使私人服务连接您的工作区

保障福利

使用私人服务连接有助于缓解以下数据漏出风险:

• 数据访问从浏览器在互联网上或未经授权的网络使用砖web应用程序。

• 数据从客户端访问互联网或未经授权的网络使用砖API。

术语

以下谷歌云计算中使用本指南描述砖配置:

下表描述了重要的术语。

网络拓扑结构的多个选项

您可以部署一个私人砖工作区与下面的网络配置选项:

• 主机砖用户(客户)和砖数据平面在同一网络:在这个选项中,交通VPC和数据平面VPC指相同的底层VPC网络。如果你选择这种拓扑,所有访问任何砖工作区VPC必须走在前端的VPC的私人服务连接的连接。看到要求和限制。

• 主机砖用户(客户)和砖数据平面在不同的网络:在这个选项中,用户或应用程序客户机可以访问不同的砖工作区使用不同的网络路径。您可以选择允许用户在运输VPC访问私人空间在一个私人服务连接的连接,并允许用户在公共互联网上的工作区。

• 多个砖工作区主机数据平面在同一网络:在这个选项中,数据平面VPC多个砖工作区是指相同的底层VPC网络。所有这些工作空间必须共享相同的后端私人服务连接端点。这个部署模式可以允许您配置一个小数量的私人服务连接端点配置大量的工作区。

你可以共享一个运输VPC多个工作区。然而,每个交通VPC必须只包含使用前端PSC的工作区,或不使用前端PSC的工作区。由于DNS解析的工作方式在谷歌云,你不能使用这两种类型的工作区与单个运输VPC。

使用帐户控制台

注册你的谷歌云端点使用砖帐户的控制台。

1. 去砖帐户的控制台。

2. 单击云资源选项卡,然后VPC端点。

3. 点击注册VPC端点。

4. 对于每一个你的私人服务连接端点,填写注册一个新的VPC端点所需的字段:

   • VPC端点名称:一个人类可读的名字来识别VPC端点。砖建议使用相同的作为你的私人服务连接端点ID,但这不是必需的,这些比赛。

   • 地区:谷歌云地区私人服务连接端点定义。

   • 谷歌云VPC网络工程ID:谷歌云项目ID定义这个端点。为后端连接,这是您的工作区项目ID的VPC网络。对于前端连接,这是项目ID的VPC用户连接产生,有时被称为一个交通VPC。

   

下表显示了每个端点什么信息需要使用如果您使用后端和前端私人服务连接。

当你完成,你可以使用VPC端点列表在账户控制台中审查并确认的端点列表信息。它看起来一般是这样的:

使用API

API参考信息,请参阅API参考文档,特别是对于VPC端点。

注册一个VPC端点使用REST API:

1. 创建一个谷歌标识牌。按照说明上与谷歌身份验证ID标记对帐户级别api。API来注册一个VPC端点需要谷歌访问令牌,这是除了Google ID。

2. 使用旋度或另一个REST API客户端,做一个帖子请求accounts.gcp.www.neidfyre.com服务器和调用/账户/ <帐户id > / vpc-endpoints端点。请求参数如下:

   参数	描述
   vpc_endpoint_name	人类可读的名称注册端点
   gcp_vpc_endpoint_info	端点的细节,作为一个JSON对象有以下字段: project_id:项目ID psc_endpoint_name:PSC端点的名字 endpoint_region:谷歌云地区的端点

3. 检查JSON响应。这返回一个对象,类似于请求负载但响应有一些额外的字段。响应字段:

   参数	描述
   vpc_endpoint_name	人类可读的名称注册端点
   account_id	砖帐户ID
   use_case	WORKSPACE_ACCESS
   gcp_vpc_endpoint_info	端点的细节,作为一个JSON对象有以下字段: project_id:项目ID psc_endpoint_name:PSC端点的名字 endpoint_region:谷歌云地区的端点 psc_connection_id:PSC连接ID service_attachment_id附件:PSC服务ID

