Konfiguruj przychodzący Private Link dla przestrzeni roboczych

Ta strona zawiera instrukcje dotyczące konfiguracji prywatnej łączności przychodzącej między użytkownikami a ich przestrzeniami roboczymi Azure Databricks.

Dlaczego warto wybrać połączenie przychodzące?

Bez względu na to, czy używasz bezserwerowych, czy klasycznych obliczeń, użytkownicy muszą łączyć się z usługą Azure Databricks. Organizacje decydują się na nawiązanie połączenia z usługą Azure Databricks z kilku powodów, w tym z następujących powodów:

• Zwiększone zabezpieczenia: ograniczając cały dostęp do prywatnych punktów końcowych i wyłączając dostęp publiczny, można zminimalizować obszar ataków i zweryfikować wszystkie interakcje użytkowników z Azure Databricks występują w bezpiecznej sieci prywatnej.
• Wymagania dotyczące zgodności: Wiele organizacji ma ścisłe wymogi zgodności, które nakazują, aby cały ruch płaszczyzny danych i płaszczyzny zarządzania pozostawał w granicach ich sieci prywatnej, nawet w przypadku usług SaaS, takich jak Azure Databricks.
• Uproszczona architektura sieci (w przypadku określonych zastosowań): Jeśli korzystasz wyłącznie z obliczeń bezserwerowych lub głównym sposobem korzystania z Azure Databricks jest interfejs WWW albo interfejsy API REST, a także nie potrzebujesz obecnie prywatnej łączności ze źródłami danych z poziomu Azure Databricks (co wymaga połączenia Private Link z klasyczną płaszczyzną obliczeniową), konfiguracja wyłącznie ruchu przychodzącego upraszcza całościowy projekt sieci.
• Zapobieganie eksfiltracji danych: uniemożliwiając dostęp publiczny i wymuszając cały ruch za pośrednictwem prywatnych punktów końcowych, zmniejszasz ryzyko eksfiltracji danych, zapewniając dostęp do ruchu tylko z uwierzytelnionych środowisk sieciowych.

Model łączności

Łączność prywatną można skonfigurować na jeden z dwóch sposobów:

• Brak dostępu publicznego: ta konfiguracja wyłącza cały publiczny dostęp do obszaru roboczego. Cały ruch użytkowników musi pochodzić z sieci wirtualnej połączonej za pośrednictwem prywatnego punktu końcowego. Ten model jest wymagany do pełnej prywatyzacji ruchu. W przypadku pełnej prywatyzacji ruchu potrzebujesz również klasycznego połączenia usługi Private Link płaszczyzny obliczeniowej. Zobacz koncepcje Private Link.
• Dostęp hybrydowy: usługa Private Link jest aktywna, ale dostęp publiczny pozostaje włączony z kontrolami wejścia opartymi na kontekście i listami dostępu do adresów IP. Mechanizmy kontroli ruchu przychodzącego oparte na kontekście pozwalają ograniczyć dostęp na podstawie tożsamości, typu żądania i źródła. Pozwala to bezpiecznie umożliwić dostęp z zaufanych źródeł publicznych (na przykład statycznych korporacyjnych adresów IP), jednocześnie korzystając z Private Link do prywatnej łączności.

Ten przewodnik wyjaśnia, jak wdrożyć hybrydowy model dostępu przy użyciu standardowej topologii sieci hub-and-spoke.

Przegląd architektury

Ten model używa tranzytowej sieci wirtualnej:

• Tranzytowa sieć VNet: To centralna sieć wirtualna zawierająca wszystkie prywatne punkty końcowe niezbędne, aby klienci mogli uzyskiwać dostęp do obszarów roboczych i uwierzytelniać się w przeglądarce. Obszar roboczy uwierzytelniania przeglądarki łączy się również z tą siecią wirtualną.

