使AWS PrivateLink

第三步:注冊您的VPC端點(前端、後端、或兩者)

按照說明在使用帳戶控製台管理VPC端點注冊(E2)。

• 為後端PrivateLink,注冊後端VPC端點和名稱創建配置的目的,例如添加鱗狀細胞癌集群連接和安全工作空間工作區(REST API) VPC端點注冊。為後端VPC端點,該地區字段必須匹配您的工作區區域和區域的AWS VPC端點注冊。然而,磚驗證這隻在工作區中創建(或在與PrivateLink更新工作區),所以它是至關重要的在這個步驟中,您仔細設置區域。

• 為前端PrivateLink,注冊前端中創建交通VPC VPC端點。前端PrivateLink,該地區字段必須匹配您的運輸VPC地區和該地區的AWS VPC端點工作區為前端連接。

步驟3 b:創建一個網絡配置(後端)

按照說明在管理網絡配置使用帳戶控製台(E2)。詳細要求customer-managed VPC及其相關子網和安全組,明白了Customer-managed VPC。最重要的領域PrivateLink標題下後端私人連接。有兩個字段,你選擇你的後端VPC端點注冊在上一步中創建的。對於第一個,選擇VPC端點注冊的安全集群連接繼電器。對於其他選擇的VPC端點注冊工作區(REST api)。

步驟3 c:創建一個不是對象(前端、後端、或兩者)

創建一個私有訪問設置(PAS)對象是一個重要的一步PrivateLink配置。按照說明在使用帳戶控製台管理私人訪問設置(E2)。

• 區域,確保它匹配的工作區,這不是立即驗證但工作區部署失敗如果它不匹配。

• 設置公共訪問啟用字段,它配置公共訪問前端連接(web應用程序和REST api)為您的工作區。

  • 如果設置為假(默認),可以隻使用訪問前端連接PrivateLink連接而不是從公共網絡。因為從公共網絡訪問無效在這種情況下,IP訪問列表功能不支持工作區。

  • 如果設置為真正的前端連接可以訪問從PrivateLink連接或從公共網絡。您可以選擇為工作區配置IP訪問列表限製源網絡可以訪問web應用程序和REST api從公共網絡(但不是PrivateLink連接)。

• 設置私人訪問級別字段的值,最能代表VPC端點,以便您的工作區。

  • 設置為賬戶限製的VPC端點連接在磚賬號注冊。

  • 設置為端點限製連接一組明確的VPC端點,您可以輸入字段出現。它可以讓您選擇您已經創建了VPC端點注冊。一定要包括你前端VPC端點注冊如果您創建一個。

步驟3 d:創建或更新工作區(前端,後端,或兩者都有)

下麵的說明描述創建一個工作區使用控製台的工作區頁麵。

1. 按照說明在創建一個工作區創建一個工作區。看到那篇文章指導工作空間等領域工作空間網址,地區,統一編目,證書配置和存儲配置。沒有點擊嗎保存按鈕。

2. 點擊高級配置查看附加字段。

3. 為後端PrivateLink,選擇網絡配置。下虛擬私有雲菜單中,選擇您創建的磚網絡配置。

4. 對於任何PrivateLink使用,選擇私人訪問設置對象。看以下私人聯係標題。點擊菜單,選擇私人的名稱訪問設置對象創建。

5. 點擊保存。

6. 創建(或更新)工作區後,等到它可供使用或創建集群。工作區狀態呆在狀態運行和VPC立即發生了變化。然而,你不能使用或創建集群為另一個20分鍾。如果您創建或使用集群在此之前時間間隔過後、集群不發射成功,失敗,或可能導致其他意想不到的行為。

7. 繼續第四步:配置內部DNS將用戶請求重定向到web應用程序(前端)。

步驟3:寄存器VPC端點(前端,後端,或兩者都有)

使用賬戶API 2.0,注冊VPC端點id為你端VPC端點。對於每一個人,這將創建一個磚VPC端點注冊。

為後端VPC端點,如果您有多個工作區在同一地區,共享相同的customer-managed VPC,你可以選擇分享AWS VPC端點。你也可以分享這些VPC端點在多個磚賬戶,在這種情況下注冊AWS VPC端點在每個磚帳戶。

