使私人服務連接您的工作區

保障福利

使用私人服務連接有助於緩解以下數據漏出風險:

• 數據訪問從瀏覽器在互聯網上或未經授權的網絡使用磚web應用程序。

• 數據從客戶端訪問互聯網或未經授權的網絡使用磚API。

術語

以下穀歌雲計算中使用本指南描述磚配置:

下表描述了重要的術語。

網絡拓撲結構的多個選項

您可以部署一個私人磚工作區與下麵的網絡配置選項:

• 主機磚用戶(客戶)和磚數據平麵在同一網絡:在這個選項中,交通VPC和數據平麵VPC指相同的底層VPC網絡。如果你選擇這種拓撲,所有訪問任何磚工作區VPC必須走在前端的VPC的私人服務連接的連接。看到要求和限製。

• 主機磚用戶(客戶)和磚數據平麵在不同的網絡:在這個選項中,用戶或應用程序客戶機可以訪問不同的磚工作區使用不同的網絡路徑。您可以選擇允許用戶在運輸VPC訪問私人空間在一個私人服務連接的連接,並允許用戶在公共互聯網上的工作區。

• 多個磚工作區主機數據平麵在同一網絡:在這個選項中,數據平麵VPC多個磚工作區是指相同的底層VPC網絡。所有這些工作空間必須共享相同的後端私人服務連接端點。這個部署模式可以允許您配置一個小數量的私人服務連接端點配置大量的工作區。

你可以共享一個運輸VPC多個工作區。然而,每個交通VPC必須隻包含使用前端PSC的工作區,或不使用前端PSC的工作區。由於DNS解析的工作方式在穀歌雲,你不能使用這兩種類型的工作區與單個運輸VPC。

使用帳戶控製台

注冊你的穀歌雲端點使用磚帳戶的控製台。

1. 去磚帳戶的控製台。

2. 單擊雲資源選項卡,然後VPC端點。

3. 點擊注冊VPC端點。

4. 對於每一個你的私人服務連接端點,填寫注冊一個新的VPC端點所需的字段:

   • VPC端點名稱:一個人類可讀的名字來識別VPC端點。磚建議使用相同的作為你的私人服務連接端點ID,但這不是必需的,這些比賽。

   • 地區:穀歌雲地區私人服務連接端點定義。

   • 穀歌雲VPC網絡工程ID:穀歌雲項目ID定義這個端點。為後端連接,這是您的工作區項目ID的VPC網絡。對於前端連接,這是項目ID的VPC用戶連接產生,有時被稱為一個交通VPC。

   

下表顯示了每個端點什麼信息需要使用如果您使用後端和前端私人服務連接。

當你完成,你可以使用VPC端點列表在賬戶控製台中審查並確認的端點列表信息。它看起來一般是這樣的:

使用API

API參考信息,請參閱API參考文檔,特別是對於VPC端點。

注冊一個VPC端點使用REST API:

1. 創建一個穀歌標識牌。按照說明上與穀歌身份驗證ID標記對帳戶級別api。API來注冊一個VPC端點需要穀歌訪問令牌,這是除了Google ID。

2. 使用旋度或另一個REST API客戶端,做一個帖子請求accounts.gcp.m.eheci.com服務器和調用/賬戶/ <帳戶id > / vpc-endpoints端點。請求參數如下:

   參數	描述
   vpc_endpoint_name	人類可讀的名稱注冊端點
   gcp_vpc_endpoint_info	端點的細節,作為一個JSON對象有以下字段: project_id:項目ID psc_endpoint_name:PSC端點的名字 endpoint_region:穀歌雲地區的端點

3. 檢查JSON響應。這返回一個對象,類似於請求負載但響應有一些額外的字段。響應字段:

   參數	描述
   vpc_endpoint_name	人類可讀的名稱注冊端點
   account_id	磚帳戶ID
   use_case	WORKSPACE_ACCESS
   gcp_vpc_endpoint_info	端點的細節,作為一個JSON對象有以下字段: project_id:項目ID psc_endpoint_name:PSC端點的名字 endpoint_region:穀歌雲地區的端點 psc_connection_id:PSC連接ID service_attachment_id附件:PSC服務ID