Prerequisites

Zapoznaj się z następującymi wymaganiami wstępnymi i zaleceniami:

Requirements

• Obszar roboczy znajduje się w planie Premium.
• Obszar roboczy używa iniekcji sieci wirtualnej. Zobacz Wdrażanie usługi Azure Databricks w sieci wirtualnej platformy Azure (iniekcja sieci wirtualnej)
• Musisz mieć uprawnienia platformy Azure do tworzenia prywatnych punktów końcowych i zarządzania rekordami DNS.

Konfiguracja sieci

• Tranzytowa sieć wirtualna skonfigurowana dla następujących elementów:
  • Pełni rolę podstawowego punktu tranzytowego dla całego ruchu użytkownika/klienta łączącego się z siecią platformy Azure.
  • Zapewnia scentralizowaną łączność dla sieci lokalnych lub innych sieci zewnętrznych.
  • Zarządza usługami udostępnionymi i zawiera podstawową trasę dla wychodzącego ruchu internetowego (ruch wychodzący).
• Prywatne strefy DNS są zarządzane przez usługę Azure DNS.

Najlepsze rozwiązania

Usługa Azure Databricks zaleca następujące czynności w przypadku odpornej konfiguracji i zarządzania nią:

• Architektura: Sieć musi być oparta na zalecanej przez firmę Microsoft architekturze typu piasta-szprychy. Zobacz Topologia sieci hub-szprych w Azure.
• Obszar roboczy uwierzytelniania izolowanego: aby zwiększyć odporność, utwórz oddzielny obszar roboczy uwierzytelniania przeglądarki wewnątrz tranzytowej sieci wirtualnej. Ten dedykowany obszar roboczy powinien hostować prywatny punkt końcowy uwierzytelniania przeglądarki, uniemożliwiając pojedynczy punkt awarii, jeśli inne obszary robocze zostaną usunięte. Zobacz jak utworzyć browser_authenticationprzestrzeń roboczą.

Konfigurowanie łączności prywatnej dla istniejącego obszaru roboczego

Przed rozpoczęciem należy zatrzymać wszystkie zasoby obliczeniowe, takie jak klastry, pule lub klasyczne magazyny SQL. Nie można uruchomić zasobów obliczeniowych obszaru roboczego lub próba uaktualnienia nie powiedzie się. Usługa Azure Databricks zaleca zaplanowanie czasu uaktualnienia na czas przestoju.

1. Na stronie Obszary robocze wybierz Zasoby obliczeniowe.
2. Wybierz każdy aktywny klaster obliczeniowy i w prawym górnym rogu kliknij przycisk Zakończ.

Zweryfikuj przestrzeń roboczą z iniekcją VNet z włączonym dostępem publicznym

1. Przejdź do obszaru roboczego usługi Azure Databricks w witrynie Azure Portal.
2. W sekcji Przegląd obszaru roboczego sprawdź, czy obszar roboczy usługi Azure Databricks używa własnej sieci wirtualnej:
   1. W obszarze Ustawienia wybierz kartę Sieć . Potwierdź następujące ustawienia:
      1. Bezpieczna łączność klastra (brak publicznego adresu IP) jest włączona.
      2. Pozycja Zezwalaj na dostęp do sieci publicznej jest włączona.

Stwórz databricks_ui_api prywatny punkt końcowy

1. Na karcie Sieć w swoim obszarze roboczym wybierz opcję Połączenia prywatnych punktów końcowych.
2. Kliknij Prywatny punkt końcowy.
3. Wybierz grupę zasobów dla punktu końcowego, podaj nazwę na przykład my-workspace-fe-pe. Sprawdź, czy region jest zgodny z obszarem roboczym.
4. Kliknij przycisk Dalej: zasób.
5. Ustaw docelowy zasób podrzędny na databricks_ui_api.
6. Kliknij przycisk Dalej: Sieć wirtualna.
7. Wybierz swoją tranzytową sieć VNet. Tranzytowa sieć wirtualna to oddzielna, wstępnie istniejąca sieć wirtualna w architekturze sieci, która zarządza i zabezpiecza ruch wychodzący, często zawierając centralny firewall.
8. Wybierz podsieć, która hostuje prywatne punkty końcowe.
9. Kliknij przycisk Dalej i sprawdź, czy opcja Integracja z prywatną strefą DNS jest ustawiona na wartość Tak. Powinna ona automatycznie wybrać strefę privatelink.azuredatabricks.net .