前端VPC端點,如果你有多個磚帳戶,您可以共享一個前端VPC端點在磚賬戶。在每個相關注冊端點磚帳戶。

注冊一個VPC端點在磚,做一個帖子請求/賬戶/ <帳戶id > / vpc-endpointsREST API端點和請求主體通過以下字段:

• vpc_endpoint_nameVPC端點注冊:用戶可見的名字在磚。

• 地區:AWS地區名稱

• aws_vpc_endpoint_id:你在AWS VPC端點的ID。它始於前綴vpce -。

例如:

curl - x - n後\“https://accounts.cloud.www.eheci.com/api/2.0/accounts/ <帳戶id > / vpc-endpoints”\- d”{:“vpc_endpoint_name磚前端端點”,“地區”:“us-west-2”,:“aws_vpc_endpoint_id < vpce-id >”}'

JSON響應包含一個vpc_endpoint_id字段。如果你添加一個後端PrivateLink連接,拯救這個值。這個ID是特定於這個配置在磚。你需要這個ID當您創建網絡配置在後麵的步驟(步驟3 b:創建一個網絡配置(後端))。

相關的賬戶API的操作可能是有用的:

• 檢查登記VPC端點的狀態- - -狀態場在AWS JSON表示狀態的響應。

• 得到所有VPC端點注冊您的帳戶

• 刪除VPC端點注冊

步驟3 b:創建一個網絡配置(後端)

對於任何PrivateLink支持,您必須使用Customer-managed VPC。這個功能需要你創建一個網絡配置對象封裝了ID VPC,子網,安全組。

後端PrivateLink支持,你的網絡配置必須有一個額外的字段特定PrivateLink。網絡配置vpc_endpointsid字段引用你Databricks-specific VPC端點返回當你注冊VPC端點。看到步驟3:寄存器VPC端點(前端,後端,或兩者都有)。

添加這兩個字段的對象:

• rest_api:設置一個JSON數組,包括一個元素:後端REST API VPC的Databricks-specific ID注冊端點步驟3:寄存器VPC端點(前端,後端,或兩者都有)。

  重要的

  小心使用Databricks-specific ID創建當你注冊區域端點基於表區域端點引用。它是一種常見的配置錯誤設置錯誤的ID字段。

• dataplane_relay:設置一個JSON數組,包括一個元素:後端SCC VPC的Databricks-specific ID注冊端點步驟3:寄存器VPC端點(前端,後端,或兩者都有)。

  重要的

  小心使用Databricks-specific ID創建當你注冊區域端點基於表區域端點引用。它是一種常見的配置錯誤設置錯誤的ID字段。

你得到這些Databricks-specific VPC端點IDs的JSON響應請求你了步驟3:寄存器VPC端點(前端,後端,或兩者都有)內,vpc_endpoint_id響應領域。

下麵的示例創建一個新的網絡配置,VPC端點引用id。取代< databricks-vpce-id-for-scc >與你Databricks-specific VPC端點ID安全集群連接繼電器。取代< databricks-vpce-id-for-rest-apis >與你Databricks-specific VPC REST api端點ID。

curl - x - n後\“https://accounts.cloud.www.eheci.com/api/2.0/accounts/ <帳戶id > /網絡”\- d”{“network_name”:“提供網絡配置的名稱”,“vpc_id”:“< aws-vpc-id >”,“subnet_ids”:(“< aws-subnet-1-id >”,“< aws-subnet-2-id >”),“security_group_ids”:(“< aws-sg-id >”)," vpc_endpoints ": {“dataplane_relay”:(“< databricks-vpce-id-for-scc >”),“rest_api”:(“< databricks-vpce-id-for-rest-apis >”]}}'

步驟3 c:創建一個沒有配置(前端,後端,或兩者都有)

使用磚賬戶API 2.0創建或附加一個私人訪問設置(PAS)對象。

私人訪問設置對象支持以下場景:

• 實現前端VPC端點

• 隻實現後端VPC端點

• 實現前端和後端VPC端點

工作區支持這些PrivateLink連接性場景,工作區必須創建連接私人訪問設置對象。這可能是一個新的私人訪問設置對象隻有該工作區,或重用和共享現有的私人訪問設置對象在同一AWS地區跨多個工作區。

這個對象有兩個目的:

