Azure Databricks へのプライベート接続を構成する

2025-10-27

このページでは、ユーザーとその Azure Databricks ワークスペース間の接続をセキュリティで保護するフロントエンドプライベート接続を構成する手順について説明します。

Azure Databricks へのバックエンドプライベート接続を有効にするには、 Azure Private Link の概念を参照してください。
サーバーレスコンピューティングプレーンから Azure リソースに接続するには、「Azure リソースへのプライベート接続を構成する」を参照してください。

フロントエンド接続を選択する理由

サーバーレスコンピューティングとクラシックコンピューティングのどちらを使用する場合でも、ユーザーは Azure Databricks に接続する必要があります。組織は、次のようないくつかの理由で Azure Databricks に接続することを選択します。

セキュリティ強化: プライベートエンドポイントへのすべてのアクセスを制限し、パブリックアクセスを無効にすると、攻撃対象領域を最小限に抑え、セキュリティで保護されたプライベートネットワークを介して Azure Databricks とのすべてのユーザー操作が発生することを確認できます。
コンプライアンス要件: 多くの組織では、Azure Databricks などの SaaS サービスの場合でも、すべてのデータおよび管理プレーントラフィックをプライベートネットワークの境界に留める必要がある厳格なコンプライアンスの義務があります。
ネットワークアーキテクチャの簡略化 (特定のユースケースの場合): サーバーレスコンピューティングのみを使用している場合、または Azure Databricks との主要な対話が Web UI または REST API を使用していて、Azure Databricks (バックエンド接続が必要) からの データソースへのプライベート接続がすぐに必要ない場合は、フロントエンドのみのセットアップによってネットワーク全体の設計が簡略化されます。
データ流出防止: パブリックアクセスを防ぎ、プライベートエンドポイント経由ですべてのトラフィックを強制することで、データ流出のリスクを軽減し、認証されたネットワーク環境からのみトラフィックにアクセスできるようにします。

接続モデル

プライベート接続は、次の 2 つの方法のいずれかで構成できます。

パブリックアクセスなし: この構成では、ワークスペースへのすべてのパブリックアクセスが無効になります。すべてのユーザートラフィックは、プライベートエンドポイントを介して接続された VNet から送信される必要があります。このモデルは、完全なトラフィックの民営化に必要です。完全なトラフィックの民営化には、バックエンドの Private Link 接続も必要です。 Azure Private Link の概念を参照してください。
ハイブリッドアクセス: Private Link はアクティブですが、パブリックアクセスはコンテキストベースのイングレス制御と IP アクセスリストで有効なままです。コンテキストベースのイングレス制御を使用すると、ID、要求の種類、ネットワークソースに基づいてアクセスを制限できます。これにより、プライベート接続にPrivate Link を引き続き使用しながら、信頼されたパブリックソース (静的企業 IP など) からのアクセスを安全に許可できます。

このガイドでは、推奨される パブリックアクセスなし モデルを実装する方法について説明します。これは、標準的なハブアンドスポークネットワークトポロジを使用して実現します。

アーキテクチャの概要

このモデルでは、トランジット VNet を使用します。

トランジット VNet: これは、ワークスペースへのクライアントアクセスとブラウザー認証に必要なすべてのプライベートエンドポイントを含む中央仮想ネットワークです。ブラウザー認証ワークスペースもこの VNet に接続されています。

Azure Private Link ネットワークアーキテクチャ。

開始する前に

次の前提条件と推奨事項を確認します。

Requirements

ワークスペースは Premium プラン上にあります。
VNet インジェクションを使用してデプロイされた Azure Databricks ワークスペースがある。 Azure 仮想ネットワークへの Azure Databricks のデプロイ (VNet インジェクション) に関するページを参照してください。
プライベートエンドポイントを作成し、DNS レコードを管理するには、Azure のアクセス許可が必要です。

ネットワーク構成

次の目的で構成されたトランジット VNet:
- これは、Azure ネットワークに接続するすべてのユーザー/クライアントトラフィックのプライマリトランジットポイントとして機能します。
- オンプレミスまたはその他の外部ネットワークに一元的な接続を提供します。
- 共有サービスを管理し、送信インターネットトラフィック (エグレス) のプライマリルートを含みます。
専用サブネットは、プライベートエンドポイント専用にワークスペース VNet 内に存在する必要があります。存在しない場合は、作成します。
プライベート DNS ゾーンは、Azure DNS によって管理されます。

ベストプラクティス

回復性が高く管理しやすいセットアップには、Azure Databricks で次のことをお勧めします。

アーキテクチャ: ネットワークは、Microsoft が推奨するハブスポークアーキテクチャに従う必要があります。 Azure のハブスポークネットワークトポロジを参照してください。
分離認証ワークスペース: 回復性を向上させるために、トランジット VNet 内に別のブラウザー認証ワークスペースを作成します。この専用ワークスペースでは、ブラウザー認証のプライベートエンドポイントをホストする必要があります。これにより、他のワークスペースが削除された場合に単一障害点が回避されます。「手順 3: browser_authenticationプライベートエンドポイントを作成する」を参照してください。