Stwórz browser_authentication przestrzeń roboczą

Utwórz prywatny punkt końcowy do uwierzytelniania przeglądarki internetowej, aby obsłużyć jednokrotne logowanie za pośrednictwem prywatnej ścieżki sieciowej. Usługa Azure Databricks zaleca hostowanie tego punktu końcowego w dedykowanym prywatnym obszarze roboczym uwierzytelniania w sieci Web.

Tworzenie grupy zasobów

1. W witrynie Azure Portal przejdź do strony i wybierz pozycję Grupy zasobów.
2. Kliknij pozycję + Utwórz.
3. Podaj nazwę grupy zasobów, na przykład web-auth-rg-eastus.
4. W obszarze Region wybierz ten sam region świadczenia usługi Azure, w którym wdrożono produkcyjne obszary robocze usługi Databricks.
5. Kliknij pozycję Przejrzyj i utwórz, a następnie Utwórz.

Tworzenie sieci wirtualnej

1. W witrynie Azure Portal wyszukaj i wybierz pozycję Sieci wirtualne.
2. Kliknij pozycję + Utwórz.
3. Na karcie Podstawy wybierz właśnie utworzoną grupę zasobów i nadaj sieci wirtualnej opisową nazwę, taką jak web-auth-vnet-eastus.
4. Sprawdź, czy region jest zgodny z twoją grupą zasobów.
5. Na karcie Adresy IP zdefiniuj przestrzeń adresów IP dla sieci wirtualnej, na przykład 10.20.0.0/16. Zostanie również wyświetlony monit o utworzenie początkowej podsieci.
6. Wybierz Przejrzyj i utwórz, a następnie Utwórz.

Tworzenie i zabezpieczanie prywatnego obszaru roboczego uwierzytelniania sieci Web

1. W witrynie Azure Portal wyszukaj i wybierz pozycję Azure Databricks. Kliknij pozycję + Utwórz.
2. Na karcie Podstawowe skonfiguruj następujące ustawienia:
   1. Wybierz właśnie utworzoną grupę zasobów .
   2. Nadaj obszarowi roboczemu opisową nazwę, na przykład WEB_AUTH_DO_NOT_DELETE_<region>.
   3. Wybierz ten sam region co grupa zasobów i sieć wirtualna.
3. Kliknij przycisk Dalej:Sieć i skonfiguruj następujące elementy:
   1. Wdróż obszar roboczy usługi Azure Databricks z bezpiecznym połączeniem klastra (bez publicznego adresu IP): wybierz pozycję Tak.
   2. Wdróż obszar roboczy usługi Azure Databricks we własnej sieci wirtualnej: wybierz pozycję Tak.
   3. Sieć wirtualna: wybierz właśnie utworzoną sieć wirtualną. Zostanie wyświetlony monit o zdefiniowanie zakresów podsieci.
   4. Dostęp do sieci publicznej: wybierz pozycję Wyłączone.
   5. Wymagane reguły NSG: wybierz NoAzureDatabricksRules.
4. Kliknij pozycję Przejrzyj i utwórz, a następnie Utwórz.

Po utworzeniu obszaru roboczego chroń go przed przypadkowym usunięciem.

1. W witrynie Azure Portal przejdź do właśnie utworzonego obszaru roboczego.
2. Przejdź do pozycji Ustawienia i wybierz pozycję Blokady.
3. Kliknij pozycję + Dodaj.
4. Ustaw wartość Typ blokady na Usuń i podaj opisową nazwę blokady.
5. Kliknij przycisk OK.

Utwórz prywatny punkt końcowy browser_authentication

Po utworzeniu obszaru roboczego należy utworzyć browser_authentication prywatny punkt końcowy, aby połączyć go z tranzytową siecią VNet.

