Aktivieren Sie die Firewallunterstützung für das Speicherplatzkonto Ihres Arbeitsbereichs.

Jeder Azure Databricks Arbeitsbereich verfügt über ein zugeordnetes Azure Speicherkonto in einer verwalteten Ressourcengruppe, die als workspace-Speicherkonto bezeichnet wird. Dieses Konto enthält Arbeitsbereichssystemdaten (Auftragsausgabe, Systemeinstellungen und Protokolle), den Stamm des Databricks-Dateisystems und in einigen Fällen einen Unity Catalog-Arbeitsbereichkatalog. Sie können den Zugriff auf Ihr Arbeitsbereichsspeicherkonto nur auf autorisierte Ressourcen und Netzwerke beschränken, indem Sie die Azure CLI oder PowerShell verwenden.

Was ist Firewall-Support für das Speicherkonto Ihres Arbeitsbereichs?

Standardmäßig akzeptiert Ihr Arbeitsbereichsspeicherkonto authentifizierte Verbindungen von allen Netzwerken. Wenn Sie die Firewallunterstützung aktivieren, blockiert Azure Databricks den Zugriff auf öffentliche Netzwerke und schränkt den Zugriff nur auf autorisierte Ressourcen ein. Sie können dies konfigurieren, wenn Ihre Organisation über Azure-Richtlinien verfügt, für die Speicherkonten privat sein müssen.

Wenn die Firewallunterstützung aktiviert ist, müssen Dienste außerhalb Azure Databricks, die auf das Arbeitsbereichsspeicherkonto zugreifen müssen, private Endpunkte mit Private Link verwenden. Azure Databricks serverlose Berechnung muss entweder Dienstendpunkte oder private Endpunkte verwenden, um auf das Arbeitsbereichsspeicherkonto zuzugreifen.

Azure Databricks erstellt einen Access Connector mit einer Azure-verwalteten Identität für den Zugriff auf das Arbeitsbereichs-Speicherkonto.

Anforderungen

• Ihr Arbeitsbereich muss die VNet-Injektion für Verbindungen aus der klassischen Berechnungsebene aktivieren.

• Ihr Arbeitsbereich muss sichere Clusterkonnektivität (keine öffentliche IP/NPIP) für Verbindungen aus der klassischen Computeebene aktivieren.

• Ihr Arbeitsbereich muss dem Premium-Tarif angehören.

• Sie müssen über ein separates Subnetz für die privaten Endpunkte für das Speicherkonto verfügen. Dies ist zusätzlich zu den beiden Hauptsubnetzen für grundlegende Azure Databricks Funktionalität.

  Das Subnetz muss sich im gleichen VNet wie der Arbeitsbereich oder in einem separaten VNet befinden, auf das der Arbeitsbereich zugreifen kann. Verwenden Sie die Mindestgröße /28 in CIDR-Notation.

• Wenn Sie Cloud Fetch mit dem Microsoft Fabric Power BI-Dienst verwenden, müssen Sie immer ein Gateway für den privaten Zugriff auf das Arbeitsbereichsspeicherkonto verwenden oder Cloud Fetch deaktivieren. Siehe Schritt 2 (empfohlen): Konfigurieren privater Endpunkte für Cloud Fetch-Client-VNets.

• Für Azure CLI- oder PowerShell-Bereitstellungsmethoden müssen Sie einen Azure Databricks Zugriffsconnector erstellen und dessen Ressourcen-ID speichern, bevor Sie die Standardmäßige Arbeitsbereichspeicherfirewall aktivieren. Dazu muss entweder eine vom System zugewiesene oder vom Benutzer zugewiesene verwaltete Identität verwendet werden. Siehe Access Connector für Databricks. Sie können den Azure Databricks-Zugriffsconnector nicht in der verwalteten Ressourcengruppe verwenden.

Verbinden von Diensten außerhalb Azure Databricks mit dem Speicherkonto

Schritt 1: Erstellen privater Endpunkte für das Speicherkonto

Erstellen Sie zwei private Endpunkte für das Speicherkonto des Arbeitsbereichs aus Ihrem für die VNet-Injektion verwendeten VNet für die Werte vom Typ Zielunterressource: dfs und blob.

1. Wechseln Sie zu Ihrem Arbeitsbereich.

2. Klicken Sie unter Essentials auf den Namen der Verwalteten Ressourcengruppe.

3. Notieren Sie sich unter "Ressourcen" den Namen Ihres Arbeitsbereichsspeicherkontos. Der Name beginnt in der Regel mit dbstorage.

4. Geben Sie im Suchfeld oben im Portal den privaten Endpunkt ein, und wählen Sie ihn aus.

5. Klicken Sie auf +Erstellen.

6. Legen Sie im Namensfeld Ressourcengruppe Ihre Ressourcengruppe fest.

   Wichtig

   Die Ressourcengruppe darf nicht identisch mit der verwalteten Ressourcengruppe sein, in der sich das Speicherkonto des Arbeitsbereichs befindet.

