ワークスペース間アクセス

クロスワークスペースアクセスは、Azure Databricksワークスペース間のサーバーレスネットワークトラフィックを制御します。 アカウント管理者は、どのワークスペースが特定のワークスペースにアクセスできるか、またサーバーレスのワークロードがトラフィックを送れるワークスペースを決めるために使います。 これにより、データやサービスを共有する必要があるワークスペースをつなぎ、他のワークスペースは隔離できます。

ワークスペースに割り当てられたネットワークポリシーでクロスワークスペースアクセスを設定します。 各ポリシーは2方向のトラフィックを制御します:

• Ingress:どのソースワークスペースがワークスペースにアクセスできるかを決定します。 コンテキストベースのイングレス ポリシーでこれを設定します。 「 クロスワークスペースのアクセスを設定」を参照してください。
• 出口:サーバーレスのワークロードが到達可能な目的地のワークスペースを決定します。 サーバーレスの退出ネットワークポリシーで設定します。 「 クロスワークスペース出口アクセスの設定」を参照してください。

2つのワークスペース間のトラフィックは、両方のポリシーが合意した場合にのみ流れます。リクエストは、送信元のワークスペースの出口ルールが宛先を許可し、宛先ワークスペースの入力ルールが送信元を許可している場合にのみ許可されます。 通信する必要がある各ワークスペース ペアの両側を設定してください。

Requirements

• アカウント管理者である必要があります。

• Azure Databricksのアカウントとワークスペースはプレミアムティアでなければなりません。

クロスワークスペースアクセスの仕組み

クロスワークスペースアクセスは、 コンテキストベースのイングレス制御 や サーバーレスのエグレス制御と同じネットワークポリシーを使用します。 クロスワークスペースルールは、各ワークスペースを数値ワークスペースIDで識別します:

• イングレス側では、クロスワークスペースルールが追加のネットワークソースとして機能します。 これらは他のネットワークソースと同じ識別子を使用し、コンテキストベースの入力ポリシー上でルールの許可・拒否を行います。 「ネットワーク ソース」を参照してください。
• 出口側では、ワークロードが到達できる行き先のワークスペースを一覧にします。 エグレス側は許可リスト方式のみです。

同じワークスペース内のトラフィックは常に許可されており、これらのルールの影響を受けません。 ソースワークスペースとデスティネーションワークスペースは、同じアカウントでも異なるAzure Databricksアカウントでも構いません。

制限事項

• クロスワークスペースアクセスはサーバーレスワークロードにのみ適用されます。 クラシックなコンピュートトラフィックを制御するものではありません。
• クロスクラウドアクセスはサポートされていません。
• 地域横断のLakebaseアクセスはサポートされていません。

クロスワークスペースの入力アクセスを設定する

クロスワークスペースのイングレスアクセス制御では、サーバーレストラフィック経由でどのソースワークスペースがワークスペースにアクセスできるかを制御します。 ワークスペースのコンテキストベースのイングレスポリシーで設定してください。 コンテキストベースのイングレスの概要については、 コンテキストベースのイングレス制御に関するページを参照してください。

ネットワークポリシーの Ingress タブには 、互換性モード のチェックボックスがあり、ポリシーがワークスペース間イングレスを管理しているかどうかを決定します。 ポリシーはデフォルトで 互換性モード になっています:

• 互換性モードを選択すると、ポリシーはワークスペース間の入力を制御せず、ワークスペースの現在の動作を維持します。既存のネットワーク制御が適用されます。
• 互換性モードを解除すると、ポリシーはクロスワークスペースアクセスモードと許可・拒否ルールエディターを公開します。

アカウントコンソールでクロスワークスペースの入力アクセスを設定するには:

1. アカウント コンソールで、[セキュリティ] をクリックします。
2. ネットワーク タブ をクリックし、編集したいネットワークポリシーを開きます。
3. [イングレス] タブを選択します。
4. 互換性モードのチェックボックスをクリアしてください。
5. クロスワークスペースアクセスモードを選択してください:
   • 任意のアカウント内のすべてのサーバーレスソースワークスペースからのアクセスを許可 する(FULL_ACCESS):任意のサーバーレスソースワークスペースがこのワークスペースにアクセスできます。
   • 特定のソースワークスペースへのアクセスを制限 する(RESTRICTED_ACCESS):アクセスはデフォルトで拒否されています。 リクエストは許可ルールに合致する場合のみ許可され、拒否ルールに一致すれば拒否されます。
6. 特定のソースワークスペースへのアクセスを制限するには、選択したワークスペースIDのリストに一致する許可または拒否ルールを追加してください。 別のアカウントでソースワークスペースを参照するには、数値ワークスペースIDを貼り付けて追加してください。
7. 保存 をクリックします。

ワークスペース間エググレスアクセスの設定

ワークスペース間エグレス アクセスでは、サーバーレス ワークロードがどの Azure Databricks ワークスペースにトラフィックを送信できるかを制御します。 ワークスペースのサーバーレス退出ネットワークポリシーで設定してください。 サーバーレス出口制御の概要については、「 サーバーレス出口制御とは何か?」をご覧ください。

出口側は許容リストとして動作します。 ワークロードが到達可能な宛先ワークスペースをリストアップし、他のすべてのAzure Databricksワークスペースはポリシーがアクセス制限を制限している間ブロックされたままです。 Azure Databricks の宛先に対する送信拒否ルールはありません。

許可された宛先はネットワークポリシーの出口ルールの一部なので、ポリシーの他のアウトバウンドアクセスを管理する同じ ネットワークアクセスポリシー エディターで設定します。 別のアカウントでワークスペースを参照するには、そのアカウントの数値ワークスペースIDを使います。

アカウントコンソールでクロスワークスペースの宛先を許可するには:

ネットワークポリシーをオープン

1. アカウント コンソールで、[セキュリティ] をクリックします。
2. ネットワーク タブ をクリックし、編集したいネットワークポリシーを開きます。
3. 「Egress」タブを選択してください。

出口アクセスを制限する

ネットワークアクセスの中で「特定の宛先への制限付きアクセス」を選択してください。 Allowed Databricksワークスペースの宛先セクションは、アクセスが制限されている場合のみ表示されます。 「すべての宛先へのアクセスを許可」を選択すると、サーバーレスワークロードはどの目的地にも到達でき、クロスワークスペースのルールは適用されません。

宛先ワークスペースを追加します

1. 「許可された Databricks ワークスペースの宛先」セクションで、「ワークスペースを追加」をクリックします。
2. 「 ワークスペースの目的地を追加 」ダイアログで、 ワークスペースピッカー を使って許可するワークスペースを選択します。 別のアカウントでワークスペースを参照するには、そのワークスペースの数値ワークスペースIDを貼り付けて追加してください。
3. 追加をクリックします。

追加したワークスペースは、 Workspace IDで一覧表示されたテーブルに表示されます。 宛先を削除するには、その行の削除アクションを使います。

ポリシーを保存します

ポリシーの強制モードを設定し、その後ポリシーを保存します。 ドライラン モードでは、ポリシー違反はログに記録されますがブロックはされないため、ポリシーを適用する前に、必要なすべての宛先が許可されていることを確認できます。

また、ネットワークポリシーのREST APIを使って許可されたAzure Databricks宛先を設定することもできます。 サーバーレスエグレス制御のネットワーク ポリシーの管理を参照してください。

次のステップ