Private Link-koncept

Azure Private Link skapar en privat och säker anslutning mellan dina Azure Databricks-resurser och dina Azure-tjänster och serverlösa resurser, vilket säkerställer att nätverkstrafiken inte exponeras för det offentliga Internet.

Azure Databricks har stöd för tre typer av Private Link-anslutningar:

• Inbound (front-end): Säkrar anslutningar från användare till arbetsytor och kontonivåresurser (till exempel kontokonsolen och kontonivå Genie One)
• Utgående (serverlös): Skyddar anslutningar från serverlösa beräkningar i Azure Databricks till dina Azure-resurser
• Klassisk (serverdel): Skyddar anslutningar från klassisk beräkning till kontrollplanet

Översikt över privat anslutning

Azure Private Link möjliggör säker, privat anslutning från dina virtuella Azure-nätverk och lokala nätverk till Azure-tjänster, vilket säkerställer att trafiken förblir isolerad från det offentliga Internet. Privat nätverk från början till slut hjälper dig att uppfylla säkerhets- och efterlevnadskrav och minskar risken för dataexfiltration.

Du kan aktivera inkommande (klientdel), utgående (serverlös) eller klassisk beräkning (serverdel) Private Link-anslutningar oberoende av varandra eller i kombination. Rätt val beror på dina krav på säkerhet och efterlevnad. Du kan till exempel framtvinga privat anslutning till dina Azure Databricks resurser samtidigt som du avvisar alla offentliga nätverksanslutningar automatiskt. Den här kombinerade metoden ger omfattande nätverksisolering, minskar din attackyta och stöder efterlevnad för känsliga arbetsbelastningar.

Med Private Link kan du:

• Blockera dataåtkomst från obehöriga nätverk eller offentligt Internet när du använder Azure Databricks-webbprogrammet eller API:erna.
• Minska risken för dataexfiltrering genom att begränsa nätverksexponeringen till godkända privata slutpunkter.

Välj rätt Private Link-implementering

Använd den här guiden för att avgöra vilken implementering som passar bäst för dina behov.

Inkommande anslutning (klientdel)

Inbound Private Link skyddar anslutningen mellan användare och arbetsytor i Azure Databricks samt resurser på kontonivå. Trafik dirigerar via en privat slutpunkt i ditt virtuella transitnätverk i stället för offentliga IP-adresser. Inkommande Private Link ger säker åtkomst till:

• Azure Databricks-webbapplikation
• REST API
• Databricks-appar
• Databricks Connect API
• Azure Databricks prestandaintensiva tjänster

Se Konfigurera inkommande privat anslutning.

Utgående anslutning (serverlös)

Utgående Private Link möjliggör privat anslutning från serverlösa beräkningsresurser i Azure Databricks till dina Azure-resurser. Till skillnad från inkommande och klassiska beräkningsplanet Private Link, som skyddar anslutningar till Azure Databricks, skyddar utgående Private Link anslutningar från serverlös beräkning till dina kundresurser.

Serverless Private Link använder Nätverksanslutningskonfigurationer (NCC), som är regionala konstruktioner på kontonivå som hanterar skapandet av privata slutpunkter i stor skala. NCC:er kan kopplas till flera arbetsytor i samma region.

Privat anslutning för klassiska beräkningsplan

Det klassiska beräkningsplanet Private Link skyddar anslutningen från Azure Databricks-kluster till kontrollplanet. Kluster ansluter till kontrollplanet för REST-API:er och säkert klusteranslutningsrelä.

Private Link-adresser för det klassiska beräkningsplanet:

• Efterlevnadskrav: Hjälper till att uppfylla strikta krav på regelefterlevnad och företagsefterlevnad som kräver att all intern molntrafik ska finnas kvar i ett privat nätverk.
• Härdning av nätverksperimeter: Genom att implementera det klassiska beräkningsplanet Private Link tillsammans med privata slutpunkter för Azure-tjänster kan du begränsa nätverksexponeringen. Detta minskar risken för dataexfiltrering genom att säkerställa att databearbetningskluster inte har någon sökväg till obehöriga tjänster eller mål på det offentliga Internet.

Se Konfigurera privat serverdelsanslutning.

Virtuella nätverk för privat anslutning

Privat anslutning använder två distinkta virtuella nätverk (VNets).

