanına güvenli küme bağlantısı ekleme

Azure portalını, ARM şablonunu veya Terraform sağlayıcısı sürüm 3.41.0+ azurerm kullanarak mevcut bir çalışma alanında güvenli küme bağlantısını etkinleştirebilirsiniz. Yükseltmenin gerçekleştirilmesi için çalışma alanının VNet enjeksiyonu kullanması gerekir.

Önemli

Klasik işlem düzleminden girişi veya çıkışı denetlemek için bir güvenlik duvarı veya başka ağ yapılandırmaları kullanıyorsanız, değişikliklerin etkili olması için güvenli küme bağlantısını etkinleştirirken güvenlik duvarınızı veya ağ güvenlik grubu kurallarınızı güncelleştirmeniz gerekebilir. Örneğin, güvenli küme bağlantısı kullanıldığında, denetim düzlemine ek bir giden bağlantı vardır ve denetim düzleminden gelen bağlantılar artık kullanılmaz.

Tüm işlem kaynaklarını durdurun

Kümeler, havuzlar veya klasik SQL ambarları gibi tüm klasik işlem kaynaklarını durdurun. Databricks, yükseltme zamanlamasını kapalı kalma süresi için planlamanızı önerir.

Çalışma alanını güncelleştirme

Azure portalını, ARM şablonunu veya Terraform'ı kullanarak çalışma alanını güncelleştirebilirsiniz.

Azure portalını kullanma

  1. Azure portalında Azure Databricks çalışma alanınıza gidin.
  2. Sol gezinme menüsünde, Ayarlar altında Ağ'a tıklayın.
  3. Ağ erişimi sekmesinde Azure Databricks çalışma alanını Güvenli Küme Bağlantısı (Genel IP Yok) ile dağıtmaEtkinolarak ayarlayın.
  4. Kaydet'e tıklayın.

Ağ güncelleştirmesinin tamamlanması 15 dakikadan uzun sürebilir.

Azure portalını kullanarak güncelleştirilmiş ARM şablonu uygulama

enableNoPublicIp parametresini True (true) olarak ayarlamak için bir ARM şablonu kullanın.

Not

Yönetilen kaynak grubunuzun özel bir adı varsa, şablonu buna göre değiştirmeniz gerekir. Daha fazla bilgi için Azure Databricks hesap ekibinize başvurun.

  1. Aşağıdaki yükseltme ARM şablonu JSON'unu kopyalayın:

    {
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "location": {
      "defaultValue": "[resourceGroup().location]",
      "type": "String",
      "metadata": {
        "description": "Location for all resources."
      }
    },
    "workspaceName": {
      "type": "String",
      "metadata": {
        "description": "The name of the Azure Databricks workspace to create."
      }
    },
    "apiVersion": {
      "defaultValue": "2023-02-01",
      "allowedValues": ["2018-04-01", "2020-02-15", "2022-04-01-preview", "2023-02-01"],
      "type": "String",
      "metadata": {
        "description": "2018-03-15 for 'full region isolation control plane' and 2020-02-15 for 'FedRAMP certified' regions"
      }
    },
    "enableNoPublicIp": {
      "defaultValue": true,
      "type": "Bool"
    },
    "pricingTier": {
      "defaultValue": "premium",
      "allowedValues": ["premium", "standard", "trial"],
      "type": "String",
      "metadata": {
        "description": "The pricing tier of workspace."
      }
    },
    "publicNetworkAccess": {
      "type": "string",
      "defaultValue": "Enabled",
      "allowedValues": ["Enabled", "Disabled"],
      "metadata": {
        "description": "Indicates whether public network access is allowed to the workspace - possible values are Enabled or Disabled."
      }
    },
    "requiredNsgRules": {
      "type": "string",
      "defaultValue": "AllRules",
      "allowedValues": ["AllRules", "NoAzureDatabricksRules"],
      "metadata": {
        "description": "Indicates whether to retain or remove the AzureDatabricks outbound NSG rule - possible values are AllRules or NoAzureDatabricksRules."
      }
    }
  },
  "variables": {
    "managedResourceGroupName": "[concat('databricks-rg-', parameters('workspaceName'), '-', uniqueString(parameters('workspaceName'), resourceGroup().id))]",
    "managedResourceGroupId": "[subscriptionResourceId('Microsoft.Resources/resourceGroups', variables('managedResourceGroupName'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Databricks/workspaces",
      "apiVersion": "[parameters('apiVersion')]",
      "name": "[parameters('workspaceName')]",
      "location": "[parameters('location')]",
      "sku": {
        "name": "[parameters('pricingTier')]"
      },
      "properties": {
        "ManagedResourceGroupId": "[variables('managedResourceGroupId')]",
        "publicNetworkAccess": "[parameters('publicNetworkAccess')]",
        "requiredNsgRules": "[parameters('requiredNsgRules')]",
        "parameters": {
          "enableNoPublicIp": {
            "value": "[parameters('enableNoPublicIp')]"
          }
        }
      }
    }
  ]
}