1. 表達你的意圖使用AWS PrivateLink工作區。如果您打算使用前端或後端PrivateLink連接到工作區,必須附上工作區在工作區中創建這些對象之一。

2. 控製你的設置前端使用AWS PrivateLink。如果你希望使用後端PrivateLink,你可以選擇對象的集合public_access_enabled字段真正的。

私有訪問設置對象定義的public_access_enabled配置公共訪問前端連接(web應用程序和REST api)工作區:

• 如果設置為假(默認),可以隻使用訪問前端連接PrivateLink連接而不是從公共網絡。因為從公共網絡訪問無效在這種情況下,IP訪問列表功能不支持工作區。

• 如果設置為真正的前端連接可以訪問從PrivateLink連接或從公共網絡。您可以選擇為工作區配置IP訪問列表限製源網絡可以訪問web應用程序和REST api從公共網絡(但不是PrivateLink連接)。

創建一個私有訪問設置對象,帖子請求/賬戶/ <帳戶id > / private-access-settingsREST API端點。請求主體必須包含以下屬性:

• private_access_settings_name:人類可讀的私人訪問設置對象的名稱。

• 地區:AWS地區名稱。

• public_access_enabled:指定是否啟用公共訪問的前端連接。如果真正的公共訪問是可能的前端連接除了PrivateLink連接。看到前麵的表為您的實現所需的值。

• private_access_level:指定哪個VPC端點可以連接到這個工作區:

  • 賬戶(默認):限製的VPC端點連接在磚賬號注冊。

  • 端點:限製連接一組明確的VPC端點。看到相關的allowed_vpc_endpoint_ids財產。

  請注意

  私人訪問級別任何棄用。水平不可用新的或現有的私人訪問設置的對象。

• allowed_vpc_endpoint_ids:使用隻有private_access_level被設置為端點。這個屬性指定VPC端點的集合,可以連接到這個工作區。指定的JSON數組VPC端點id。使用過程中返回數據磚id端點注冊,而不是AWS id。

curl - x - n後\“https://accounts.cloud.www.eheci.com/api/2.0/accounts/ <帳戶id > / private-access-settings”\- d”{“private_access_settings_name”:“默認不是us-west-2”,“地區”:“us-west-2”,“public_access_enabled”:真的}'

JSON響應包含一個private_access_settings_id字段。這個ID是特定於這個配置在磚。很重要的是,你保存結果字段,因為你會需要它當您創建工作區。

相關的api:

• 得到一個私人訪問設置對象的ID

• 得到所有私人設置對象的訪問

• 更新一個私人訪問設置對象(公共預覽)

• 刪除私人訪問設置對象

步驟3 d:創建或更新一個工作區

創建工作區與PrivateLink連接性的重要領域private_access_settings_id(你的新身份證私人訪問設置對象和network_id(你的新身份證網絡配置)。

創建工作區,PrivateLink連接:

1. 在磚閱讀說明書賬戶API 2.0為指導各領域一個新的工作區與帳戶API。為完整的指令存儲配置等各個領域,證書配置,和customer-managed鍵,看到使用帳戶API創建一個新的工作區。

2. 調用創建一個新的工作區API(帖子/賬戶/ {account_id} /工作區),一定要包括private_access_settings_id和network_id,例如:

   curl - x - n後\“https://accounts.cloud.www.eheci.com/api/2.0/accounts/ < databricks-account-id > /工作區”\- d”{:“workspace_name my-company-example”,:“deployment_name my-company-example”,:“aws_region us-west-2”,“credentials_id”:“< aws-credentials-id >”,“storage_configuration_id”:“< databricks-storage-config-id >”,“network_id”:“< databricks-network-config-id >”,“managed_services_customer_managed_key_id”:“< aws-kms-managed-services-key-id >”,“storage_customer_managed_key_id”:“< aws-kms-notebook-workspace-storage-config-id >”,:“private_access_settings_id < private-access-settings-id >”}'

3. 與PrivateLink創建或更新現有的工作空間後,你必須等待工作區中可用之前使用或創建集群,工作區狀態呆在狀態運行和VPC立即發生了變化。然而,你不能使用或創建集群為另一個20分鍾。如果您創建或使用集群在此之前時間間隔過後、集群不發射成功,失敗,或可能導致其他意想不到的行為。