Eingehende private Verbindung für Arbeitsbereiche konfigurieren

Diese Seite bietet Anweisungen zur Konfiguration der eingehenden privaten Verbindung zwischen Benutzern und ihren Azure Databricks-Arbeitsbereichen.

• Informationen zum Aktivieren der privaten Konnektivität mit der klassischen Computeebene für Azure Databricks finden Sie unter Konfigurieren der privaten Konnektivität der klassischen Computeebene zu Azure Databricks.
• Informationen zum Herstellen einer Verbindung von der serverlosen Computeebene mit Azure-Ressourcen finden Sie unter Konfigurieren der privaten Konnektivität mit Azure-Ressourcen.

Warum eine eingehende Verbindung auswählen?

Unabhängig davon, ob Sie serverlose oder klassische Compute verwenden, müssen Benutzer eine Verbindung mit Azure Databricks herstellen. Organisationen entscheiden sich aus mehreren Gründen für die Verbindung mit Azure Databricks, einschließlich der folgenden:

• Verbesserte Sicherheit: Indem Sie den gesamten Zugriff auf private Endpunkte einschränken und den öffentlichen Zugriff deaktivieren, minimieren Sie die Angriffsfläche und überprüfen, ob alle Benutzerinteraktionen mit Azure Databricks über ein sicheres, privates Netzwerk erfolgen.
• Complianceanforderungen: Viele Organisationen haben strenge Compliance-Vorgaben, die vorschreiben, dass der gesamte Datenverkehr und der Datenverkehr der Verwaltungsebene innerhalb ihrer privaten Netzwerkgrenzen verbleiben, selbst bei SaaS-Diensten wie Azure Databricks.
• Vereinfachte Netzwerkarchitektur (für bestimmte Anwendungsfälle): Wenn Sie nur serverloses Computing verwenden oder hauptsächlich über die Web-UI oder REST-APIs mit Azure Databricks interagieren und keinen unmittelbaren Bedarf an privater Konnektivität zu Datenquellen von Azure Databricks haben (wofür eine Private Link-Verbindung der klassischen Compute-Ebene erforderlich ist), vereinfacht eine reine eingehende Konfiguration das gesamte Netzwerkdesign.
• Verhinderung von Datenexfiltration: Indem Sie den öffentlichen Zugriff verhindern und den gesamten Datenverkehr über private Endpunkte erzwingen, verringern Sie das Risiko der Datenexfiltration, um sicherzustellen, dass nur von authentifizierten Netzwerkumgebungen auf Datenverkehr zugegriffen werden kann.

Konnektivitätsmodell

Sie können private Konnektivität auf eine von zwei Arten konfigurieren:

• Kein öffentlicher Zugriff: Mit dieser Konfiguration wird der gesamte öffentliche Zugriff auf den Arbeitsbereich deaktiviert. Der gesamte Benutzerdatenverkehr muss von einem VNet stammen, das über einen privaten Endpunkt verbunden ist. Dieses Modell ist für die vollständige Verkehrsprivatisierung erforderlich. Für die vollständige Datenverkehrsprivatisierung benötigen Sie auch eine klassische Compute-Ebene-Private-Link-Verbindung. Siehe Private Link-Konzepte.
• Hybridzugriff: Private Verknüpfung ist aktiv, aber der öffentliche Zugriff bleibt mit kontextbasierten Eingangssteuerelementen und IP-Zugriffslisten aktiviert. Mit kontextbasierten Eingangssteuerelementen können Sie den Zugriff basierend auf Identität, Anforderungstyp und Netzwerkquelle einschränken. Auf diese Weise können Sie den Zugriff aus vertrauenswürdigen öffentlichen Quellen (z. B. statische Unternehmens-IPs) sicher zulassen und gleichzeitig private Verknüpfungen für private Verbindungen verwenden.

In diesem Handbuch wird erläutert, wie das Hybridzugriffsmodell implementiert wird. Dies erreichen wir mit einer standardmäßigen Hub-and-Spoke-Netzwerktopologie.

