クラシック コンピュート プレーン ネットワーキング

このページでは、Databricks コントロールプレーンとクラシック コンピュートプレーン間のネットワークアクセスをカスタマイズするための機能を紹介します。By default、クラシックコンピュートプレーンは、セキュアクラスター接続を使用して暗号化されたチャンネル経由でコントロールプレーンに接続します。そのトラフィックをプライベートネットワーク上に維持し、パブリックインターネットから隔離するには、このページで説明されているクラシックコンピュートプレーンのプライベート接続機能を構成します。

コントロール プレーンとコンピュート プレーンの詳細については、 「ネットワーク セキュリティ アーキテクチャ」を参照してください。

classic コンピュートとサーバレス コンピュートの詳細については、「 コンピュート」を参照してください。

このセクションの機能は、Databricks コントロール プレーンとクラシック コンピュート プレーン間の接続の確立とセキュリティ確保に重点を置いています。この接続には、次の図で 2 というラベルが付けられています。

セキュアなクラスター接続とは?

すべての新しいワークスペースは、デフォルトによる安全なクラスター接続を使用して作成されます。 セキュアなクラスター接続とは、顧客 VPC にはオープンポートがなく、クラシックコンピュートプレーンリソースにはパブリック IP アドレスがないことを意味します。 これにより、セキュリティグループやネットワークピアリングでポートを設定する必要がなくなり、ネットワーク管理が簡素化されます。

セキュアなクラスター接続により、クラスター・ノード上のパブリックIPアドレスを必要とせずに、HTTPS(ポート443)を使用したセキュア・トンネルを介してクラスターが Databricks コントロール・プレーンに接続できるようになります。 この接続は、セキュリティで保護されたクラスター接続リレーを使用して確立され、Web アプリケーションと REST API のネットワーク トラフィックをクラスター管理タスクから分離します。

サーバレス コンピュート プレーンはクラシック コンピュート プレーンのセキュア クラスター接続リレーを使用しませんが、サーバレス コンピュート リソースにはパブリック IP アドレスがありません。

独自の VPC にワークスペースをデプロイする

Google Cloud Virtual Private Cloud(VPC)を使用すると、Google Cloud の論理的に分離されたセクションをプロビジョニングして、仮想ネットワークで GCP リソースを起動できます。 VPCは、Databricks クラスターのネットワーク場所です。デフォルトでは、DatabricksはDatabricksワークスペースのVPCを作成、管理します。

代わりに、Databricksクラスターをホストする独自のVPCを提供できるため、独自のGCP アカウントの制御を強化し、送信接続を制限できます。顧客管理VPC VPCを利用するには、Databricks ワークスペースを最初に作成するときに を指定する必要があります。VPC はワークスペース間で共有できますが、サブネットはワークスペース間で共有できません。 詳細については、「顧客管理VPCの構成」を参照してください。

コントロールプレーンからコンピュートプレーンへのプライベート接続を有効にする

Google Private Service Connect(PSC)は、トラフィックをパブリック ネットワークに公開することなく、Google Cloud VPC から Google Cloud サービスへのプライベート接続を提供します。 これにより Databricks 顧客管理VPC の Databricks ワークスペースのコア サービスへのプライベート接続が可能になります。

PSC 接続パターンの概要については、Private Service Connect の概念を参照してください。クラシック コンピュート プレーンの構成手順については、ワークスペースの Private Service Connect を有効にするを参照してください。