    1. Azure portalı Özel dağıtım sayfasına gidin.

    2. Düzenleyicide Kendi şablonunuzu oluşturun'a tıklayın.

    3. Kopyaladığınız şablonun JSON dosyasını yapıştırın.

    4. Kaydet'e tıklayın.

    5. Parametreleri doldurun.

    6. Var olan bir çalışma alanını güncelleştirmek için, çalışma alanını oluşturmak için kullandığınız parametrelerin aynısını kullanın. Bunun dışında enableNoPublicIp, olarak ayarlamanız truegerekir. Mevcut sanal ağın aboneliğini, bölgesini, çalışma alanı adını, alt ağ adlarını ve kaynak kimliğini ayarlayın.

      Önemli

      Kaynak grubu adı, çalışma alanı adı ve alt ağ adları var olan çalışma alanınızla aynıdır, böylece bu komut yeni bir çalışma alanı oluşturmak yerine var olan çalışma alanını güncelleştirir.

    7. Gözden Geçir ve Oluştur’a tıklayın.

    8. Doğrulama sorunu yoksa Oluştur'a tıklayın.

    Ağ güncelleştirmesinin tamamlanması 15 dakikadan uzun sürebilir.

Terraform kullanarak güncelleştirme uygulama

Terraform ile oluşturulan çalışma alanları için çalışma alanını yeniden oluşturmadan güncelleştirebilirsiniz.

Önemli

Sürüm 3.41.0 veya üzerini kullanmanız terraform-provider-azurerm gerekir, bu nedenle Terraform sağlayıcı sürümünüzü gerektiği gibi yükseltin. Önceki sürümler, bu ayarlardan herhangi birini değiştirirseniz çalışma alanını yeniden oluşturma girişiminde bulunur.

Aşağıdaki çalışma alanı ayarlarını değiştirin:

  • no_public_ip bloğunda custom_parameters'den false'e olarak değiştirilebilir.

Ağ güncelleştirmesinin tamamlanması 15 dakikadan uzun sürebilir.

Güncelleştirmeyi doğrulama

Çalışma alanı etkin durumda olduğunda güncelleştirme işi tamamlanır. Güncelleştirmenin uygulandığını doğrulayın:

  1. Web tarayıcınızda Azure Databricks'i açın.

  2. Çalışma alanının kümelerinden birini başlatın ve küme tam olarak başlatılana kadar bekleyin.

  3. Azure portalında çalışma alanı örneğine gidin.

  4. Yönetilen Kaynak Grubu alan etiketinin yanındaki mavi kimliği tıklatın.

  5. Bu grupta kümenin VM'lerini bulun ve bunlardan birine tıklayın.

  6. VM ayarlarında, Özellikler'in içinde Ağ alanındaki alanları arayın.

  7. Genel IP adresi alanının boş olduğunu onaylayın.

    Dolduysa, VM'nin genel bir IP adresi vardır, bu da güncellemenin başarısız olduğu anlamına gelir.

Güvenli küme bağlantısına yükseltmenin geçici geri alınması

Dağıtım sırasında bir sorun olursa, enableNoPublicIp'i false olarak ayarlayarak işlemi geçici olarak tersine çevirebilirsiniz. Ancak, güvenli küme bağlantısını devre dışı bırakmak, yükseltmeye daha sonra devam etmeden önce yalnızca geçici geri alma olarak desteklenir. Bu geçici olarak gerekliyse, yükseltme için yukarıdaki yönergeleri izleyebilirsiniz, ancak true yerine olarak enableNoPublicIp ayarlayabilirsinizfalse.