Architekturübersicht

Dieses Modell verwendet das Transit-VNet:

• Transit-VNet: Dies ist Ihr zentrales virtuelles Netzwerk, das alle privaten Endpunkte enthält, die für den Clientzugriff auf Arbeitsbereiche und die Browserauthentifizierung erforderlich sind. Ihr Browserauthentifizierungsarbeitsbereich stellt auch eine Verbindung mit diesem VNet bereit.

Bevor Sie anfangen

Überprüfen Sie die folgenden Voraussetzungen und Empfehlungen:

Anforderungen

• Der Arbeitsbereich befindet sich im Premium-Plan.
• Ihr Arbeitsbereich verwendet die VNet-Einbindung. Siehe Bereitstellen von Azure Databricks in Ihrem virtuellen Azure-Netzwerk (VNet Injection)
• Sie müssen über Azure-Berechtigungen verfügen, um private Endpunkte zu erstellen und DNS-Einträge zu verwalten.

Netzwerkkonfiguration

• Ein Transit-VNet, das für Folgendes konfiguriert ist:
  • Er fungiert als primärer Transitpunkt für den gesamten Benutzer-/Clientdatenverkehr, der eine Verbindung mit Ihrem Azure-Netzwerk herstellt.
  • Sie bietet eine zentrale Konnektivität für lokale oder andere externe Netzwerke.
  • Sie verwaltet gemeinsame Dienste und enthält die primäre Route für ausgehenden Internetdatenverkehr (Ausgang).
• Ihre privaten DNS-Zonen werden von Azure DNS verwaltet.

Bewährte Methoden

Azure Databricks empfiehlt Folgendes für ein robustes und verwaltbares Setup:

• Architektur: Ihr Netzwerk muss der Microsoft empfohlenen Hub-Spoke-Architektur folgen. Siehe Hub-Spoke-Netzwerktopologie in Azure.
• Isolierter Authentifizierungsarbeitsbereich: Um die Resilienz zu verbessern, erstellen Sie einen separaten Browserauthentifizierungsarbeitsbereich in Ihrem Transit-VNet. Dieser dedizierte Arbeitsbereich sollte den privaten Endpunkt der Browserauthentifizierung hosten und einen einzelnen Fehlerpunkt verhindern, wenn andere Arbeitsbereiche gelöscht werden. Siehe Arbeitsbereich erstellenbrowser_authentication.

Konfigurieren der privaten Konnektivität für einen vorhandenen Arbeitsbereich

Bevor Sie beginnen, müssen Sie alle Computeressourcen wie Cluster, Pools oder klassische SQL-Lagerhäuser beenden. Es können keine Arbeitsbereichsberechnungsressourcen ausgeführt werden, oder der Upgradeversuch schlägt fehl. Azure Databricks empfiehlt die Planung des Zeitpunkts des Upgrades für Ausfallzeiten.

1. Wählen Sie auf der Seite "Arbeitsbereiche " die Option "Berechnen" aus.
2. Wählen Sie jeden aktiven Computecluster aus, und klicken Sie oben rechts auf "Beenden".

Überprüfen Sie VNet-injizierten Arbeitsbereich mit aktiviertem öffentlichen Zugriff

1. Wechseln Sie zum Azure Databricks-Arbeitsbereich im Azure-Portal.
2. Überprüfen Sie im Abschnitt "Arbeitsbereichsübersicht", ob Ihr Azure Databricks-Arbeitsbereich Ihr eigenes virtuelles Netzwerk verwendet:
   1. Wählen Sie unter "Einstellungen" die Registerkarte " Netzwerk " aus. Bestätigen Sie die folgenden Einstellungen:
      1. Sichere Clusterkonnektivität (keine öffentliche IP) ist aktiviert.
      2. Der Zugriff auf öffentliche Netzwerke ist aktiviert.

