Azure リソースへのプライベート接続を構成する

この記事では、Azure Databricks アカウントコンソール UI を使用して、サーバーレスコンピューティングからプライベート接続を構成する方法について説明します。ネットワーク接続構成 API を使用することもできます。

プライベートエンドポイントからの接続のみを受け入れるように Azure リソースを構成する場合は、クラシック Databricks コンピューティングリソースからリソースへの接続でもプライベートエンドポイントを使用する必要があります。

サブネットを使用してサーバーレスコンピューティングアクセス用に Azure Storage ファイアウォールを構成するには、「サーバーレスコンピューティングアクセス用のファイアウォールを構成する」を参照してください。既存のプライベートエンドポイントルールを管理するには、「プライベートエンドポイントルールの管理を参照してください。

注

Azure Databricks は、サーバーレスワークロードがお客様のリソースに接続する場合のネットワークコストに対して課金されます。 Databricks のサーバーレスネットワークコストの概要を参照してください。

サーバーレスコンピューティングのプライベート接続の概要

サーバーレスネットワーク接続は、ネットワーク接続構成 (NCC) を使って管理されます。アカウント管理者はアカウントコンソールで NCC を作成し、NCC は 1 つ以上のワークスペースにアタッチできます

NCC 内にプライベートエンドポイントを追加すると、Azure Databricks によって Azure リソースへのプライベートエンドポイント要求が作成されます。リソース側で要求が受け入れられると、プライベートエンドポイントは、サーバーレスコンピューティングプレーンからリソースにアクセスするために使用されます。プライベートエンドポイントはユーザーの Azure Databricks アカウント専用であり、認可されたワークスペースからのみアクセスできます。

NCC プライベートエンドポイントは、SQL ウェアハウス、ジョブ、ノートブック、Lakeflow 宣言パイプライン、およびモデルサービスエンドポイントからサポートされます。

注

NCC プライベートエンドポイントは、管理するデータソースに対してのみサポートされます。ワークスペースストレージアカウントへの接続については、Azure Databricks アカウントチームにお問い合わせください。
モデルサービスでは、Azure BLOB ストレージパスを使用してモデル成果物をダウンロードするため、サブリソース ID BLOB のプライベートエンドポイントを作成します。サーバーレスノートブックから Unity カタログのモデルをログに記録するには、DFS が必要です。

NCC の詳細については、「ネットワーク接続構成 (NCC) とは?」を参照してください。

要件

アカウントとワークスペースは Premium プランに含まれている必要があります。

Azure Databricks のアカウント管理者である必要があります。
各 Azure Databricks アカウントは、リージョンごとに最大 10 個の NCC を持つことができます。
各リージョンには 100 個のプライベートエンドポイントを設定でき、必要に応じて 1 から 10 個の NCC に分散できます。
各 NCC は、最大 50 個のワークスペースにアタッチできます。

手順 1: ネットワーク接続構成を作成する

Databricks では、同じ部署内で同じリージョン接続プロパティを共有するワークスペース間では、NCC を共有することを推奨しています。たとえば、一部のワークスペースが Private Link を使い、他のワークスペースはファイアウォールの有効化を使う場合、それらのユースケースには個別の NCC を使います。

アカウント管理者として、アカウントコンソールに移動します。
サイドバーで[ セキュリティ]をクリックします。
[ ネットワーク接続の構成] をクリックします。
[ ネットワーク構成の追加] をクリックします。
NCC の名前を入力します。
リージョンを選択します。これは、お使いのワークスペースリージョンと一致している必要があります。
[追加] をクリックします。

手順 2: NCC をワークスペースにアタッチする

アカウントコンソールのサイドバーの [ワークスペース] をクリックします。
ワークスペースの名前をクリックします。
[Update workspace] (ワークスペースの更新) をクリックします。
[ ネットワーク接続構成 ] フィールドで、NCC を選択します。表示されない場合は、ワークスペースと NCC の両方に同じ Azure リージョンが選択されていることを確認します。
[Update] をクリックします。
変更が有効になるまで 10 分待ちます。
ワークスペースで実行中のサーバーレスサービスをすべて再起動します。

ステップ 3: プライベートエンドポイント規則を作成する

各 Azure リソースの NCC にプライベートエンドポイント規則を作成する必要があります。

すべての接続先の Azure リソース ID の一覧を取得します。
1. 別のブラウザータブで、Azure portal を使用してデータソースの Azure サービスに移動します。
2. その [概要] ページで、[Essentials] セクションを確認します。
3. [JSON ビュー] リンクをクリックします。サービスのリソース ID がページの上部に表示されます。
4. そのリソース ID を別の場所にコピーします。すべての接続先に対して繰り返します。リソース ID の検索の詳細については、「 Azure プライベートエンドポイントのプライベート DNS ゾーン値を参照してください。
アカウントコンソールのブラウザータブに戻ります。
サイドバーで[ セキュリティ]をクリックします。
[ ネットワーク接続の構成] をクリックします。
手順 1 で作成した NCC を選びます。
[Private endpoint rules] (プライベートエンドポイント規則) で、[Add private endpoint rule] (プライベートエンドポイント規則の追加) をクリックします。
[Destination Azure resource ID] (接続先の Azure リソース ID) フィールドに、リソースのリソース ID を貼り付けます。
Azure サブリソース ID フィールドで、宛先 ID とサブリソースの種類を指定します。各プライベートエンドポイント規則では、異なるサブリソース ID を使う必要があります。サポートされているサブリソースの種類の一覧については、「サポートされているリソース」を参照してください。
[追加] をクリックします。
すべてのエンドポイント規則の状態が PENDING になるまで数分待ちます。