以下旋度示例添加额外要求谷歌访问令牌HTTP头和寄存器VPC端点:

旋度\- x的帖子\——头“授权:无记名< google-id-token >”\——头“X-Databricks-GCP-SA-Access-Token: < access-token-sa-2 >”\https://accounts.gcp.www.neidfyre.com/api/2.0/accounts/ <帐户id > / vpc-endpoints - h“application / json内容类型:- d”{vpc_endpoint_name”:“psc-demo-dp-rest-api”," gcp_vpc_endpoint_info ": {:“project_id databricks-dev-xpn-host”,:“psc_endpoint_name psc-demo-dp-rest-api”,:“endpoint_region us-east4”}'

使用帐户控制台

创建一个砖私人使用砖账户控制台访问设置对象:

1. 去砖帐户的控制台。

2. 单击云资源选项卡,然后私有访问设置。

3. 点击添加私有访问设置。

   

4. 设置必需的字段:

   • 私有访问设置名称:人类可读的名字来识别这个私有访问设置对象。

   • 地区:该地区VPC端点之间的连接和工作区,这私人访问设置对象配置。

   • 公共访问启用:指定是否允许公共访问。仔细的选择这个值,因为它不能改变后创建私有访问设置对象。

     • 如果启用了公共访问,用户可以配置IP访问列表允许/阻止公共访问的工作区(从公共互联网)使用这个私人访问设置对象。

     • 如果公共访问是禁用的,没有公共交通可以访问使用这种私人访问设置对象的工作区。不影响公共访问IP访问列表。

     请注意

     在这两种情况下,IP访问列表不能阻止私人交通从私人服务连接,因为从公共网络访问只列出了控制访问。

   • 私人访问级别:一个规范来限制访问只有经过授权的私人服务连接的连接。它可以是以下值之一:

     • 账户:任何VPC端点注册你的砖帐户可以访问该工作区。这是默认值。

     • 端点:只有你明确指定的VPC端点可以访问工作区。如果你选择这个值,你可以选择从您的注册VPC端点。

使用API

API参考信息,请参阅API参考文档,特别是对于私有访问设置。

创建数据砖私人使用REST API访问设置对象:

1. 如果你没有这样做,或者如果您的令牌过期了,创建一个谷歌标识牌。按照说明上与谷歌身份验证ID标记对帐户级别api。API创建一个私人设置的对象不需要一个谷歌访问令牌,这需要一些api。你需要谷歌其他步骤的访问令牌,但不是为这一步。

2. 使用旋度或另一个REST API客户端,做一个帖子请求accounts.gcp.www.neidfyre.com服务器和调用/账户/ <帐户id > / private-access-settings端点。请求参数如下:

   参数	描述
   private_access_settings_name	人类可读的私人访问设置对象的名称
   地区	谷歌云地区的私人访问设置对象
   private_access_level	定义了VPC端点工作区接受: 账户:工作区只接受VPC端点的砖账户注册的工作空间。这是默认值,如果省略了。 端点:工作区只接受VPC端点所明确列出的单独的IDallowed_vpc_endpoints字段。
   allowed_vpc_endpoints	VPC端点IDs允许列表的数组。只有使用private_access_level是端点。
   public_access_enabled	指定是否允许公共访问。仔细的选择这个值,因为它不能改变后创建私有访问设置对象。 如果启用了公共访问,用户可以配置IP访问列表允许/阻止公共访问的工作区(从公共互联网)使用这个私人访问设置对象。 如果公共访问是禁用的,没有公共交通可以访问使用这种私人访问设置对象的工作区。不影响公共访问IP访问列表。 请注意 在这两种情况下,IP访问列表不能阻止私人交通从私人服务连接,因为从公共网络访问只列出了控制访问。只有VPC端点中定义allowed_vpc_endpoints可以访问您的工作区。

3. 检查响应。这返回一个对象,类似于请求对象,但额外的字段:

   • account_id:砖帐户ID。

   • private_access_settings_id:私人访问设置对象ID。

例如:

旋度\- x的帖子\——头“授权:无记名< google-id-token >”\https://accounts.gcp.www.neidfyre.com/api/2.0/accounts/ <帐户id > / private-access-settings - h“application / json内容类型:- d”{:“private_access_settings_name psc-demo-pas-account”,“地区”:“us-east4”,“private_access_level”:“账户”,“public_access_enabled”:没错,}'

这生成一个响应类似于:

{“private_access_settings_id”:“999999999 - 95 - af - 4 - abc - ab7c b590193a9c74”,“account_id”:“实际帐户id > <”,“private_access_settings_name”:“psc-demo-pas-account”,“地区”:“us-east4”,“public_access_enabled”:真正的,“private_access_level”:“账户”}

使用帐户控制台

创建一个网络配置使用帐户控制台:

1. 如果您还没有为你创造了你的VPC工作区,现在这样做。

2. 去砖帐户的控制台。

3. 单击云资源选项卡,然后网络配置。

4. 点击添加网络配置。

   

使用API

API参考信息,请参阅API参考文档,特别是对于网络。

使用REST API创建砖网络配置的对象:

1. 如果您还没有为你创造了你的VPC工作区,现在这样做。

2. 如果你没有这样做,或者如果您的令牌过期了,创建一个谷歌标识牌。按照说明上与谷歌身份验证ID标记对帐户级别api。创建一个网络配置做需要一个谷歌访问令牌,除了Google ID。

3. 使用旋度或另一个REST API客户端,做一个帖子请求accounts.gcp.www.neidfyre.com服务器和调用/账户/ <帐户id > /网络端点。

   1. 审查所需的和可选的参数创建网络API。看到的文档为账户创建网络配置操作API。的参数集下面不能重复操作。

   2. 的私人服务连接支持,请求JSON必须添加参数vpc_endpoints。它列出了注册端点的砖id和分为属性不同的用例。端点定义为数组但你提供不超过一个VPC端点在每个数组。这两个字段

      • rest_api:VPC端点为工作区连接,使用数据平面上调用REST api控制飞机。

      • dataplane_relay:VPC的端点安全集群连接继电器连接。

      例如:

      “vpc_endpoints”:{“rest_api”:(“63 d375c1 - 3 - ed8 - 403 b - 9 - a3d a648732c88e1”),“dataplane_relay”:(“d76a5c4a - 0451 - 4 - b19 - a4a8 b3df93833a26”]},

4. 检查响应。这返回一个对象,类似于请求对象,但以下额外的字段:

   • account_id:砖帐户ID。

以下旋度示例添加额外要求谷歌访问令牌HTTP头和创建一个网络配置:

旋度\- x的帖子\——头“授权:无记名< google-id-token >”\——头“X-Databricks-GCP-SA-Access-Token: < access-token-sa-2 >”\https://accounts.gcp.www.neidfyre.com/api/2.0/accounts/ <帐户id > /网络- h“application / json内容类型:- d”{:“network_name psc-demo-network”," gcp_network_info ": {:“network_project_id databricks-dev-xpn-host”,:“vpc_id psc-private-preview-demo-dp-vpc”,:“subnet_id subnet-psc-private-preview-demo-dp-vpc”,:“subnet_region us-east4”,“pod_ip_range_name”:“pod”,:“service_ip_range_name svc”}," vpc_endpoints ": {“rest_api”:(“9999999 - 3 - ed8 - 403 b - 9 - a3d a648732c88e1”),“dataplane_relay”:(“9999999 - 0451 - 4 - b19 - a4a8 b3df93833a26”]}}'

这生成一个响应类似于:

{“network_id”:“b039f04c - 9 - b72 - 4973 - 8当- 97 - cf8defb1d7”,“account_id”:“实际帐户id > <”,“vpc_status”:“未婚”,“network_name”:“psc-demo-network”,“creation_time”:1658445719081,“vpc_endpoints”:{“rest_api”:(“63 d375c1 - 3 - ed8 - 403 b - 9 - a3d a648732c88e1”),“dataplane_relay”:(“d76a5c4a - 0451 - 4 - b19 - a4a8 b3df93833a26”]},“gcp_network_info”:{“network_project_id”:“databricks-dev-xpn-host”,“vpc_id”:“psc-private-preview-demo-dp-vpc”,“subnet_id”:“subnet-psc-private-preview-demo-dp-vpc”,“subnet_region”:“us-east4”,“pod_ip_range_name”:“紫蚕岛”,,“service_ip_range_name”:“svc”}}

使用帐户控制台

创建工作区与帐户控制台:

1. 去砖帐户的控制台。

2. 单击工作区选项卡。

3. 点击创建工作区。

   

4. 设置这些标准工作区字段:

   • 工作区名称

   • 地区

   • 谷歌云项目ID(项目工作空间的计算资源,这可能是不同的项目ID VPC)。

   • 确保使私有集群检查。

   • IP范围GKE主资源

5. 私人设置服务连接特定字段:

   1. 点击高级配置。

   2. 在网络配置字段中,选择你的网络配置您在前面的步骤中创建。

   3. 在私人的连接字段中,选择您的私有访问设置您在前面的步骤中创建的对象。注意,一个私有访问设置对象可以被附加到多个工作区。

6. 点击保存。

使用API

API参考信息,请参阅API参考文档,特别是对于工作区。

使用REST API创建砖工作区:

1. 如果你没有这样做,或者如果您的令牌过期了,创建一个谷歌标识牌。按照说明上与谷歌身份验证ID标记。重要的是要注意以下说明这个页面:

   • API来注册一个VPC端点是一个户头级别API。

   • 注册一个VPC的API端点做需要一个谷歌访问令牌,提到一些所需的api。

2. 使用旋度或另一个REST API客户端,做一个帖子请求accounts.gcp.www.neidfyre.com服务器和调用/账户/ <帐户id > /工作区端点。

   1. 审查所需的和可选的参数创建工作区API。看到的文档创建工作区操作帐户API。参数的设置,这里不重复操作。

   2. 的私人服务连接支持,请求JSON必须添加参数private_access_settings_id。将其设置为私人设置的砖ID对象创建。ID是在响应private_access_settings_id。

3. 检查响应。这返回一个对象,类似于请求对象,但附加字段。看到的文档创建工作区操作帐户API然后单击响应代码201 (成功)。字段的设置下面的响应不重复。

以下旋度示例添加额外要求谷歌访问令牌HTTP头并创建一个工作区:

旋度\- x的帖子\——头“授权:无记名< google-id-token >”\——头“X-Databricks-GCP-SA-Access-Token: < access-token-sa-2 >”\https://accounts.gcp.www.neidfyre.com/api/2.0/accounts/ <帐户id > /工作区- h“application / json内容类型:- d”{:“workspace_name psc-demo-workspace”,“pricing_tier”:“溢价”," cloud_resource_container ": {"质量":{:“project_id示例项目”}},“位置”:“us-east4”,“private_access_settings_id”:“9999999 - 95 - af - 4 - abc - ab7c b590193a9c74”,“network_id”:“9999999 - 9 - b72 - 4973 - 8当- 97 - cf8defb1d7”," gke_config ": {:“gke_connectivity_type PRIVATE_NODE_PUBLIC_MASTER”,:“gke_cluster_master_ip_range 10.5.0.0/28”}}'

这生成一个响应类似于:

{“workspace_id”:999997997552291,“workspace_name”:“ps-demo-workspace”,“creation_time”:1669744259011,“deployment_name”:“7732657997552291.1”,“workspace_status”:“运行”,“account_id”:“实际帐户id > <”,“workspace_status_message”:“工作空间运行。”,“pricing_tier”:“溢价”,“private_access_settings_id”:“93 b1ba70 - 95 - af - 4 - abc - ab7c b590193a9c74”,“位置”:“us-east4”,“云”:“质量”,“network_id”:“b039f04c - 9 - b72 - 4973 - 8当- 97 - cf8defb1d7”,“gke_config”:{“connectivity_type”:“PRIVATE_NODE_PUBLIC_MASTER”,“master_ip_range”:“10.5.0.0/28”},“cloud_resource_container”:{“质量”:{“Project_id”:“示例项目”}}}