Private Endpunkt erstellen databricks_ui_api

1. Wählen Sie auf der Registerkarte "Netzwerk " Ihres Arbeitsbereichs "Private Endpunktverbindungen" aus.
2. Klicken Sie auf Privater Endpunkt.
3. Wählen Sie die Ressourcengruppe für den Endpunkt aus, geben Sie einen Namen wie my-workspace-fe-pe. Überprüfen Sie, ob die Region Ihrem Arbeitsbereich entspricht.
4. Klicken Sie auf Weiter: Ressource.
5. Legen Sie die Zielunterressource auf databricks_ui_api.
6. Klicken Sie auf Weiter: Virtuelles Netzwerk.
7. Wählen Sie Ihr Transit-VNet aus. Ihr Transit-VNet ist ein separates, bereits vorhandenes VNet in Ihrer Netzwerkarchitektur, das den Ausgangsverkehr verwaltet und sichert, häufig eine zentrale Firewall enthält.
8. Wählen Sie das Subnetz aus, das die privaten Endpunkte hostet.
9. Klicken Sie auf "Weiter" , und überprüfen Sie, ob die Integration in die private DNS-Zone auf "Ja" festgelegt ist. Sie sollte die privatelink.azuredatabricks.net Zone automatisch auswählen.

Einen browser_authentication Arbeitsbereich erstellen

Erstellen Sie einen privaten Endpunkt für die Browserauthentifizierung, um SSO über Ihren privaten Netzwerkpfad zu unterstützen. Azure Databricks empfiehlt, diesen Endpunkt in einem dedizierten privaten Webauthentifizierungsarbeitsbereich zu hosten.

Erstellen einer Ressourcengruppe

1. Navigieren Sie im Azure-Portal zu Ressourcengruppen, und wählen Sie sie aus.
2. Klicken Sie auf + Erstellen.
3. Geben Sie einen Namen für die Ressourcengruppe an, wie z. B. web-auth-rg-eastus.
4. Wählen Sie für "Region" dieselbe Azure-Region aus, in der Ihre Databricks-Produktionsarbeitsbereiche bereitgestellt werden.
5. Klicken Sie auf "Überprüfen" und dann auf "Erstellen".

Erstellen eines VNET

1. Suchen Sie im Azure-Portal nach der Option Virtuelle Netzwerke und wählen Sie sie aus.
2. Klicken Sie auf + Erstellen.
3. Wählen Sie auf der Registerkarte "Grundlagen" die soeben erstellte Ressourcengruppe aus und geben Sie dem VNet einen beschreibenden Namen, z. B. "".
4. Überprüfen Sie, ob die Region Ihrer Ressourcengruppe entspricht.
5. Definieren Sie auf der Registerkarte " IP-Adressen " einen IP-Adressraum für das VNet, 10.20.0.0/16z. B. . Sie werden auch aufgefordert, ein erstes Subnetz zu erstellen.
6. Wählen Sie Überprüfen + Erstellen und dann Erstellen aus.

Erstellen und Sichern des privaten Webauthentifizierungsarbeitsbereichs

1. Suchen Sie im Azure-Portal nach Azure Databricks, und wählen Sie sie aus. Klicken Sie auf + Erstellen.
2. Konfigurieren Sie auf der Registerkarte " Grundlagen " Folgendes:
   1. Wählen Sie die soeben erstellte Ressourcengruppe aus.
   2. Weisen Sie dem Arbeitsbereich einen beschreibenden Namen zu, wie z. B. WEB_AUTH_DO_NOT_DELETE_<region>.
   3. Wählen Sie dieselbe Region wie Ihre Ressourcengruppe und VNet aus.
3. Klicken Sie auf "Weiter:Netzwerk" , und konfigurieren Sie Folgendes:
   1. Bereitstellen des Azure Databricks-Arbeitsbereichs mit sicherer Clusterkonnektivität (keine öffentliche IP): Wählen Sie "Ja" aus.
   2. Bereitstellen des Azure Databricks-Arbeitsbereichs in Ihrem eigenen virtuellen Netzwerk (VNet): Wählen Sie "Ja" aus.
   3. Virtuelles Netzwerk: Wählen Sie das soeben erstellte VNet aus. Sie werden aufgefordert, Subnetzbereiche zu definieren.
   4. Öffentlicher Netzwerkzugriff: Wählen Sie "Deaktiviert" aus.
   5. Erforderliche NSG-Regeln: Wählen Sie "NoAzureDatabricksRules" aus.
4. Klicken Sie auf "Überprüfen" und dann auf "Erstellen".