以下旋度示例添加額外要求穀歌訪問令牌HTTP頭和寄存器VPC端點:

旋度\- x的帖子\——頭“授權:無記名< google-id-token >”\——頭“X-Databricks-GCP-SA-Access-Token: < access-token-sa-2 >”\https://accounts.gcp.m.eheci.com/api/2.0/accounts/ <帳戶id > / vpc-endpoints - h“application / json內容類型:- d”{vpc_endpoint_name”:“psc-demo-dp-rest-api”," gcp_vpc_endpoint_info ": {:“project_id databricks-dev-xpn-host”,:“psc_endpoint_name psc-demo-dp-rest-api”,:“endpoint_region us-east4”}'

使用帳戶控製台

創建一個磚私人使用磚賬戶控製台訪問設置對象:

1. 去磚帳戶的控製台。

2. 單擊雲資源選項卡,然後私有訪問設置。

3. 點擊添加私有訪問設置。

   

4. 設置必需的字段:

   • 私有訪問設置名稱:人類可讀的名字來識別這個私有訪問設置對象。

   • 地區:該地區VPC端點之間的連接和工作區,這私人訪問設置對象配置。

   • 公共訪問啟用:指定是否允許公共訪問。仔細的選擇這個值,因為它不能改變後創建私有訪問設置對象。

     • 如果啟用了公共訪問,用戶可以配置IP訪問列表允許/阻止公共訪問的工作區(從公共互聯網)使用這個私人訪問設置對象。

     • 如果公共訪問是禁用的,沒有公共交通可以訪問使用這種私人訪問設置對象的工作區。不影響公共訪問IP訪問列表。

     請注意

     在這兩種情況下,IP訪問列表不能阻止私人交通從私人服務連接,因為從公共網絡訪問隻列出了控製訪問。

   • 私人訪問級別:一個規範來限製訪問隻有經過授權的私人服務連接的連接。它可以是以下值之一:

     • 賬戶:任何VPC端點注冊你的磚帳戶可以訪問該工作區。這是默認值。

     • 端點:隻有你明確指定的VPC端點可以訪問工作區。如果你選擇這個值,你可以選擇從您的注冊VPC端點。

使用API

API參考信息,請參閱API參考文檔,特別是對於私有訪問設置。

創建數據磚私人使用REST API訪問設置對象:

1. 如果你沒有這樣做,或者如果您的令牌過期了,創建一個穀歌標識牌。按照說明上與穀歌身份驗證ID標記對帳戶級別api。API創建一個私人設置的對象不需要一個穀歌訪問令牌,這需要一些api。你需要穀歌其他步驟的訪問令牌,但不是為這一步。

2. 使用旋度或另一個REST API客戶端,做一個帖子請求accounts.gcp.m.eheci.com服務器和調用/賬戶/ <帳戶id > / private-access-settings端點。請求參數如下:

   參數	描述
   private_access_settings_name	人類可讀的私人訪問設置對象的名稱
   地區	穀歌雲地區的私人訪問設置對象
   private_access_level	定義了VPC端點工作區接受: 賬戶:工作區隻接受VPC端點的磚賬戶注冊的工作空間。這是默認值,如果省略了。 端點:工作區隻接受VPC端點所明確列出的單獨的IDallowed_vpc_endpoints字段。
   allowed_vpc_endpoints	VPC端點IDs允許列表的數組。隻有使用private_access_level是端點。
   public_access_enabled	指定是否允許公共訪問。仔細的選擇這個值,因為它不能改變後創建私有訪問設置對象。 如果啟用了公共訪問,用戶可以配置IP訪問列表允許/阻止公共訪問的工作區(從公共互聯網)使用這個私人訪問設置對象。 如果公共訪問是禁用的,沒有公共交通可以訪問使用這種私人訪問設置對象的工作區。不影響公共訪問IP訪問列表。 請注意 在這兩種情況下,IP訪問列表不能阻止私人交通從私人服務連接,因為從公共網絡訪問隻列出了控製訪問。隻有VPC端點中定義allowed_vpc_endpoints可以訪問您的工作區。

3. 檢查響應。這返回一個對象,類似於請求對象,但額外的字段:

   • account_id:磚帳戶ID。

   • private_access_settings_id:私人訪問設置對象ID。

例如:

旋度\- x的帖子\——頭“授權:無記名< google-id-token >”\https://accounts.gcp.m.eheci.com/api/2.0/accounts/ <帳戶id > / private-access-settings - h“application / json內容類型:- d”{:“private_access_settings_name psc-demo-pas-account”,“地區”:“us-east4”,“private_access_level”:“賬戶”,“public_access_enabled”:沒錯,}'

這生成一個響應類似於:

{“private_access_settings_id”:“999999999 - 95 - af - 4 - abc - ab7c b590193a9c74”,“account_id”:“實際帳戶id > <”,“private_access_settings_name”:“psc-demo-pas-account”,“地區”:“us-east4”,“public_access_enabled”:真正的,“private_access_level”:“賬戶”}

使用帳戶控製台

創建一個網絡配置使用帳戶控製台:

1. 如果您還沒有為你創造了你的VPC工作區,現在這樣做。

2. 去磚帳戶的控製台。

3. 單擊雲資源選項卡,然後網絡配置。

4. 點擊添加網絡配置。

   

使用API

API參考信息,請參閱API參考文檔,特別是對於網絡。

使用REST API創建磚網絡配置的對象:

1. 如果您還沒有為你創造了你的VPC工作區,現在這樣做。

2. 如果你沒有這樣做,或者如果您的令牌過期了,創建一個穀歌標識牌。按照說明上與穀歌身份驗證ID標記對帳戶級別api。創建一個網絡配置做需要一個穀歌訪問令牌,除了Google ID。

3. 使用旋度或另一個REST API客戶端,做一個帖子請求accounts.gcp.m.eheci.com服務器和調用/賬戶/ <帳戶id > /網絡端點。

   1. 審查所需的和可選的參數創建網絡API。看到的文檔為賬戶創建網絡配置操作API。的參數集下麵不能重複操作。

   2. 的私人服務連接支持,請求JSON必須添加參數vpc_endpoints。它列出了注冊端點的磚id和分為屬性不同的用例。端點定義為數組但你提供不超過一個VPC端點在每個數組。這兩個字段

      • rest_api:VPC端點為工作區連接,使用數據平麵上調用REST api控製飛機。

      • dataplane_relay:VPC的端點安全集群連接繼電器連接。

      例如:

      “vpc_endpoints”:{“rest_api”:(“63 d375c1 - 3 - ed8 - 403 b - 9 - a3d a648732c88e1”),“dataplane_relay”:(“d76a5c4a - 0451 - 4 - b19 - a4a8 b3df93833a26”]},

4. 檢查響應。這返回一個對象,類似於請求對象,但以下額外的字段:

   • account_id:磚帳戶ID。

以下旋度示例添加額外要求穀歌訪問令牌HTTP頭和創建一個網絡配置:

旋度\- x的帖子\——頭“授權:無記名< google-id-token >”\——頭“X-Databricks-GCP-SA-Access-Token: < access-token-sa-2 >”\https://accounts.gcp.m.eheci.com/api/2.0/accounts/ <帳戶id > /網絡- h“application / json內容類型:- d”{:“network_name psc-demo-network”," gcp_network_info ": {:“network_project_id databricks-dev-xpn-host”,:“vpc_id psc-private-preview-demo-dp-vpc”,:“subnet_id subnet-psc-private-preview-demo-dp-vpc”,:“subnet_region us-east4”,“pod_ip_range_name”:“pod”,:“service_ip_range_name svc”}," vpc_endpoints ": {“rest_api”:(“9999999 - 3 - ed8 - 403 b - 9 - a3d a648732c88e1”),“dataplane_relay”:(“9999999 - 0451 - 4 - b19 - a4a8 b3df93833a26”]}}'

這生成一個響應類似於:

{“network_id”:“b039f04c - 9 - b72 - 4973 - 8當- 97 - cf8defb1d7”,“account_id”:“實際帳戶id > <”,“vpc_status”:“未婚”,“network_name”:“psc-demo-network”,“creation_time”:1658445719081,“vpc_endpoints”:{“rest_api”:(“63 d375c1 - 3 - ed8 - 403 b - 9 - a3d a648732c88e1”),“dataplane_relay”:(“d76a5c4a - 0451 - 4 - b19 - a4a8 b3df93833a26”]},“gcp_network_info”:{“network_project_id”:“databricks-dev-xpn-host”,“vpc_id”:“psc-private-preview-demo-dp-vpc”,“subnet_id”:“subnet-psc-private-preview-demo-dp-vpc”,“subnet_region”:“us-east4”,“pod_ip_range_name”:“紫蠶島”,,“service_ip_range_name”:“svc”}}

使用帳戶控製台

創建工作區與帳戶控製台:

1. 去磚帳戶的控製台。

2. 單擊工作區選項卡。

3. 點擊創建工作區。

   

4. 設置這些標準工作區字段:

   • 工作區名稱

   • 地區

   • 穀歌雲項目ID(項目工作空間的計算資源,這可能是不同的項目ID VPC)。

   • 確保使私有集群檢查。

   • IP範圍GKE主資源

5. 私人設置服務連接特定字段:

   1. 點擊高級配置。

   2. 在網絡配置字段中,選擇你的網絡配置您在前麵的步驟中創建。

   3. 在私人的連接字段中,選擇您的私有訪問設置您在前麵的步驟中創建的對象。注意,一個私有訪問設置對象可以被附加到多個工作區。

6. 點擊保存。

使用API

API參考信息,請參閱API參考文檔,特別是對於工作區。

使用REST API創建磚工作區:

1. 如果你沒有這樣做,或者如果您的令牌過期了,創建一個穀歌標識牌。按照說明上與穀歌身份驗證ID標記。重要的是要注意以下說明這個頁麵:

   • API來注冊一個VPC端點是一個戶頭級別API。

   • 注冊一個VPC的API端點做需要一個穀歌訪問令牌,提到一些所需的api。

2. 使用旋度或另一個REST API客戶端,做一個帖子請求accounts.gcp.m.eheci.com服務器和調用/賬戶/ <帳戶id > /工作區端點。

   1. 審查所需的和可選的參數創建工作區API。看到的文檔創建工作區操作帳戶API。參數的設置,這裏不重複操作。

   2. 的私人服務連接支持,請求JSON必須添加參數private_access_settings_id。將其設置為私人設置的磚ID對象創建。ID是在響應private_access_settings_id。

3. 檢查響應。這返回一個對象,類似於請求對象,但附加字段。看到的文檔創建工作區操作帳戶API然後單擊響應代碼201 (成功)。字段的設置下麵的響應不重複。

以下旋度示例添加額外要求穀歌訪問令牌HTTP頭並創建一個工作區:

旋度\- x的帖子\——頭“授權:無記名< google-id-token >”\——頭“X-Databricks-GCP-SA-Access-Token: < access-token-sa-2 >”\https://accounts.gcp.m.eheci.com/api/2.0/accounts/ <帳戶id > /工作區- h“application / json內容類型:- d”{:“workspace_name psc-demo-workspace”,“pricing_tier”:“溢價”," cloud_resource_container ": {"質量":{:“project_id示例項目”}},“位置”:“us-east4”,“private_access_settings_id”:“9999999 - 95 - af - 4 - abc - ab7c b590193a9c74”,“network_id”:“9999999 - 9 - b72 - 4973 - 8當- 97 - cf8defb1d7”," gke_config ": {:“gke_connectivity_type PRIVATE_NODE_PUBLIC_MASTER”,:“gke_cluster_master_ip_range 10.5.0.0/28”}}'

這生成一個響應類似於:

{“workspace_id”:999997997552291,“workspace_name”:“ps-demo-workspace”,“creation_time”:1669744259011,“deployment_name”:“7732657997552291.1”,“workspace_status”:“運行”,“account_id”:“實際帳戶id > <”,“workspace_status_message”:“工作空間運行。”,“pricing_tier”:“溢價”,“private_access_settings_id”:“93 b1ba70 - 95 - af - 4 - abc - ab7c b590193a9c74”,“位置”:“us-east4”,“雲”:“質量”,“network_id”:“b039f04c - 9 - b72 - 4973 - 8當- 97 - cf8defb1d7”,“gke_config”:{“connectivity_type”:“PRIVATE_NODE_PUBLIC_MASTER”,“master_ip_range”:“10.5.0.0/28”},“cloud_resource_container”:{“質量”:{“Project_id”:“示例項目”}}}

