Azure Databricks Private Link versus NCC kies het patroon op basis van verkeersstroom
Private Link en Network Connectivity Configurations zijn geen concurrerende controls. Het juiste ontwerp hangt af van wie verbinding maakt, welke compute plane betrokken is en waar het verkeer heen moet.
Gebruiker / BI / API
inbound access
Workspace
UI en API's
Classic compute
cluster-control-verkeer
Control plane
REST / SCC-relay
Serverless compute
outbound datatoegang
Azure-resource
Storage / SQL / Key Vault
Classic compute
klant-VNet-pad
Azure / on-prem
databronnen en services
Start met het trafficpad. Kies daarna de network control die dat pad beschermt.
Private Link en NCC lossen verschillende delen van het netwerk op
Private Link creëert private netwerkpaden. NCC is het Databricks account-level construct voor het beheren van serverless-connectiviteit. Het verschil wordt duidelijk zodra origin en destination expliciet zijn.
Inbound access corridor
Private toegang vanaf het bedrijfsnetwerk naar Databricks.
Client
Corporate gebruiker
VPN / ExpressRoute
Onderweg
Private endpoint
databricks_ui_api
Bestemming
Workspace
UI · REST API
Browserauthenticatie
Private browser-sign-in heeft het vereiste authenticatie-endpoint en DNS-pad nodig.
Public access is afzonderlijk
Een private endpoint maken maakt de workspace op zichzelf niet private-only.
Inbound Private Link beschermt het pad naar Databricks. Het bepaalt niet hoe compute uw databronnen bereikt.
Gebruik Private Link wanneer de workspace zelf privé bereikbaar moet zijn
Inbound Private Link beveiligt gebruikers-, API- en applicatietoegang tot Azure Databricks. Het private endpoint bevindt zich normaal in een transitnetwerk dat gebruikers vanuit het bedrijfsnetwerk kunnen bereiken.
Bescherm het workspace-entrypoint
Web-UI- en REST API-verkeer kan op private networking blijven.
Plan authenticatie en DNS samen
Het endpoint bestaat alleen als clients er correct naartoe resolven en routeren.
Beslis of publieke toegang beschikbaar blijft
Private connectivity en public-access-policy zijn afzonderlijke ontwerpkeuzes.
Classic compute heeft twee verschillende private paden
VNet injection plaatst classic compute in uw netwerk. Van daaruit loopt één pad naar het Databricks control plane en een ander naar storage, databases of on-premises systemen.
Control-plane-pad
Classic compute plane Private Link houdt REST- en secure-cluster-connectivity-relayverkeer op private networking.
Datapad
Private endpoints, routes, peering en VPN of ExpressRoute beheren toegang vanuit het customer VNet naar databronnen.
Combineer de twee mentaal niet
Een private control-plane-route creëert niet automatisch een private route naar ADLS, SQL of een on-premises ERP.
Classic compute-padsplitsing
Eén cluster, twee netwerkverantwoordelijkheden.
Klant-VNet
Classic compute
Pad A
Naar Databricks control plane
REST API- en SCC-relayverkeer.
Pad B
Naar klantresources
ADLS, SQL, services en on-premises bronnen.
VNet injection geeft classic compute klantbeheerde networking. Dit geldt niet voor serverless compute.
NCC is de serverless-netwerkgrens, geen vervanging voor Private Link
Een Network Connectivity Configuration is een account-level regionaal object. Workspaces worden eraan gekoppeld zodat serverless compute de netwerkregels van die NCC kan gebruiken.
Gekoppelde workspaces
Regionale controle
NCC
Private bestemmingen
10 NCC's
huidig maximum per regio per account
100 private endpoints
per regio, verdeeld over NCC's
50 workspaces
huidig maximum attachments per NCC
Regionaal en op accountniveau
De NCC kan aan meerdere workspaces in dezelfde regio worden gekoppeld.
Scheid waar de boundary verschilt
Dev, test, prod of businessunits verdienen vaak aparte NCC's wanneer hun netwerkpolicy verschilt.
Alleen outbound
NCC beveiligt geen inbound toegang van gebruikers naar de Databricks-workspace.
NCC is slechts één onderdeel van serverless egress-control
Het netwerkpatroon hangt af van of de destination een private endpoint, gecontroleerd Azure-servicepad of beperkte externe destination nodig heeft.
Private pad
Azure PaaS
Gebruik NCC private endpoint rules voor ondersteunde Azure-resources wanneer verkeer via private connectivity moet lopen.