Nachdem Sie den Arbeitsbereich erstellt haben, schützen Sie ihn vor versehentlichem Löschen.

1. Navigieren Sie im Azure-Portal zu dem soeben erstellten Arbeitsbereich.
2. Wechseln Sie zu "Einstellungen" , und wählen Sie "Sperren" aus.
3. Klicken Sie auf + Hinzufügen.
4. Legen Sie den Sperrtyp auf "Löschen " fest, und geben Sie einen beschreibenden Sperrnamen an.
5. Klicke auf OK.

Erstellen Sie den privaten Endpunkt für browser_authentication

Nach dem Erstellen des Arbeitsbereichs müssen Sie den browser_authentication privaten Endpunkt erstellen, um ihn mit Ihrem Transit-VNet zu verbinden.

1. Wählen Sie auf der Registerkarte " Netzwerk " des Webauthentifizierungsarbeitsbereichs "Private Endpunktverbindungen" aus.
2. Klicken Sie auf Privater Endpunkt.
3. Wählen Sie die Ressourcengruppe für den Endpunkt aus, geben Sie einen Namen wie web-auth-browser-auth-pe. Überprüfen Sie, ob die Region Ihrem Arbeitsbereich entspricht.
4. Klicken Sie auf Weiter: Ressource.
5. Legen Sie die Zielunterressource auf browser_authentication.
6. Klicken Sie auf Weiter: Virtuelles Netzwerk.
7. Wählen Sie Ihr Transit-VNet aus (dasselbe VNet, das für den privatendatabricks_ui_api Endpunkt verwendet wird).
8. Wählen Sie das Subnetz aus, das die privaten Endpunkte hostet.
9. Klicken Sie auf "Weiter" , und überprüfen Sie, ob die Integration in die private DNS-Zone auf "Ja" festgelegt ist. Sie sollte die privatelink.azuredatabricks.net Zone automatisch auswählen.
10. Schließen Sie die Endpunkterstellung ab.

DNS konfigurieren und überprüfen

Nachdem Sie die privaten Endpunkte bereitgestellt haben, müssen Sie überprüfen, ob das DNS die Azure Databricks-URLs korrekt auf ihre neuen privaten IP-Adressen auflöst.

1. Überprüfen privater DNS-Zoneneinträge:
   1. Suchen Und navigieren Sie im Azure-Portal zur privaten DNS-Zone mit dem Namen privatelink.azuredatabricks.net.
   2. Überprüfen Sie, ob die folgenden A Datensätze vorhanden sind, und zeigen Sie auf die privaten IP-Adressen Ihrer Endpunkte:
      1. Arbeitsbereichs-UI/API-Eintrag:
         • Name: Ihre eindeutige Arbeitsbereichs-ID, z. B. adb-xxxxxxxxxxxxxxxx.x
         • Wert: Die private IP-Adresse Ihres databricks_ui_api privaten Endpunkts.
      2. Browserauthentifizierungseintrag:
         • Name: Wählen Sie einen beschreibenden Namen wie pl-auth.<your_region>.
         • Wert: Die private IP-Adresse Ihres browser_authentication privaten Endpunkts.

Überprüfen Sie den Zugang zu privatem Netzwerk

Vergewissern Sie sich, dass Sie über Ihre private Netzwerkverbindung auf den Arbeitsbereich zugreifen können.