前端DNS配置

本节将展示如何创建一个私人DNS区域的前端连接。

你可以共享一个运输VPC多个工作区。然而,每个交通VPC必须只包含使用前端PSC的工作区,或不使用前端PSC的工作区。由于DNS解析的工作方式在谷歌云,你不能使用这两种类型的工作区与单个运输VPC。

1. 确保你有你的工作空间的URL为你部署砖工作区。这类似于形式https://33333333333333.3.gcp.www.neidfyre.com。你可以得到这个URL从web浏览器或当你浏览一个工作区账户控制台在其工作空间的列表。

2. 创建一个私有DNS区域包括交通VPC网络。使用谷歌在云中云主机DNS页面,点击创建区域。

   1. 在DNS名称字段,类型gcp.www.neidfyre.com。

   2. 在网络字段中,选择你的运输VPC网络。

   3. 点击创建。

   

3. 创建DNS一个记录您的工作区URL映射到plproxy-psc-endpoint私人服务连接端点IP。

   1. 定位的私人服务连接端点IPplproxy-psc-endpoint私人服务连接端点。在这个例子中,假设为私人服务的IP连接端点psc-demo-user-cp是10.0.0.2。

   2. 创建一个一个记录工作空间的URL映射到私人服务连接端点IP。在这种情况下,域名(比如地图你独特的工作空间33333333333333333.3.gcp.www.neidfyre.com)为私人服务的IP地址连接端点,这在我们之前的例子10.0.0.2但是你的数量可能会有所不同。

   3. 创建一个一个记录映射dp - < workspace-url >私人服务IP连接端点。在这种情况下,使用示例工作区URL映射dp-333333333333333.3.gcp.www.neidfyre.com来10.0.0.2,但这些值可能不同。

4. 如果用户将使用一个web浏览器在用户VPC访问工作区,必须创建一个支持身份验证一个记录映射< workspace-gcp-region > .psc-auth.gcp.www.neidfyre.com来10.0.0.2。在这种情况下,地图us-east4.psc-auth.gcp.www.neidfyre.com来10.0.0.2。前端连接,这一步通常是必要的,但如果你计划从交通网络前端连接只对REST api(不是web浏览器用户访问),您可以省略这一步。

下面显示了谷歌云控制台将显示一个公认为前端私人服务端点连接DNS配置:

你带的前端DNS配置一个记录映射到您的工作区URL和砖身份验证服务看起来通常如下:

后端DNS配置

本节将展示如何创建一个私人DNS区域包括数据平面VPC网络。您需要创建DNS记录两个工作区URL映射到plproxy-psc-endpoint私人服务端点的IP连接:

1. 确保你有你的工作空间的URL为你部署砖工作区。这类似于形式https://33333333333333.3.gcp.www.neidfyre.com。你可以得到这个URL从web浏览器或当你浏览一个工作区账户控制台在其工作空间的列表。

2. 定位的私人服务连接端点IPplproxy-psc-endpoint私人服务连接端点。使用工具等网路资讯查询获得IP地址。

   我们想要地图为私人服务的IP连接端点psc-demo-dp-rest-api来10.10.0.2。

   下面显示了谷歌云控制台将显示一个公认为后端私人服务端点连接DNS配置:

   

3. 创建以下一个记录的映射:

   • 你的工作空间域(如33333333333333.3.gcp.www.neidfyre.com)10.10.0.2

   • 你的工作空间域前缀dp -,如dp-33333333333333.3.gcp.www.neidfyre.com)10.10.0.2

4. 在同一区gcp.www.neidfyre.com,创建一个私人DNS记录SCC继电器URL映射到SCC继电器端点ngrok-psc-endpoint利用其端点IP。