ステップ 4: リソースで新しいプライベートエンドポイントを承認する

エンドポイントは、リソースに対する権限を持つ管理者が新しいプライベートエンドポイントを承認するまで有効になりません。 Azure portal を使ってプライベートエンドポイントを承認するには、以下の操作を実行します。

Azure portal で、リソースに移動します。
サイドバーで [ネットワーク] をクリックします。
[プライベートエンドポイント接続] をクリックします。
[プライベートアクセス] タブをクリックします。
[プライベートエンドポイントの接続] で、プライベートエンドポイントの一覧を確認します。
承認するものの横にある各チェックボックスをオンにして、一覧の上の [承認] ボタンをクリックします。
Azure Databricks でお使いの NCC に戻り、すべてのエンドポイント規則の状態が ESTABLISHED になるまでブラウザーページを更新します。

(省略可能)手順 5: パブリックネットワークアクセスを禁止するようにリソースを設定する

許可リストのネットワークのみにリソースへのアクセスを制限していない場合は、これを選択できます。

Azure portal に移動します。
データソースのストレージアカウントに移動します。
サイドバーで [ネットワーク] をクリックします。
[パブリックネットワークアクセス] フィールドで、値を確認します。既定の値は [すべてのネットワークから有効] です。これを [無効] に変更します

Azure App Gateway v2 への Private Link の構成

Azure App Gateway v2 リソースへの Private Link を構成する場合は、アカウントコンソール UI ではなくネットワーク接続構成 REST API を使用する必要があります。 Azure App Gateway v2 には、リソース ID、グループ ID、ドメイン名などの追加の構成パラメーターが必要です。

次の API 呼び出しを使用して、ドメイン名の構成を使用してプライベートエンドポイント規則を作成します。

curl --___location 'https://accounts.azuredatabricks.net/api/2.0/accounts/<ACCOUNT_ID>/network-connectivity-configs/<NCC_ID>/private-endpoint-rules' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer <TOKEN>' \
--data '{
   "domain_names": [
      "<YOUR_DOMAIN_HERE>"
   ],
   "resource_id": "<YOUR_APP_GATEWAY_RESOURCE_ID_HERE>",
   "group_id": "<GROUP_ID>"
}'

既存のプライベートエンドポイント規則のドメイン名を変更する必要がある場合は、次の PATCH 要求を使用します。

curl --___location --request PATCH 'https://accounts.azuredatabricks.net/api/2.0/accounts/<ACCOUNT_ID>/network-connectivity-configs/<NCC_ID>/private-endpoint-rules/<PRIVATE_ENDPOINT_RULE_ID>?update_mask=domain_names' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer <TOKEN>' \
--data '{
   "domain_names": [
      "<YOUR_DOMAIN_HERE>"
   ]
}'

App Gateway のプライベートエンドポイント規則を一覧表示、表示、または削除するには、ネットワーク接続構成 API に記載されている標準的な Network Connectivity Configurations API 操作を使用します。

手順 7: サーバーレスコンピューティングプレーンリソースを再起動し、接続をテストする

前のステップの後、変更が反映されるまでさらに 5 分間待ちます。
NCC がアタッチされているワークスペースで、実行中のサーバーレスコンピューティングプレーンリソースを再起動します。実行中のサーバーレスコンピューティングプレーンリソースがない場合は、今すぐ開始します。
すべてのリソースが正常に起動することを確認します。
データソースに対して少なくとも 1 つのクエリを実行し、サーバーレス SQL ウェアハウスがデータソースに到達できることを確認します。

次は何ですか

プライベートエンドポイントルールの管理: リソース ID の更新や接続状態の管理など、既存のプライベートエンドポイント構成を制御および変更します。プライベートエンドポイントルールを管理するを参照してください。
サーバーレスコンピューティングアクセス用にファイアウォールを構成する: プライベートエンドポイントではなくサブネットを使用して Azure サービスへのアクセスを制御するネットワークファイアウォール規則を設定します。「サーバーレスコンピューティングアクセス用のファイアウォールの構成」を参照してください。
ネットワークポリシーの構成: サーバーレスコンピューティング接続を制御するための追加のネットワークセキュリティ制御とポリシーを実装します。サーバーレスエグレス制御を参照してください。.
サーバーレスネットワークセキュリティについて: サーバーレス コンピューティング環境で使用できる、より広範なネットワークセキュリティアーキテクチャとオプションについて説明します。「サーバーレスコンピューティングプレーンネットワーク」を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-11-05

次の方法で共有

Azure リソースへのプライベート接続を構成する

サーバーレス コンピューティングのプライベート接続の概要

要件

手順 1: ネットワーク接続構成を作成する

手順 2: NCC をワークスペースにアタッチする

ステップ 3: プライベート エンドポイント規則を作成する

ステップ 4: リソースで新しいプライベート エンドポイントを承認する

(省略可能)手順 5: パブリック ネットワーク アクセスを禁止するようにリソースを設定する