Über ein verbundenes Netzwerk

Wenn Ihr lokales Netzwerk bereits eine Verbindung mit Ihrem Azure VNet über VPN oder ExpressRoute herstellt, ist der Test einfach:

• Öffnen Sie auf Ihrem Computer einen Webbrowser, und wechseln Sie direkt zu Ihrer Azure Databricks-Arbeitsbereichs-URL, um sich anzumelden. Eine erfolgreiche Anmeldung bestätigt, dass Ihre private Verbindung funktioniert.

Verwenden eines virtuellen Testcomputers

Wenn Sie nicht von Ihrem aktuellen Speicherort aus auf das Arbeitsbereich-VNet zugreifen können, erstellen Sie einen temporären virtuellen Computer (ein Sprungfeld), aus dem Sie testen können:

1. Erstellen Sie einen virtuellen Computer: Erstellen Sie im Azure-Portal einen Windows virtuellen Computer. Platzieren Sie es in einem Subnetz unter Verwendung desselben Transit-VNet, in dem Sie Ihren eingehenden privaten Endpunkt konfiguriert haben.
2. Herstellen einer Verbindung mit dem virtuellen Computer: Verwenden Sie einen Remotedesktop-Client, um eine Verbindung mit Ihrer neuen VM herzustellen.
3. Testen Sie vom virtuellen Computer: Nachdem Sie eine Verbindung mit dem virtuellen Computer hergestellt haben, öffnen Sie einen Webbrowser, wechseln Sie zum Azure-Portal, und suchen Sie ihren Azure Databricks Arbeitsbereich.
4. Arbeitsbereich starten: Klicken Sie auf "Arbeitsbereich starten". Eine erfolgreiche Anmeldung bestätigt, dass der Zugriff über Ihr privates VNet ordnungsgemäß funktioniert.

Überprüfen von DNS mit nslookup

1. Stellen Sie eine Verbindung mit einem virtuellen Computer in Ihrem konfigurierten VNet oder mit Ihrem lokalen Netzwerk über VPN oder Azure ExpressRoute her. Ihr Computer muss in der Lage sein, das private DNS von Azure zu verwenden.
2. Öffnen Sie eine Eingabeaufforderung oder ein Terminal und verwenden Sie nslookup, um die DNS-Auflösung zu überprüfen.

# Verify the workspace URL resolves to a private IP
nslookup adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

# Expected output:
# Server:  <your-dns-server>
# Address: <your-dns-server-ip>
#
# Name:    adb-xxxxxxxxxxxxxxxx.x.privatelink.azuredatabricks.net
# Address: 10.10.1.4  <-- This should be the private IP of your 'databricks_ui_api' endpoint
# Aliases: adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

Private Endpunkt erstellen general_access

Erstellen Sie einen privaten Endpunkt für den benutzerdefinierten URL-Zugriff auf Ihren Arbeitsbereich. Dieser Schritt ist nur erforderlich, wenn du zum Beispiel mit deiner eigenen URL auf deinen Arbeitsbereich zugreifen möchtest. <my-custom-account-name>.azuredatabricks.net

Bereite VNet und Subnetz vor

Bereiten Sie ein VNet und ein Subnetz vor, um den privaten Endpunkt zu hosten. Du kannst ein neues VNet erstellen oder ein bestehendes, zum Beispiel dein Workspace-VNet, wiederverwenden.

1. Informationen zum Erstellen eines neuen VNet finden Sie unter Erstellen eines virtuellen Azure-Netzwerks.
2. Informationen zum Hinzufügen eines Subnetzes finden Sie unter Hinzufügen, Ändern oder Löschen eines virtuellen Netzwerksubnetz.
3. Stellen Sie sicher, dass die Richtlinie für das private Endpunktnetzwerk in Ihrem Subnetz deaktiviert ist. Dies ist die Standardeinstellung. Details finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte .

Wenn Sie ein vorhandenes Arbeitsbereichs-VNet wiederverwenden, müssen Sie ein anderes Subnetz verwenden oder erstellen, als das vom Arbeitsbereich verwendete. Wenn sich das VNet, das den privaten Endpunkt hostet, vom VNet-Sendedatenverkehr unterscheidet, konfigurieren Sie VNet-Peering oder Konnektivität. Siehe Überprüfen der VNet-Konnektivität.