1. Na karcie Sieć obszaru roboczego uwierzytelniania internetowego wybierz pozycję Połączenia z prywatnym punktem końcowym.
2. Kliknij Prywatny punkt końcowy.
3. Wybierz grupę zasobów dla punktu końcowego, podaj nazwę na przykład web-auth-browser-auth-pe. Sprawdź, czy region jest zgodny z obszarem roboczym.
4. Kliknij przycisk Dalej: zasób.
5. Ustaw docelowy zasób podrzędny na browser_authentication.
6. Kliknij przycisk Dalej: Sieć wirtualna.
7. Wybierz swój VNet tranzytowy (ten sam VNet używany dla prywatnego punktudatabricks_ui_api końcowego).
8. Wybierz podsieć, która hostuje prywatne punkty końcowe.
9. Kliknij przycisk Dalej i sprawdź, czy opcja Integracja z prywatną strefą DNS jest ustawiona na wartość Tak. Powinna ona automatycznie wybrać strefę privatelink.azuredatabricks.net .
10. Ukończ tworzenie punktu końcowego.

Konfiguruj i weryfikuj DNS

Po wdrożeniu prywatnych punktów końcowych należy sprawdzić, czy usługa DNS prawidłowo rozpoznaje adresy URL usługi Azure Databricks w nowych prywatnych adresach IP.

1. Sprawdź prywatne rekordy strefy DNS:
   1. W witrynie Azure Portal wyszukaj i przejdź do prywatnej strefy DNS o nazwie privatelink.azuredatabricks.net.
   2. Sprawdź, czy istnieją następujące A rekordy i wskaż prywatne adresy IP punktów końcowych:
      1. Rekord UI/API obszaru roboczego:
         • Nazwa: Unikatowy identyfikator obszaru roboczego, na przykład adb-xxxxxxxxxxxxxxxx.x
         • Wartość: prywatny adres IP prywatnego punktu końcowego databricks_ui_api .
      2. Rekord uwierzytelniania przeglądarki:
         • Nazwa: wybierz opisową nazwę, taką jak pl-auth.<your_region>.
         • Wartość: prywatny adres IP prywatnego punktu końcowego browser_authentication .

Zweryfikowaj dostęp do sieci prywatnej

Upewnij się, że możesz uzyskać dostęp do obszaru roboczego za pośrednictwem połączenia z siecią prywatną.

Z połączonej sieci

Jeśli sieć lokalna łączy się już z siecią wirtualną platformy Azure za pomocą sieci VPN lub usługi ExpressRoute, test jest prosty:

• Na komputerze otwórz przeglądarkę internetową i przejdź bezpośrednio do adresu URL obszaru roboczego usługi Azure Databricks, aby się zalogować. Pomyślne zalogowanie potwierdza, że Twoje prywatne połączenie działa.

Korzystanie z testowej maszyny wirtualnej

Jeśli nie możesz uzyskać dostępu do sieci wirtualnej obszaru roboczego z bieżącej lokalizacji, utwórz tymczasową maszynę wirtualną ("maszynę pośredniczącą") do testów.

1. Tworzenie maszyny wirtualnej: w portalu Azure utwórz maszynę wirtualną Windows. Umieść go w podsieci, używając tej samej sieci wirtualnej tranzytowej, w której skonfigurowałeś przychodzący prywatny punkt końcowy.
2. Nawiązywanie połączenia z maszyną wirtualną: połącz się z nową maszyną wirtualną przy użyciu klienta Remote Desktop.
3. Przetestuj z maszyny wirtualnej: po nawiązaniu połączenia z maszyną wirtualną otwórz przeglądarkę internetową, przejdź do portalu Azure i znajdź obszar roboczy Azure Databricks.
4. Uruchom obszar roboczy: kliknij pozycję Uruchom obszar roboczy. Pomyślne zalogowanie potwierdza, że dostęp z prywatnej sieci wirtualnej działa prawidłowo.