   1. SCC继电器URL的格式:隧道。< workspace-gcp-region > .gcp.www.neidfyre.com。在这个例子中,SCC继电器的URLtunnel.us-east4.gcp.www.neidfyre.com。

   2. 定位的私人服务连接端点IPngrok-psc-endpoint私人服务连接端点。在本例中,为私人服务的IP连接端点psc-demo-dp-ngrok是10.10.0.3。

   3. 创建一个一个记录映射tunnel.us-east4.gcp.www.neidfyre.com来10.10.0.3。

的列表一个记录在你的区域看起来一般如下:

验证您的DNS配置

在VPC网络,确保你的DNS正确配置:

在你运输VPC网络,使用网路资讯查询工具来确认以下url现在解决前端私人服务连接端点IP。

• < workspace-url >

• dp - < workspace-url >

• < workspace-gcp-region > .psc-auth.gcp.www.neidfyre.com

在您的数据平面VPC网络,使用网路资讯查询工具来确认以下url解决正确的私人服务连接端点IP

• < workspace-url >映射到私人服务IP连接端点的端点plproxy-psc-endpoint它的名字。

• dp - < workspace-url >映射到私人服务IP连接端点的端点plproxy-psc-endpoint它的名字。

• 隧道。< workspace-gcp-region > .gcp.www.neidfyre.com映射到私人服务IP连接端点的端点ngrok-psc-endpoint它的名字。

配置后端从数据平面VPC私有访问云存储

您可以配置私人谷歌访问或私人服务连接到私人飞机VPC访问云存储资源从你的数据。

添加您的数据平面VPC服务控制服务周边的项目

对于每个砖的工作空间,您可以添加以下谷歌云VPC服务控制的项目服务范围:

• 数据平面VPC主机项目

• 项目包含DBFS存储桶的工作区

• 服务项目包含工作空间的计算资源

在这个配置中,您需要授权访问下面两个:

• 砖的计算资源和DBFS存储桶控制飞机

• 从数据平面VPC Databricks-managed存储桶

能给予上述访问下面的入口和出口规定上述VPC服务控制服务周边。

把项目编号为这些入口和出口规则,明白了私人服务连接(PSC)附件uri和项目数字。

导入规则

您需要添加一个入口规则授予访问您的VPC服务控制服务从砖控制平面VPC的周长。下面是一个示例导入规则:

来自:身份:ANY_IDENTITY源>项目= < regional-control-plane-vpc-host-project-number > < regional-control-plane-uc-project-number > < regional-control-plane-audit-log-delivery-project-number >:项目= <数据平面项目id列表>服务=服务名称:storage.googleapis.com服务方法:所有操作服务名称:compute.googleapis.com服务方法:所有操作服务名称:container.googleapis.com服务方法:所有操作服务名称:logging.googleapis.com服务方法:所有操作服务名称:cloudresourcemanager.googleapis.com服务方法:所有操作服务名称:iam.googleapis.com服务方法:所有操作

出口规则

您需要添加一个出口规则授予访问Databricks-managed VPC存储桶从数据平面。下面是一个例子出口规则:

来自:身份:ANY_IDENTITY:项目= < regional-control-plane-asset-project-number > < regional-control-plane-vpc-host-project-number >服务=服务名称:storage.googleapis.com服务方法:所有操作服务名称:containerregistry.googleapis.com服务方法:containers.registry.read

获得的访问数据存储桶湖VPC服务控制

您可以添加谷歌云项目包含数据存储桶湖VPC服务控制服务周边。

您不需要任何额外的入口或出口规则如果数据存储桶和湖砖工作区项目在同一个VPC服务控制服务周边。

如果数据存储桶湖在一个单独的VPC服务控制服务周边,您需要配置如下:

• 湖入口规则对数据服务范围:

  • 允许访问云存储的数据平面VPC砖

  • 允许访问云存储的数据砖VPC使用控制飞机项目id地区页面上的记录。这个访问需要砖引入了新的数据治理的特征,如统一目录。

• 出口规定砖数据平面的服务范围:

  • 允许出口的云存储数据湖上项目