Deploye einen privaten Endpunkt

1. Suchen Sie im Azure-Portal nach privaten Endpunkten in Microsoft Marketplace, und wählen Sie "Erstellen" aus.
2. Geben Sie einen Namen und einen Netzwerkschnittstellennamen ein, und legen Sie die Region so fest, dass sie Ihrer Arbeitsbereich-VNet-Region entspricht.
3. Klicken Sie auf Weiter: Ressource.
4. Wählen Sie Verbinden mit einer Azure Ressource nach Ressourcen-ID oder Alias aus.
5. Geben Sie im Feld "Ressourcen-ID" oder "Alias" die Private Link Dienstressourcen-ID für general_access Dienste für Ihre Region ein. Siehe Ressourcen-IDs des Private Link-Diensts für leistungsintensive Dienste und allgemeinen Zugriff für die Liste der Ressourcen-IDs.
6. Geben Sie im Feld "Ziel-Unterressource " die Zeichenfolge general_accessein.
7. Klicken Sie auf Weiter: Virtuelles Netzwerk.
8. Wählen Sie das virtuelle Netzwerk und das Subnetz aus, das Sie im Abschnitt " Vorbereiten von VNet und Subnetz" vorbereitet haben.
9. Klicken Sie auf Weiter: DNS.
10. Lassen Sie Integration in private DNS-Zone auf Nein eingestellt. DNS konfiguriert man später manuell.
11. Klicken Sie auf Weiter: Tags.
12. Klicken Sie auf Weiter: Überprüfen und erstellen.
13. Überprüfen Sie die Konfiguration, und klicken Sie auf "Erstellen ", um den privaten Endpunkt bereitzustellen.
14. Notieren Sie nach Abschluss der Bereitstellung die folgenden Werte:
    • Name des privaten Endpunkts: Der Name Ihres privaten Endpunkts.
    • Ressourcen-GUID: Wechseln Sie zur privaten Endpunktressource, klicken Sie auf DIE JSON-Ansicht, und suchen Sie den Wert in properties.resourceGuid. Dies ist erforderlich, wenn Sie Ihren privaten Endpunkt registrieren.
    • Private IP-Adresse: Suchen Sie in der JSON-Ansicht die IP-Adresse in properties.customDnsConfigs[0].ipAddresses[0]. Dies ist erforderlich, wenn Sie DNS konfigurieren.

Registrieren Ihres privaten Endpunkts

Nachdem Sie Ihren privaten Endpunkt im Azure-Portal erstellt haben, registrieren Sie ihn bei Azure Databricks.

1. Wechseln Sie zur Azure Databricks-Kontokonsole.
2. Klicken Sie in der Seitenleiste auf Sicherheit>Netzwerke>Endpunkte>Endpunkt registrieren.

Erlaubt deinen privaten Endpunkt zu Arbeitsbereichen mit kontextbasiertem Eingang