Weryfikowanie usługi DNS za pomocą polecenia nslookup

1. Połącz się z maszyną wirtualną w skonfigurowanej sieci wirtualnej lub z siecią lokalną za pośrednictwem sieci VPN lub usługi Azure ExpressRoute. Maszyna musi mieć możliwość korzystania z prywatnej usługi DNS platformy Azure.
2. Otwórz wiersz polecenia lub terminal i użyj polecenia nslookup , aby zweryfikować rozpoznawanie nazw DNS.

# Verify the workspace URL resolves to a private IP
nslookup adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

# Expected output:
# Server:  <your-dns-server>
# Address: <your-dns-server-ip>
#
# Name:    adb-xxxxxxxxxxxxxxxx.x.privatelink.azuredatabricks.net
# Address: 10.10.1.4  <-- This should be the private IP of your 'databricks_ui_api' endpoint
# Aliases: adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

Stwórz general_access prywatny punkt końcowy

Utwórz prywatny punkt końcowy, aby uzyskać dostęp do swojej przestrzeni roboczej za pomocą niestandardowego adresu URL. Ten krok jest potrzebny tylko wtedy, gdy chcesz uzyskać dostęp do swojej przestrzeni roboczej za pomocą niestandardowego adresu URL, na przykład <my-custom-account-name>.azuredatabricks.net.

Przygotuj VNet i podsieć

Przygotuj sieć wirtualną i podsieć do hostowania prywatnego punktu końcowego. Możesz utworzyć nowy VNet lub ponownie użyć istniejącego, na przykład swojego workspace VNet.

1. Aby utworzyć nową sieć wirtualną, zobacz Tworzenie sieci wirtualnej platformy Azure.
2. Aby dodać podsieć, zobacz Dodawanie, zmienianie lub usuwanie podsieci sieci wirtualnej.
3. Sprawdź, czy w podsieci zasady sieci prywatnego punktu końcowego są wyłączone. Jest to ustawienie domyślne. Aby uzyskać szczegółowe informacje , zobacz Zarządzanie zasadami sieci dla prywatnych punktów końcowych .

Jeśli używasz istniejącej sieci wirtualnej obszaru roboczego, musisz użyć lub utworzyć inną podsieć z tej używanej przez obszar roboczy. Jeśli sieć wirtualna hostująca prywatny punkt końcowy różni się od sieci wirtualnej wysyłającej ruch, skonfiguruj peering sieci wirtualnych lub łączność. Zobacz Weryfikowanie łączności z siecią wirtualną.

Wdrożenie prywatnego endpointu

1. W witrynie Azure Portal wyszukaj pozycję Prywatne punkty końcowe w witrynie Microsoft Marketplace i wybierz pozycję Utwórz.
2. Wprowadź nazwę i nazwę interfejsu sieciowego, a następnie ustaw region tak, aby był zgodny z regionem sieci wirtualnej obszaru roboczego.
3. Kliknij przycisk Dalej: zasób.
4. Wybierz opcję Połącz z zasobem platformy Azure według ID zasobu lub aliasu.
5. W polu Identyfikator zasobu lub alias wprowadź identyfikator zasobu usługi Private Link dla usług general_access w swoim regionie. Zobacz identyfikatory zasobów usługi Private Link dla usług o wysokich wymaganiach dotyczących wydajności i dostępu ogólnego, aby zobaczyć listę identyfikatorów zasobów.
6. W polu Docelowy zasób podrzędny, wprowadź general_access.
7. Kliknij przycisk Dalej: Sieć wirtualna.
8. Wybierz sieć wirtualną i podsieć przygotowaną w sekcji Przygotowywanie sieci wirtualnej i podsieci .
9. Kliknij przycisk Dalej: DNS.
10. Pozostaw opcję Integracja z prywatną strefą DNS ustawioną na Nie. DNS konfigurujesz ręcznie później.
11. Kliknij przycisk Dalej: tagi.
12. Kliknij przycisk Dalej: Przejrzyj i utwórz.
13. Przejrzyj konfigurację i kliknij przycisk Utwórz , aby wdrożyć prywatny punkt końcowy.
14. Po zakończeniu wdrażania zapisz następujące wartości:
    • Nazwa prywatnego punktu końcowego: nazwa prywatnego punktu końcowego.
    • Identyfikator GUID zasobu: przejdź do zasobu prywatnego punktu końcowego, kliknij Widok JSON, i znajdź wartość w pliku properties.resourceGuidJSON. Jest to wymagane podczas rejestrowania prywatnego punktu końcowego.
    • Prywatny adres IP: w widoku JSON znajdź adres IP w pliku properties.customDnsConfigs[0].ipAddresses[0]. Jest to wymagane podczas konfigurowania systemu DNS.