前端DNS配置

本節將展示如何創建一個私人DNS區域的前端連接。

你可以共享一個運輸VPC多個工作區。然而,每個交通VPC必須隻包含使用前端PSC的工作區,或不使用前端PSC的工作區。由於DNS解析的工作方式在穀歌雲,你不能使用這兩種類型的工作區與單個運輸VPC。

1. 確保你有你的工作空間的URL為你部署磚工作區。這類似於形式https://33333333333333.3.gcp.m.eheci.com。你可以得到這個URL從web瀏覽器或當你瀏覽一個工作區賬戶控製台在其工作空間的列表。

2. 創建一個私有DNS區域包括交通VPC網絡。使用穀歌在雲中雲主機DNS頁麵,點擊創建區域。

   1. 在DNS名稱字段,類型gcp.m.eheci.com。

   2. 在網絡字段中,選擇你的運輸VPC網絡。

   3. 點擊創建。

   

3. 創建DNS一個記錄您的工作區URL映射到plproxy-psc-endpoint私人服務連接端點IP。

   1. 定位的私人服務連接端點IPplproxy-psc-endpoint私人服務連接端點。在這個例子中,假設為私人服務的IP連接端點psc-demo-user-cp是10.0.0.2。

   2. 創建一個一個記錄工作空間的URL映射到私人服務連接端點IP。在這種情況下,域名(比如地圖你獨特的工作空間33333333333333333.3.gcp.m.eheci.com)為私人服務的IP地址連接端點,這在我們之前的例子10.0.0.2但是你的數量可能會有所不同。

   3. 創建一個一個記錄映射dp - < workspace-url >私人服務IP連接端點。在這種情況下,使用示例工作區URL映射dp-333333333333333.3.gcp.m.eheci.com來10.0.0.2,但這些值可能不同。

4. 如果用戶將使用一個web瀏覽器在用戶VPC訪問工作區,必須創建一個支持身份驗證一個記錄映射< workspace-gcp-region > .psc-auth.gcp.m.eheci.com來10.0.0.2。在這種情況下,地圖us-east4.psc-auth.gcp.m.eheci.com來10.0.0.2。前端連接,這一步通常是必要的,但如果你計劃從交通網絡前端連接隻對REST api(不是web瀏覽器用戶訪問),您可以省略這一步。

下麵顯示了穀歌雲控製台將顯示一個公認為前端私人服務端點連接DNS配置:

你帶的前端DNS配置一個記錄映射到您的工作區URL和磚身份驗證服務看起來通常如下:

後端DNS配置

本節將展示如何創建一個私人DNS區域包括數據平麵VPC網絡。您需要創建DNS記錄兩個工作區URL映射到plproxy-psc-endpoint私人服務端點的IP連接:

1. 確保你有你的工作空間的URL為你部署磚工作區。這類似於形式https://33333333333333.3.gcp.m.eheci.com。你可以得到這個URL從web瀏覽器或當你瀏覽一個工作區賬戶控製台在其工作空間的列表。

2. 定位的私人服務連接端點IPplproxy-psc-endpoint私人服務連接端點。使用工具等網路資訊查詢獲得IP地址。

   我們想要地圖為私人服務的IP連接端點psc-demo-dp-rest-api來10.10.0.2。

   下麵顯示了穀歌雲控製台將顯示一個公認為後端私人服務端點連接DNS配置:

   

3. 創建以下一個記錄的映射:

   • 你的工作空間域(如33333333333333.3.gcp.m.eheci.com)10.10.0.2

   • 你的工作空間域前綴dp -,如dp-33333333333333.3.gcp.m.eheci.com)10.10.0.2

4. 在同一區gcp.m.eheci.com,創建一個私人DNS記錄SCC繼電器URL映射到SCC繼電器端點ngrok-psc-endpoint利用其端點IP。

   1. SCC繼電器URL的格式:隧道。< workspace-gcp-region > .gcp.m.eheci.com。在這個例子中,SCC繼電器的URLtunnel.us-east4.gcp.m.eheci.com。

   2. 定位的私人服務連接端點IPngrok-psc-endpoint私人服務連接端點。在本例中,為私人服務的IP連接端點psc-demo-dp-ngrok是10.10.0.3。