1. Klicken Sie in der Kontokonsole auf " Sicherheit " in der Randleiste.
2. Klicken Sie auf das kontextbasierte Eingangs- und Ausgangssteuerelement in der Randleiste.
3. Unter Workspace-Level-Richtlinien klickst du auf Neue Workspace-Richtlinie.
4. Unter Ingress > Private Network Access definieren Sie Ihre private Zugriffsrichtlinie.
   1. Standardmäßig sind alle registrierten Endpunkte erlaubt: Zugriff von allen privaten Endpunkten erlauben. Wenn das akzeptabel ist, gehen Sie zum nächsten Schritt über. Diese Standardeinstellung umfasst nur die ersten 200 registrierten privaten Endpunkte; wenn Ihre Richtlinie mehr erfordert, wenden Sie sich an Ihr Kontoteam, um eine Erhöhung zu beantragen.
   2. Wenn Sie bestimmte registrierte Endpunkte zulassen möchten, während alle anderen Endpunkte abgelehnt werden, deaktivieren Sie das Kreuz "Zugriff von allen privaten Endpunkten erlauben " und fügen Sie eine Erlaubnisregel hinzu.
      1. Wählen Sie die Identitäten und Arbeitsbereichs-Ziele aus, auf die Sie Zugriff erlauben möchten (standardmäßig sind alle Identitäten und Ziele erlaubt).
      2. Für den Quelltyp wählen Sie ausgewählte private Endpunkte und wählen Sie die privaten Endpunkte des allgemeinen Zugriffs aus, die Sie registriert haben. Die Region dieses privaten Endpunkts muss nicht mit der Region Ihres Arbeitsbereichs übereinstimmen. Ein Allgemeinzugriffs-Endpunkt in jeder Region kann Arbeitsbereiche in jeder Region bedienen.
      3. Klicken Sie auf Bestätigen.
      4. Sie können auch Ablehnungsregeln in Ihre Richtlinie aufnehmen, die Ausnahmen von Ihren Erlaubnisregeln definieren.
5. Wenn Sie Ihre private Zugriffsrichtlinie konfiguriert haben, können Sie Ihre öffentliche Zugriffsrichtlinie auch in Ingress > Public Network Access konfigurieren. Du kannst alle öffentlichen IP-Zugriffe deaktivieren, indem du "Zugriff von allen öffentlichen IPs erlauben" deaktivierst. Azure Databricks empfiehlt, den öffentlichen Zugriff beim Testen der DNS-Konfiguration aktiviert zu lassen und ihn dann nach der endgültigen DNS-Festlegung zu deaktivieren, um exklusive private Verbindungen zu erzwingen.
6. Testen Sie die Eingangsrichtlinie zuerst im Trockenlaufmodus , bevor Sie sie in "Erzwungen" wechseln. Ablehnungen des Zugriffs im Trockenlaufmodus werden in der system.access.inbound_network Systemtabelle protokolliert, blockieren aber keinen Zugriff.
7. Stellen Sie sicher, dass Ihre Egress-Richtlinie korrekt ist.
8. Hängen Sie Ihre Netzwerkrichtlinie an Ihre Arbeitsbereiche an. Arbeitsbereiche, für die dieser allgemeine Zugriffsendpunkt nicht auf der Zulassungsliste steht, sind über Ihre benutzerdefinierte URL nicht zugänglich.
9. Speichere deine Netzwerkrichtlinie. Kontextbasierte Richtlinienaktualisierungen dauern weniger als 10 Minuten, um wirksam zu werden.

DNS für den allgemeinen Zugriffspunkt konfigurieren

Nachdem dein privater Endpunkt registriert und zugelassen ist, konfiguriere DNS so, dass der Workspace-Verkehr über den privaten Endpunkt mit deiner eigenen Domain geleitet wird. <my-custom-account-name>.azuredatabricks.net

1. Erstellen Sie eine private Azure DNS-Zone mit dem Namen <my-custom-account-name>.azuredatabricks.net. Wenn Sie bereits einen privaten Endpunkt general_access für eingehende Private Link-Verbindungen zu Ihren Ressourcen auf Kontoebene konfiguriert haben (siehe Eingehende Private Link-Verbindungen für Ressourcen auf Kontoebene konfigurieren), verwenden Sie die vorhandene <my-custom-account-name>.azuredatabricks.net Zone erneut. Informationen zu neuen Zonen finden Sie unter Create an Azure private DNS zone using the Azure portal.
2. Verknüpfen Sie die private DNS-Zone mit dem VNet, das Ihren privaten Endpunkt hosten soll. Siehe "Verknüpfen des virtuellen Netzwerks".

Erstellen eines DNS-A-Eintrags

1. Wechseln Sie zu Ihrer neuen privaten DNS-Zone.
2. Wählen Sie die Registerkarte "Recordsets " unter "DNS-Verwaltung" aus.
3. Klicken Sie auf "Hinzufügen" , um einen Datensatzsatz hinzuzufügen.
4. Konfigurieren Sie den Datensatz A:
   • Name: @
   • Typ: A
   • IP-Adresse: Die private IP-Adresse von Ihrem privaten Endpunkt.
5. Klicken Sie auf 'OK ', um den Datensatz zu speichern.