Rejestrowanie prywatnego punktu końcowego

Po utworzeniu prywatnego punktu końcowego w portalu Azure zarejestruj go w Azure Databricks.

1. Przejdź do konsoli konta usługi Azure Databricks.
2. Na pasku bocznym kliknij pozycję Zabezpieczenia>Sieć>Punkty końcowe>Zarejestruj punkt końcowy.

Pozwól na wpisanie prywatnego endpointu do przestrzeni roboczych z wejściem kontekstowym

1. W konsoli konta kliknij pozycję Zabezpieczenia na pasku bocznym.
2. Kliknij Kontrola ruchu przychodzącego i wychodzącego na podstawie kontekstu w panelu bocznym.
3. W sekcji Polityki na poziomie Workspace kliknij Nowa polityka workspace.
4. W sekcji Ingress > Private Network Access zdefiniuj swoją politykę dostępu prywatnego.
   1. Domyślnie wszystkie zarejestrowane punkty końcowe są dozwolone: Zezwalaj na dostęp ze wszystkich prywatnych punktów końcowych. Jeśli to jest akceptowalne, przejdź do kolejnego kroku. Ten limit domyślnie obejmuje tylko pierwszych 200 zarejestrowanych prywatnych punktów końcowych; jeśli zasady obowiązujące dla Twojego konta wymagają większej liczby, skontaktuj się z opiekunem konta, aby zwiększyć limit.
   2. Jeśli chcesz dodać do listy dozwolonych konkretne zarejestrowane punkty końcowe, jednocześnie blokując wszystkie pozostałe punkty końcowe, odznacz Zezwalaj na dostęp ze wszystkich prywatnych punktów końcowych i dodaj regułę zezwalającą.
      1. Wybierz tożsamości i miejsca docelowe obszaru roboczego, do których chcesz zezwolić na dostęp (domyślnie dostęp do wszystkich tożsamości i miejsc docelowych jest dozwolony).
      2. Dla typu źródła wybierz Wybrane prywatne punkty końcowe i wybierz prywatne punkty docelowe ogólnego dostępu, które zarejestrowałeś. Region tego prywatnego punktu końcowego nie musi odpowiadać regionowi twojej przestrzeni roboczej. Punkt końcowy ogólnego dostępu w dowolnym regionie może obsługiwać przestrzenie robocze w dowolnym regionie.
      3. Kliknij przycisk Potwierdź.
      4. Możesz także dodać zasady Odmowy do swojej polityki, które definiują wyjątki od reguł zezwalania.
5. Po zakończeniu konfiguracji polityki dostępu prywatnego, możesz także skonfigurować politykę dostępu publicznego w Ingress > Public Network Access. Możesz wyłączyć cały dostęp do publicznych adresów IP, odznaczając opcję Zezwalaj na dostęp ze wszystkich publicznych adresów. Azure Databricks zaleca utrzymanie dostępu publicznego podczas testowania konfiguracji DNS, a następnie wyłączenie go po finalizacji DNS, aby wymusić wyłączne połączenie prywatne.
6. Najpierw przetestuj politykę ruchu przychodzącego w trybie testowym, zanim przełączysz ją na Wymuszanie. Odmowy dostępu w trybie próbnym są rejestrowane w tabeli system.access.inbound_network systemowej, ale nie blokują dostępu.
7. Upewnij się, że twoja polityka wyjścia jest poprawna.
8. Dołącz swoją politykę sieciową do przestrzeni roboczej. Obszary robocze, w przypadku których ten ogólny punkt końcowy dostępu nie został dodany do listy dozwolonych, nie są dostępne pod niestandardowym adresem URL.
9. Zachowaj politykę sieciową. Aktualizacje polityki ruchu przychodzącego oparte na kontekście zazwyczaj wchodzą w życie w mniej niż 10 minut.