既存のワークスペースのプライベート接続を構成する

開始する前に、クラスター、プール、クラシック SQL ウェアハウスなどのすべてのコンピューティングリソースを停止する必要があります。ワークスペースのコンピューティングリソースを実行できないか、アップグレードの試行が失敗します。 Azure Databricks では、ダウンタイムのためにアップグレードのタイミングを計画することをお勧めします。

[ワークスペース] ページで、[コンピューティング] を選択 します。
アクティブな各コンピューティングクラスターを選択し、右上の [ 終了] をクリックします。

手順 1: パブリックアクセスが有効になっている VNet によって挿入されたワークスペースを確認する

Azure portal で Azure Databricks ワークスペースに移動します。
ワークスペースの概要セクションで、Azure Databricks ワークスペースで独自の仮想ネットワークが使用されていることを確認します。
1. [ 設定] で、[ ネットワーク ] タブを選択します。次の設定を確認します。
  1. セキュリティで保護されたクラスター接続 (パブリック IP なし) が有効になっている。
  2. [パブリックネットワークアクセスを許可する] が有効になっています。

手順 2: プライベートエンドポイント `databricks_ui_api` 作成する

ワークスペースの [ ネットワーク ] タブで、[ プライベートエンドポイント接続] を選択します。
[ プライベートエンドポイント。
エンドポイントのリソースグループを選択し、 my-workspace-fe-peなどの名前を指定します。リージョンがワークスペースと一致するかどうかを確認します。
[ 次へ: リソース] をクリックします。
ターゲットサブリソースを databricks_ui_api に設定します。
[ 次へ: 仮想ネットワーク] をクリックします。
トランジット VNet を選択します。トランジット VNet は、送信トラフィックを管理およびセキュリティで保護するネットワークアーキテクチャ内の既存の独立した VNet であり、多くの場合、中央のファイアウォールが含まれています。
プライベートエンドポイントをホストするサブネットを選択します。
[ 次へ ] をクリックし、[ プライベート DNS ゾーンとの統合 ] が [ はい] に設定されていることを確認します。 privatelink.azuredatabricks.net ゾーンが自動的に選択されます。

注

プライベート DNS ゾーンをトランジット VNet にリンクし、組織を改善するために、他のプライベート DNS ゾーンと別のリソースグループに配置します。

手順 3: `browser_authentication` プライベートエンドポイントを作成する

ブラウザー認証用のプライベートエンドポイントを作成して、プライベートネットワークパス経由の SSO をサポートします。 Azure Databricks では、専用のプライベート Web 認証ワークスペースでこのエンドポイントをホストすることをお勧めします。

リソースグループを作成する

Azure portal で、 リソースグループに移動して選択します。
[+ 作成] をクリックします。
リソースグループの名前 ( web-auth-rg-eastusなど) を指定します。
[リージョン] で、運用 Databricks ワークスペースがデプロイされているのと同じ Azure リージョンを選択します。
[確認と作成]、[作成] の順にクリックします。

VNet を作成する

Azure portal で、 [仮想ネットワーク] を検索して選択します。
[+ 作成] をクリックします。
[基本] タブで、先ほど作成したリソースグループを選択し、などのわかりやすいweb-auth-vnet-eastusを VNet に付けます。
リージョンがリソースグループと一致するかどうかを確認します。
[ IP アドレス] タブで、VNet の IP アドレス空間を定義します (例: 10.20.0.0/16)。また、初期サブネットを作成するように求められます。
[ 確認と作成]、[ 作成] の順に選択します。

プライベート Web 認証ワークスペースを作成してセキュリティで保護する

Azure portal で、 Azure Databricks を検索して選択します。 [+ 作成] をクリックします。
[ 基本 ] タブで、次を構成します。
1. 先ほど作成した リソースグループ を選択します。
2. ワークスペースに、 WEB_AUTH_DO_NOT_DELETE_<region>などのわかりやすい名前を付けます。
3. リソースグループと VNet と同じリージョンを選択します。
[ 次へ:ネットワーク ] をクリックし、次を構成します。
1. セキュリティで保護されたクラスター接続 (パブリック IP なし) を使用して Azure Databricks ワークスペースをデプロイする: [はい] を選択します。
2. 独自の仮想ネットワーク (VNet) に Azure Databricks ワークスペースをデプロイする: [はい] を選択します。
3. 仮想ネットワーク: 先ほど作成した VNet を選択します。サブネット範囲を定義するように求められます。
4. パブリックネットワークアクセス: [無効] を選択します。
5. 必要な NSG ルール: NoAzureDatabricksRules を選択します。
[確認と作成]、[作成] の順にクリックします。

ワークスペースが作成されたら、誤って削除されないように保護する必要があります。

Azure portal で、先ほど作成したワークスペースに移動します。
[設定] に移動し、[ロック] を選択します。
[+ 追加] をクリックします。
[ロックの種類] を [削除] に設定し、わかりやすいロック名を指定します。
OK をクリックします。