Überprüfen der DNS-Auflösung

Überprüfen Sie von einem Computer in Ihrem VNet oder von einem Einzelvorgang im Arbeitsbereich, der mit Ihrer privaten DNS-Zone verbunden ist, ob DNS-Abfragen zur privaten Endpunkt-IP aufgelöst werden.

nslookup <my-custom-account-name>.azuredatabricks.net

Oder verwenden Sie dig:

dig <my-custom-account-name>.azuredatabricks.net

Beide Befehle geben die private IP-Adresse Ihres privaten Endpunkts zurück.

VNet-Konnektivität überprüfen

Wenn sich der vom VNet generierte Datenverkehr vom VNet unterscheidet, das den privaten Endpunkt hostet, konfigurieren Sie VNet-Peering oder Konnektivität zwischen ihnen. Ausführliche Anleitungen finden Sie unter Azure Private Endpoint DNS-Integrationsszenarien.

Benutzerdefinierte DNS-Konfiguration

Wenn Sie einen privaten eingehenden Endpunkt mit Ihrem eigenen benutzerdefinierten DNS verwenden, müssen Sie sicherstellen, dass sowohl die Arbeitsbereich-URL als auch die SSO-Authentifizierungs-URLs (Single Sign-On) ordnungsgemäß in die IP-Adresse des privaten Endpunkts aufgelöst werden.

Empfohlen: Bedingte Weiterleitung

Die zuverlässigste Methode besteht darin, Ihren DNS-Server so zu konfigurieren, dass Abfragen für alle Databricks-Domänen an das interne DNS von Azure weitergeleitet werden.

1. Richten Sie die bedingte Weiterleitung für die folgenden Domänen an Ihren Azure DNS-Server ein:
   • *.azuredatabricks.net
   • *.privatelink.azuredatabricks.net
   • *.databricksapps.com
   • Ihre individuelle URL: <my-custom-account-name>.azuredatabricks.net
2. Stellen Sie sicher, dass Ihre VNet-Links mit der Azure Private-DNS-Zone verbunden sind.

Auf diese Weise kann Azure automatisch alle erforderlichen Hostnamen, einschließlich SSO- und Workspace-URLs, in die IP-Adresse Ihres privaten Endpunkts auflösen.

Alternative: Manuelle A-Einträge

Wenn die bedingte Weiterleitung keine Option ist, müssen Sie DNS-Einträge A manuell erstellen.

1. Arbeitsbereichs-URL: Erstellen Sie einen A-Datensatz, der die URL Ihres Arbeitsbereichs, z. B. adb-1111111111111.15.azuredatabricks.net, der IP-Adresse des privaten Endpunkts zuordnet.
2. SSO-Authentifizierungs-URL: Erstellen Sie einen A Datensatz, der die regionale SSO-URL, wie z. B. westus.pl-auth.azuredatabricks.net, mit der privaten Endpunkt-IP-Adresse abbildet.
3. Ihre benutzerdefinierte URL: Erstellen Sie einen A-Datensatz, der Ihre benutzerdefinierte URL, z. B. <my-custom-account-name>.azuredatabricks.net, der IP-Adresse des privaten Endpunkts zuordnet.

Einige Azure-Regionen verwenden mehrere Steuerebeneninstanzen für das Single Sign-On (SSO). Möglicherweise müssen Sie mehrere A Datensätze für die Authentifizierung erstellen. Wenden Sie sich an Ihr Azure Databricks-Kontoteam, um die vollständige Liste der Domänen für Ihre Region zu ermitteln.

Weitere Ressourcen

• Netzwerke auf der klassischen Computeebene
• Konfigurieren von IP-Zugriffslisten für Arbeitsbereiche