Konfiguruj DNS dla ogólnego punktu dostępu

Po zarejestrowaniu prywatnego punktu końcowego i dodaniu go do listy dozwolonych skonfiguruj system DNS tak, aby ruch obszaru roboczego był kierowany przez prywatny punkt końcowy przy użyciu domeny niestandardowej <my-custom-account-name>.azuredatabricks.net.

1. Utwórz prywatną strefę DNS Azure o nazwie <my-custom-account-name>.azuredatabricks.net. Jeśli masz już skonfigurowany general_access prywatny punkt końcowy dla przychodzącego połączenia Private Link do zasobów na poziomie konta (zobacz Konfigurowanie przychodzącego połączenia Private Link dla zasobów na poziomie konta), użyj ponownie istniejącej strefy <my-custom-account-name>.azuredatabricks.net. Aby uzyskać informacje o nowych strefach, zobacz Tworzenie prywatnej strefy DNS platformy Azure przy użyciu witryny Azure Portal.
2. Połącz prywatną strefę DNS z siecią wirtualną hostująca prywatny punkt końcowy. Zobacz Łączenie sieci wirtualnej.

Tworzenie rekordu DNS A

Jeśli ponownie użyłeś tej <my-custom-account-name>.azuredatabricks.net strefy i już @ jest tam rekord A wskazujący na prywatny punkt końcowy ogólnego dostępu, pomiń ten krok.

1. Przejdź do nowej prywatnej strefy DNS.
2. Wybierz kartę Zestawy rekordów w obszarze Zarządzanie systemem DNS.
3. Kliknij przycisk Dodaj , aby dodać zestaw rekordów.
4. Skonfiguruj rekord:A
   • Nazwa: @
   • Typ: A
   • Adres IP: Prywatny adres IP Twojego prywatnego punktu końcowego.
5. Kliknij przycisk OK , aby zapisać rekord.

Weryfikacja rozwiązania DNS

Z maszyny w sieci wirtualnej lub z zadania obszaru roboczego dołączonego do prywatnej strefy DNS upewnij się, że zapytania DNS są rozpoznawane jako prywatny adres IP punktu końcowego:

nslookup <my-custom-account-name>.azuredatabricks.net

Możesz też użyć dig:

dig <my-custom-account-name>.azuredatabricks.net

Oba polecenia zwracają prywatny adres IP prywatnego punktu końcowego.

Weryfikacja łączności VNet

Jeśli sieć wirtualna generująca ruch różni się od sieci wirtualnej obsługującej prywatny punkt końcowy, skonfiguruj peering sieci wirtualnych lub łączność między nimi. Aby uzyskać szczegółowe wskazówki, zobacz Scenariusze integracji usługi DNS prywatnego punktu końcowego platformy Azure .

Konfiguruj przychodzący Private Link dla przestrzeni roboczych z zarządzanym odzyskiwaniem po awarii

Przestrzenie robocze z zarządzanym odzyskiwaniem po awarii (patrz Zarządzane odzyskiwanie po awariach) używają Twojego niestandardowego adresu URL jako stabilnego adresu URL przestrzeni roboczej, w formie <my-custom-url>.azuredatabricks.net/?w=stable_connection_id. Ten stabilny adres URL może obsługiwać zarówno Twoje przestrzenie główne, jak i pomocnicze.