7. Geben Sie im Feld "Name " einen eindeutigen Namen für diesen privaten Endpunkt ein:

   • Erstellen Sie für den ersten privaten Endpunkt, den Sie für das jeweilige Quellnetzwerk erstellen, einen DFS-Endpunkt. Azure Databricks empfiehlt, das Suffix -dfs-pe hinzuzufügen.
   • Erstellen Sie für den zweiten privaten Endpunkt, den Sie für das jeweilige Quellnetzwerk erstellen, einen Blobendpunkt. Azure Databricks empfiehlt, das Suffix -blob-pe hinzuzufügen.

   Das Feld Name der Netzwerkschnittstelle wird automatisch aufgefüllt.

8. Legen Sie das Feld Region auf die Region Ihres Arbeitsbereichs fest.

9. Klicken Sie auf Weiter: Ressource.

10. Wählen Sie in Verbindungsmethode die Option Mit einer Azure-Ressource in meinem Verzeichnis verbinden aus.

11. Wählen Sie im Abonnement das Abonnement aus, in dem sich Ihr Arbeitsbereich befindet.

12. Wählen Sie im RessourcentypMicrosoft.Storage/storageAccounts aus.

13. Wählen Sie in "Ressource" Ihr Arbeitsbereichsspeicherkonto aus.

14. Wählen Sie in der Unterressource "Ziel" den Zielressourcentyp aus.

    • Legen Sie diese Option für den ersten privaten Endpunkt, den Sie für das jeweilige Quellnetzwerk erstellen, auf dfs fest.
    • Legen Sie diese Option für den zweiten privaten Endpunkt, den Sie für das jeweilige Quellnetzwerk erstellen, auf blob fest.

15. Klicken Sie auf Next: Virtual Network.

16. Wählen Sie im Feld Virtuelles Netzwerk ein VNet aus.

17. Legen Sie im Subnetzfeld das Subnetz auf das separate Subnetz fest, das Sie für die privaten Endpunkte für das Speicherkonto konfiguriert haben.

    Dieses Feld kann automatisch mit dem Subnetz für Ihre privaten Endpunkte aufgefüllt werden, Sie müssen es aber möglicherweise explizit festlegen. Verwenden Sie die beiden Arbeitsbereichsubnetze nicht für grundlegende Azure Databricks Arbeitsbereichsfunktionalität, die in der Regel als private-subnet und public-subnet bezeichnet werden.

18. Ändern Sie bei Bedarf die Standardeinstellungen für private IP-Konfiguration und Anwendungssicherheitsgruppe .

19. Klicken Sie auf Weiter: DNS. Die DNS-Registerkarte wird automatisch mit dem richtigen Abonnement und der richtigen Ressourcengruppe aufgefüllt, die Sie zuvor ausgewählt haben. Diese Angaben können bei Bedarf geändert werden.

    Hinweis

    Wenn keine private DNS-Zone für den Ziel-Unterressourcentyp (dfs oder blob) an das Arbeitsbereich-VNet angefügt ist, erstellt Azure eine neue private DNS-Zone. Wenn bereits eine private DNS-Zone für diesen Unterressourcentyp im Arbeitsbereich-VNet vorhanden ist, wählt Azure sie automatisch aus. Ein VNet kann nur eine private DNS-Zone pro Unterressourcentyp aufweisen.

20. Klicken Sie auf "Weiter": "Tags " und fügen Sie bei Bedarf Tags hinzu.

21. Klicken Sie auf Weiter: Überprüfen + Erstellen und prüfen Sie die Felder.

22. Klicken Sie auf Erstellen.

Schritt 2 (empfohlen): Konfigurieren privater Endpunkte für Cloud Fetch-Client-VNets

Cloud Fetch ist ein Mechanismus in ODBC und JDBC, der Daten parallel über Cloudspeicher abruft, um Daten schneller an BI-Tools bereitzustellen. Wenn Sie Abfrageergebnisse von mehr als 100 MB aus BI-Tools abrufen, verwenden Sie wahrscheinlich Cloud Fetch.

Wenn Sie Cloud Fetch verwenden, erstellen Sie private Endpunkte für das Arbeitsbereichsspeicherkonto aus den VNets Ihrer Cloud Fetch-Clients.

Erstellen Sie für jedes Quellnetzwerk für Cloud Fetch-Clients zwei private Endpunkte, die zwei verschiedene Werte für Zielunterressource verwenden: dfs und blob. Ausführliche Schritte finden Sie unter Schritt 1: Erstellen privater Endpunkte für das Speicherkonto . Achten Sie beim Erstellen des privaten Endpunkts im Feld Virtuelles Netzwerk darauf, dass Sie für jeden Cloud Fetch-Client Ihr Quell-VNet angeben.

Schritt 3: Bestätigen der Endpunktgenehmigungen

Nachdem Sie alle privaten Endpunkte für das Speicherkonto erstellt haben, überprüfen Sie, ob sie genehmigt wurden. Möglicherweise werden sie automatisch genehmigt, oder Sie müssen sie für das Speicherkonto genehmigen.