Çalışma alanı alt ağlarından çıkış

Güvenli küme bağlantısını etkinleştirdiğinizde, küme düğümlerinin genel IP adresleri olmadığından her iki çalışma alanı alt ağınız da özel alt ağlar olur.

Ağ çıkışının uygulama ayrıntıları, varsayılan (yönetilen) sanal ağı kullanıp kullanmadığınıza veya çalışma alanınızı dağıtabileceğiniz kendi sanal ağınızı sağlamak için sanal ağ ekleme kullanıp kullanmadığınıza bağlı olarak değişir.

Önemli

Güvenli küme bağlantısı kullandığınızda artan çıkış trafiği nedeniyle ek maliyetler oluşabilir. En güvenli dağıtım için, Microsoft ve Databricks güvenli küme bağlantısını etkinleştirmenizi kesinlikle önerir.

Varsayılan (yönetilen) sanal ağ ile çıkış

Azure Databricks'in oluşturduğu varsayılan sanal ağ ile güvenli küme bağlantısı kullanırsanız, Azure Databricks çalışma alanınızın alt ağlarından Azure omurgasına ve genel ağına giden trafik için otomatik olarak bir NAT ağ geçidi oluşturur. NAT ağ geçidi, Azure Databricks tarafından yönetilen yönetilen kaynak grubunda oluşturulur. Bu kaynak grubunu veya içinde sağlanan kaynakları değiştiremezsiniz. Bu NAT ağ geçidi ek ücrete tabidir.

Sanal ağ eklemeli çıkış

Çalışma alanınızın VNet enjeksiyonu kullanan güvenli küme bağlantısını etkinleştirirseniz, Databricks çalışma alanınızın sabit bir çıkış genel IP'si kullanmasını önerir. Kararlı çıkış genel IP adresleri, bunları dış izin verme listelerine ekleyebildiğiniz için yararlıdır. Örneğin, Azure Databricks'ten Salesforce'a kararlı bir giden IP adresiyle bağlanmak için.

Uyarı

Microsoft, 31 Mart 2026'da yeni sanal ağların giden İnternet erişimi olmadan varsayılan olarak özel yapılandırmalara ayarlanacağını duyurdu. Bunun için genel uç noktalara ve Microsoft hizmetlerine ulaşmak için açık giden bağlantı yöntemleri gerekir. Diğer ayrıntılar için bu duyuruya bakın. Bu değişiklik mevcut çalışma alanlarını etkilemez. Ancak, bu tarihten sonra oluşturulan yeni Azure Databricks çalışma alanları, küme işlevselliğini düzgün bir şekilde sağlamak için NAT Gateway gibi güvenli bir giden yöntemi gerektirir.

Dağıtımlarınız için İnternet bağlantısı sağlamak için bir Azure NAT ağ geçidi kullanın. Her iki çalışma alanı alt ağındaki ağ geçidini, tüm dışa giden trafiğin kararlı bir genel IP üzerinden yönlendirilmesini sağlamak için yapılandırın. Bu, kümeleriniz için tutarlı giden İnternet bağlantısı sağlar ve özel çıkış gereksinimleri için yapılandırmayı değiştirmenize olanak tanır. NAT ağ geçidini bir Azure şablonu kullanarak veya Azure portalından yapılandırabilirsiniz.

Uyarı

Güvenli küme bağlantısı etkinleştirilmiş bir çalışma alanıyla çıkış yük dengeleyici kullanmayın. Üretim sistemlerinde çıkış yük dengeleyici, bağlantı noktalarının tükenme riskine yol açabilir.

Güvenlik duvarı yapılandırma en iyi yöntemleri

Tek tek IP adresleri yerine, SCC geçiş uç noktaları için sağlanan etki alanı adlarını (FQDN) her zaman izin listesine ekleyin. Bu etki alanlarının arkasındaki IP adresleri, altyapı güncelleştirmeleri nedeniyle düzenli aralıklarla değişir.

Belirli IP adreslerine izin veren müşteriler, altyapı değişiklikleri gerçekleştiğinde hizmet kesintileriyle karşılaşabilir. IP adreslerini kullanmanız gerekiyorsa, en son IP adreslerimizi düzenli olarak almanız ve güvenlik duvarı yapılandırmalarınızı güncel tutmanız gerekir.

  • Last updated on