Aby skonfigurować przychodzące Private Link dla tych przestrzeni roboczych:

1. System DNS mapuje twój niestandardowy adres URL na zarejestrowany punkt końcowy General Access.
2. Korzystając z ingresu opartego na kontekście, dodaj ten punkt końcowy do listy dozwolonych zarówno w głównym, jak i zapasowym obszarze roboczym.
3. Utworzenie punktu awaryjnego General Access w innym regionie, który zostanie użyty, jeśli region główny stanie się niedostępny. Azure Databricks zaleca, ale nie wymaga, tworzenie go w tym samym regionie co twoja dodatkowa przestrzeń robocza.
4. Korzystając z ingresu opartego na kontekście, dodaj ten punkt końcowy przełączania awaryjnego do listy dozwolonych zarówno w głównym, jak i pomocniczym obszarze roboczym.
5. Powtarzaj kroki 3 i 4 w tylu dodatkowych regionach, ile chcesz.

Jak działa przełączanie awaryjne:

• Główny obszar roboczy niedostępny, główny punkt końcowy nadal dostępny: Twój stabilny adres URL automatycznie nadal obsługuje Twój drugi obszar roboczy przez główny punkt końcowy. Działa to, ponieważ punkt końcowy General Access w dowolnym regionie może obsługiwać przestrzenie robocze w dowolnym regionie.
• Cały region główny wyłączony: Musisz rozwiązać swój niestandardowy adres URL do innego dozwolonego punktu końcowego General Access w krokach 3–4.

Jeśli Twój niestandardowy adres URL obsługuje także obszary robocze bez zarządzanego odzyskiwania po awarii, upewnij się, że ich zasady ruchu przychodzącego oparte na kontekście dopuszczają również punkty końcowe przełączenia awaryjnego, aby dostęp został utrzymany po zmianie aktywnego punktu końcowego.

Niestandardowa konfiguracja DNS

W przypadku korzystania z prywatnego punktu końcowego przychodzącego z własnym niestandardowym systemem DNS należy upewnić się, że adres URL obszaru roboczego i adresy URL uwierzytelniania SSO (logowanie jednokrotne) są prawidłowo rozpoznawane jako adres IP prywatnego punktu końcowego.

Zalecane: przekazywanie warunkowe

Najbardziej niezawodną metodą jest skonfigurowanie serwera DNS do przekazywania zapytań dotyczących wszystkich domen usługi Databricks do wewnętrznego systemu DNS platformy Azure.

1. Skonfiguruj przekazywanie warunkowe dla następujących domen na serwerze Usługi Azure DNS:
   • *.azuredatabricks.net
   • *.privatelink.azuredatabricks.net
   • *.databricksapps.com
   • Twój niestandardowy adres URL: <my-custom-account-name>.azuredatabricks.net
2. Sprawdź, czy sieć wirtualna łączy się z prywatną strefą DNS platformy Azure.

To umożliwia platformie Azure automatyczne rozpoznawanie wszystkich niezbędnych nazw hostów, w tym adresów URL logowania jednokrotnego (SSO) i obszarów roboczych, na adres IP prywatnego punktu końcowego.

Alternatywa: ręczne rekordy

Jeśli przekazywanie warunkowe nie jest opcją, należy ręcznie utworzyć rekordy DNS A .

1. Adres URL obszaru roboczego: utwórz rekord A, który mapuje adres URL przypisany do danego obszaru roboczego, na przykład adb-1111111111111.15.azuredatabricks.net, na adres IP prywatnego punktu końcowego.
2. Adres uwierzytelniania SSO: Utwórz A rekord mapujący regionalny adres SSO, np. westus.pl-auth.azuredatabricks.net, na prywatny adres IP końcowego.
3. Niestandardowy adres URL: Utwórz rekord A, który mapuje niestandardowy adres URL, taki jak <my-custom-account-name>.azuredatabricks.net, na prywatny adres IP punktu końcowego.

Niektóre regiony platformy Azure używają wielu wystąpień płaszczyzny sterowania dla jednokrotnego logowania. Może być konieczne utworzenie kilku A rekordów na potrzeby uwierzytelniania. Skontaktuj się z zespołem konta usługi Azure Databricks, aby uzyskać pełną listę domen dla Twojego regionu.

Dodatkowe zasoby