• Överföring av virtuellt nätverk: Det här virtuella nätverket fungerar som en central hubb för användaranslutning och innehåller de inkommande privata slutpunkter som krävs för klientåtkomst till arbetsytor och för webbläsarbaserad SSO-autentisering.
• VNet för arbetsyta: Det här är ett virtuellt nätverk som du skapar specifikt för att vara värd för din Azure Databricks-arbetsyta och klassiska privata slutpunkter.

Undernätsallokering och storleksändring

Planera dina undernät i varje virtuellt nätverk för att stödja privata anslutningar och distributioner.

• Överföring av VNet-undernät:

  • Privat slutpunktsundernät: Allokerar IP-adresser för alla inkommande privata slutpunkter.
  • Undernät för webbläsarautentiseringsarbetsyta: Två dedikerade undernät, en värd eller ett offentligt undernät och en container eller ett privat undernät, rekommenderas för att distribuera arbetsytan för webbläsarautentisering.

• VNet-undernät för arbetsyta:

  • Arbetsyteundernät: Två undernät, en värd eller ett offentligt undernät och en container eller ett privat undernät, krävs för själva distributionen av Azure Databricks-arbetsytan. Information om storlekar för undernät inom arbetsytor finns i Riktlinjer för adressrymd.
  • Klassiskt privat slutpunktsundernät: Ytterligare ett undernät krävs för att husera den privata slutpunkten för den klassiska beräkningsplanetens privata anslutning.

Storleksändringen beror på dina individuella implementeringsbehov, men du kan använda följande som en guide:

Privata Azure Databricks-slutpunkter

Azure Databricks använder fyra distinkta typer av privata endpoints för att privatisera trafik. Förstå deras olika roller för att implementera dem korrekt.

• Slutpunkt för arbetsyta (databricks_ui_api): Det här är den primära privata slutpunkten för att skydda trafik till och från din arbetsyta. Den hanterar REST API-anrop för både inkommande och klassiska beräkningsplanet Private Link.
• Slutpunkt för webbautentisering (browser_authentication): Detta är en specialiserad, ytterligare slutpunkt som endast krävs för att få enkel Sign-On (SSO) att fungera för webbläsarinloggningar via en privat anslutning. Det krävs för inkommande och slutpunkt-till-slutpunkt-anslutning.
• Allmän åtkomstendpoint (general_access): Denna privata endpoint säkrar trafik till och från din arbetsplats och kontonivåresurser (till exempel kontokonsolen och kontonivå Genie One). Den kan hantera REST API-anrop för både inkommande och klassisk beräkningsplanet Private Link, samt webbläsarautentisering via SSO. Den kan leverera anpassad URL-trafik (till exempel <my-custom-account-name>.azuredatabricks.net), och den kan leverera arbetsytor i olika regioner från en enda endpoint. Azure Databricks rekommenderar fortfarande att använda databricks_ui_api och browser_authentication endpoints för att hantera arbetsytstrafik som begärs via icke-anpassade URL:er, för att underlätta konfiguration av privat DNS-zon. Se Konfigurera inkommande Private Link för arbetsområden.
• Service Direct-endpoint (service_direct): Denna endpoint behövs för att få tillgång till prestandaintensiva tjänster. Se Konfigurera inkommande Private Link för prestandaintensiva tjänster.

Observera följande för privata slutpunkter:

• Delade endpointer: Privata endpointer för allmän åtkomst kan delas mellan flera arbetsytor och resurser på kontonivå i valfri region. För klassisk anslutning till beräkningsplan kan en enda uppsättning privata slutpunkter hantera alla arbetsytor som distribueras i det virtuella nätverket och regionen. Slutpunkter för webbläsarautentisering kan också delas mellan arbetsytor i samma region.
• Regionspecifik: Privata slutpunkter är regionspecifika resurser. För databricks_ui_api, browser_authenticationoch service_direct slutpunkter kräver arbetsytor i olika regioner separata privata slutpunktskonfigurationer. För allmänna åtkomstslutpunkter kan arbetsytor i olika regioner dela en enda slutpunkt i valfri region.

Viktiga överväganden

Tänk på följande innan du konfigurerar privat anslutning:

• Om du har en princip för nätverkssäkerhetsgrupper aktiverad på den privata slutpunkten måste du tillåta portarna 443, 6666, 3306 och 8443-8451 för inkommande säkerhetsregler i nätverkssäkerhetsgruppen i undernätet där den privata slutpunkten distribueras.
• Om du vill skapa en anslutning mellan nätverket och Azure-portalen och dess tjänster kan du behöva lägga till URL:er för Azure-portalen i listan över tillåtna. Se Tillåt URL:er för Azure-portalen på brandväggen eller proxyservern.