1. Wechseln Sie zum Arbeitsbereich im Azure-Portal.
2. Klicken Sie unter Essentials auf den Namen der Verwalteten Ressourcengruppe.
3. Klicken Sie unter Ressourcen auf die Ressource vom Typ Speicherkonto, deren Name mit dbstorage beginnt.
4. Klicken Sie auf der Seitenleiste auf Netzwerk.
5. Klicken Sie auf Verbindungen mit privatem Endpunkt.
6. Vergewissern Sie sich, dass unter Verbindungsstatus der Wert Genehmigt angegeben ist, oder wählen Sie sie aus, und klicken Sie auf Genehmigen.

Verbindungen von serverlosem Computing

Wenn Sie die Firewallunterstützung aktivieren, integriert Azure Databricks automatisch das Arbeitsbereichsspeicherkonto in einen Netzwerk-Sicherheitsperimeter, der das AzureDatabricksServerless-Dienst-Tag zulässt. Diese Funktion ermöglicht es Azure Databricks serverlose Compute-Dienste über Serviceendpunkte zu verbinden. Wenn Sie stattdessen eine Verbindung über private Endpunkte herstellen möchten, wenden Sie sich an Ihr Azure Databricks Kontoteam.

Wenn Sie Ihren eigenen Netzwerksicherheitsperimeter verwalten möchten, können Sie den Azure Databricks bereitgestellten Netzwerksicherheitsperimeter trennen und einen eigenen anfügen. Die Switchover bewirkt eine kurze Pause im Dienst. Bereiten Sie ihren Ersatznetzwerksicherheitsperimeter im Voraus vor, und planen Sie ein Wartungsfenster.

Enable Storage Firewall-Unterstützung mithilfe des Azure CLI

• Um die Firewall-Unterstützung mit Hilfe des Zugriffsconnectors und einer systemzugewiesenen Identität zu aktivieren, führen Sie in Cloud Shell Folgendes aus:

  az databricks workspace update \
     --resource-group "<resource-group-name>" \
     --name "<workspace-name>" \
     --subscription "<subscription-id>" \
     --default-storage-firewall "Enabled" \
     --access-connector "{\"id\":\"/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Databricks/accessConnectors/<access-connector-name>\", \"identity-type\":\"SystemAssigned\"}"
  

• Um die Firewallunterstützung mithilfe des Zugriffsconnectors mit einer vom Benutzer zugewiesenen Identität zu aktivieren, führen Sie in Cloud Shell folgenden Befehl aus:

  az databricks workspace update \
  --resource-group "<resource-group-name>" \
  --name "<workspace-name>" \
  --subscription "<subscription-id>" \
  --default-storage-firewall "Enabled" \
  --access-connector "{\"id\":\"/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Databricks/accessConnectors/<access-connector-name>\", \"identity-type\":\"UserAssigned\", \"user-assigned-identity-id\":\"/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managed-identity-name>\"}"
  

• Um die Firewallunterstützung mithilfe des Zugriffsconnectors zu deaktivieren, führen Sie in Cloud Shell Folgendes aus:

  az databricks workspace update \
     --name "<workspace-name>" \
     --subscription "<subscription-id>" \
     --resource-group "<resource-group-name>" \
     --default-storage-firewall "Disabled"
  

Aktivieren der Unterstützung der Speicherfirewall mithilfe von PowerShell

• So aktivieren Sie die Firewallunterstützung mit einem vom System zugewiesenen Zugriffskonnektor: Führen Sie in Cloud Shell Folgendes aus:

  Update-AzDatabricksWorkspace `
     -Name "<workspace-name>" `
     -ResourceGroupName "<resource-group-name>" `
     -SubscriptionId "<subscription-ID>" `
     -Sku "Premium" `
     -AccessConnectorId "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Databricks/accessConnectors/<access-connector-name>" `
     -AccessConnectorIdentityType "SystemAssigned" `
     -DefaultStorageFirewall "Enabled"
  

• Um die Firewallunterstützung mithilfe des Zugriffsconnectors mit einer vom Benutzer zugewiesenen Identität zu aktivieren, führen Sie in Cloud Shell folgenden Befehl aus:

  Update-AzDatabricksWorkspace `
     -Name "<workspace-name>" `
     -ResourceGroupName "<resource-group-name>" `
     -SubscriptionId "<subscription-ID>" `
     -Sku "Premium" `
     -AccessConnectorId "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Databricks/accessConnectors/<access-connector-name>" `
     -AccessConnectorIdentityType "UserAssigned" `
     -AccessConnectorUserAssignedIdentityId "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managed-identity-name>" `
     -DefaultStorageFirewall "Enabled"
  

• Um die Firewallunterstützung mithilfe des Zugriffsconnectors zu deaktivieren, führen Sie in Cloud Shell Folgendes aus:

  Update-AzDatabricksWorkspace `
     -Name "<workspace-name>" `
     -ResourceGroupName "<resource-group-name>" `
     -SubscriptionId "<subscription-ID>" `
     -DefaultStorageFirewall "Disabled"