   3. 創建一個一個記錄映射tunnel.us-east4.gcp.m.eheci.com來10.10.0.3。

的列表一個記錄在你的區域看起來一般如下:

驗證您的DNS配置

在VPC網絡,確保你的DNS正確配置:

在你運輸VPC網絡,使用網路資訊查詢工具來確認以下url現在解決前端私人服務連接端點IP。

• < workspace-url >

• dp - < workspace-url >

• < workspace-gcp-region > .psc-auth.gcp.m.eheci.com

在您的數據平麵VPC網絡,使用網路資訊查詢工具來確認以下url解決正確的私人服務連接端點IP

• < workspace-url >映射到私人服務IP連接端點的端點plproxy-psc-endpoint它的名字。

• dp - < workspace-url >映射到私人服務IP連接端點的端點plproxy-psc-endpoint它的名字。

• 隧道。< workspace-gcp-region > .gcp.m.eheci.com映射到私人服務IP連接端點的端點ngrok-psc-endpoint它的名字。

配置後端從數據平麵VPC私有訪問雲存儲

您可以配置私人穀歌訪問或私人服務連接到私人飛機VPC訪問雲存儲資源從你的數據。

添加您的數據平麵VPC服務控製服務周邊的項目

對於每個磚的工作空間,您可以添加以下穀歌雲VPC服務控製的項目服務範圍:

• 數據平麵VPC主機項目

• 項目包含DBFS存儲桶的工作區

• 服務項目包含工作空間的計算資源

在這個配置中,您需要授權訪問下麵兩個:

• 磚的計算資源和DBFS存儲桶控製飛機

• 從數據平麵VPC Databricks-managed存儲桶

能給予上述訪問下麵的入口和出口規定上述VPC服務控製服務周邊。

把項目編號為這些入口和出口規則,明白了私人服務連接(PSC)附件uri和項目數字。

導入規則

您需要添加一個入口規則授予訪問您的VPC服務控製服務從磚控製平麵VPC的周長。下麵是一個示例導入規則:

來自:身份:ANY_IDENTITY源>項目= < regional-control-plane-vpc-host-project-number > < regional-control-plane-uc-project-number > < regional-control-plane-audit-log-delivery-project-number >:項目= <數據平麵項目id列表>服務=服務名稱:storage.googleapis.com服務方法:所有操作服務名稱:compute.googleapis.com服務方法:所有操作服務名稱:container.googleapis.com服務方法:所有操作服務名稱:logging.googleapis.com服務方法:所有操作服務名稱:cloudresourcemanager.googleapis.com服務方法:所有操作服務名稱:iam.googleapis.com服務方法:所有操作

出口規則

您需要添加一個出口規則授予訪問Databricks-managed VPC存儲桶從數據平麵。下麵是一個例子出口規則:

來自:身份:ANY_IDENTITY:項目= < regional-control-plane-asset-project-number > < regional-control-plane-vpc-host-project-number >服務=服務名稱:storage.googleapis.com服務方法:所有操作服務名稱:containerregistry.googleapis.com服務方法:containers.registry.read

獲得的訪問數據存儲桶湖VPC服務控製

您可以添加穀歌雲項目包含數據存儲桶湖VPC服務控製服務周邊。

您不需要任何額外的入口或出口規則如果數據存儲桶和湖磚工作區項目在同一個VPC服務控製服務周邊。

如果數據存儲桶湖在一個單獨的VPC服務控製服務周邊,您需要配置如下:

• 湖入口規則對數據服務範圍:

  • 允許訪問雲存儲的數據平麵VPC磚

  • 允許訪問雲存儲的數據磚VPC使用控製飛機項目id地區頁麵上的記錄。這個訪問需要磚引入了新的數據治理的特征,如統一目錄。

• 出口規定磚數據平麵的服務範圍:

  • 允許出口的雲存儲數據湖上項目