注

このワークスペースでは、クラスター、ジョブなどの Databricks ワークロードを実行しないでください。
browser_authentication以外のプライベートエンドポイントは追加しないでください。具体的には、このワークスペースの databricks_ui_api エンドポイントを作成しないでください。

手順 4: DNS を構成して確認する

プライベートエンドポイントをデプロイした後、DNS によって Azure Databricks URL が新しいプライベート IP アドレスに正しく解決されることを確認する必要があります。

プライベート DNS ゾーンレコードを確認します。
1. Azure portal で、という名前のprivatelink.azuredatabricks.netを検索して移動します。
2. 次の A レコードが存在し、エンドポイントのプライベート IP アドレスをポイントすることを確認します。
  1. ワークスペース UI/API レコード:
    - 名前: 次のような一意のワークスペース ID adb-xxxxxxxxxxxxxxxx.x
    - 値: databricks_ui_api プライベートエンドポイントのプライベート IP アドレス。
  2. ブラウザー認証レコード:
    - 名前: pl-auth.<your_region>のようなわかりやすい名前を選択します。
    - 値: browser_authentication プライベートエンドポイントのプライベート IP アドレス。

手順 5: プライベートネットワークアクセスを確認する

プライベートネットワーク接続を介してワークスペースにアクセスできることを確認します。

接続されているネットワークから

オンプレミスネットワークが既に VPN または ExpressRoute によって Azure VNet に接続されている場合、テストは簡単です。

コンピューターから Web ブラウザーを開き、Azure Databricks ワークスペースの URL に直接移動してログインします。ログインが成功すると、プライベート接続が動作していることを確認します。

テスト VM の使用

現在の場所からワークスペース VNet にアクセスできない場合は、テストする一時的な仮想マシン ("ジャンプボックス") を作成します。

VM を作成します。 Azure portal で、Windows 仮想マシンを作成します。フロントエンドプライベートエンドポイントを構成したのと同じトランジット VNet を使用して、サブネットに配置します。
VM に接続します。 リモートデスクトップクライアントを使用して、新しい VM に接続します。
VM からテストします。 VM に接続したら、Web ブラウザーを開き、Azure portal に移動して、Azure Databricks ワークスペースを見つけます。
ワークスペースの起動: [ ワークスペースの起動] をクリックします。ログインが成功すると、プライベート VNet 内からのアクセスが正しく動作していることを確認します。

nslookup を使用して DNS を確認する

構成した VNet 内の仮想マシン、または VPN または Azure ExpressRoute 経由でオンプレミスネットワークに接続します。マシンで Azure のプライベート DNS を使用できる必要があります。
コマンドプロンプトまたはターミナルを開き、 nslookup を使用して DNS 解決を確認します。

# Verify the workspace URL resolves to a private IP
nslookup adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

# Expected output:
# Server:  <your-dns-server>
# Address: <your-dns-server-ip>
#
# Name:    adb-xxxxxxxxxxxxxxxx.x.privatelink.azuredatabricks.net
# Address: 10.10.1.4  <-- This should be the private IP of your 'databricks_ui_api' endpoint
# Aliases: adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

カスタム DNS 構成

独自のカスタム DNS でプライベートフロントエンドエンドポイントを使用する場合は、ワークスペース URL と SSO (シングルサインオン) 認証 URL の両方がプライベートエンドポイントの IP アドレスに正しく解決されることを確認する必要があります。

推奨: 条件付き転送

最も信頼性の高い方法は、すべての Databricks ドメインのクエリを Azure の内部 DNS に転送するように DNS サーバーを構成することです。

次のドメインの条件付き転送を Azure DNS サーバーに設定します。
- *.azuredatabricks.net
- *.privatelink.azuredatabricks.net
- *.databricksapps.com
VNet が Azure プライベート DNS ゾーンにリンクされていることを確認します。

これにより、Azure では、SSO やワークスペース URL を含め、必要なすべてのホスト名をプライベートエンドポイントの IP アドレスに自動的に解決できます。

代替案: 手動のAレコード

条件付き転送がオプションではない場合は、DNS A レコードを手動で作成する必要があります。

ワークスペース URL:Aなどのワークスペースごとの URL をプライベートエンドポイントの IP アドレスにマッピングするadb-1111111111111.15.azuredatabricks.net レコードを作成します。
SSO 認証 URL:Aなどのリージョン SSO URL をwestus.pl-auth.azuredatabricks.netプライベートエンドポイント IP アドレスにマッピングするレコードを作成します。

一部の Azure リージョンでは、SSO に複数のコントロールプレーンインスタンスが使用されます。認証のために複数の A レコードを作成することが必要になる場合があります。リージョンのドメインの完全な一覧については、Azure Databricks アカウントチームにお問い合わせください。

次のステップ

フィードバック

このページはお役に立ちましたか?