NCC + PEPrivate VNet-pad
Interne service
Serverless compute kan ondersteunde resources in een customer VNet privé bereiken via het Databricks private-connectivitypatroon en een Standard Load Balancer.
NCC + LBAzure-firewallpad
Storage
Service-endpointtoegang en Azure Network Security Perimeter-regels kunnen storagetoegang beheersen zonder private endpoint.
NSP / service tagExterne egress
FQDN / IP
Serverless network policies beperken outbound destinations en gelden ook wanneer het pad een private endpoint gebruikt.
NetwerkbeleidPrivate connectivity en egress-autorisatie zijn afzonderlijke lagen. Een private endpoint staat de bestemming niet automatisch toe.
Kies het netwerkpatroon met drie vragen
Begin niet met een productnaam. Start met richting, compute plane en bestemming.
Vraag 1
Gaat het verkeer Databricks in of compute uit?
Gebruiker, BI-client of API
Gebruik inbound Private Link wanneer het workspace-entrypad privé moet zijn.
Vraag 2: classic of serverless?
Classic
Gebruik VNet-controls voor customer resources en back-end Private Link voor control-plane-isolatie.
Serverless
Vraag 3: vereist de bestemming een private pad?
Serverless + private destination
Gebruik NCC private endpoint rules
Serverless + gecontroleerd niet-privépad
Gebruik de passende firewall-, NSP- en network-policy-controls
Hybride manufacturing-netwerk
Twee compute planes, twee private-connectivitypatronen.
Fabriek
ERP / MES
on-premises
Classic pad
VNet-compute
VPN / ExpressRoute
Landing
ADLS
private endpoint
Analytics
Serverless
SQL / jobs
Serverless pad
NCC
private endpoint rule
Bedienen
ADLS / Azure SQL
private datatoegang
Een hybride fabriek kan zowel klassieke VNet-networking als NCC nodig hebben
Een veelgebruikt manufacturing-ontwerp combineert private plantconnectiviteit met serverless analytics. De fout is aannemen dat één netwerkpatroon beide compute planes afdekt.
Operationele ingestion
Classic compute kan het klant-VNet gebruiken om ERP-, MES- of fileservices via VPN of ExpressRoute te bereiken.
Serverless analytics
Serverless SQL en jobs gebruiken NCC-managed connectivity naar private Azure-destinations.
Eén platform, afzonderlijke paden
Het dataplatform kan unified zijn terwijl de network controls compute-plane-specifiek blijven.
Valideer het private pad laag voor laag
Een private endpoint kan bestaan terwijl de workload nog steeds faalt. Test naamresolutie, routing, endpointstatus en identity afzonderlijk.
Los op
Resolveert de hostname naar de verwachte private bestemming?
Route
Kan de daadwerkelijke workload dat netwerkpad bereiken?
Vaststellen
Is het private endpoint goedgekeurd en tot stand gebracht op de doelresource?
Autoriseren
Heeft de Databricks-identity permission op de data of service?
Test op hetzelfde computeplatform dat in productie wordt gebruikt. Een geslaagde test op een laptop of classic cluster bewijst niet dat serverless-connectiviteit werkt.
Automatiseer NCC nadat de netwerkgrens duidelijk is
Deze gids richt zich op architectuur. Zodra het serverless pad is bepaald, kunnen NCC, private endpoint rules en workspace binding met de Databricks Terraform-provider worden geautomatiseerd.
Lees de NCC Terraform-gidsDrie Databricks-accountresources
Houd de implementatiegids apart zodat architectuurbeslissingen en Terraform-mechanics niet op dezelfde pagina concurreren.
Vermijd netwerkontwerpen die compute planes en verkeersrichtingen door elkaar halen
De meeste failures ontstaan doordat de juiste control op het verkeerde pad wordt toegepast, of doordat het ontwerp wordt gevalideerd vanaf een andere workload dan degene die in productie draait.
Vermijd
Treating NCC as a replacement for Private Link
Betere default
Classify the traffic direction first
Vermijd
Reusing classic VNet assumptions for serverless
Betere default
Design serverless egress as its own network plane
Vermijd
Creating a private endpoint and assuming public access is disabled
Betere default
Configure private connectivity and public-access policy separately
Vermijd
Testing from a laptop or classic cluster only
Betere default
Validate from the actual production compute plane
Vermijd
Sharing one NCC across unrelated security boundaries
Betere default
Separate NCCs when environments or business units require isolation
Vermijd
Troubleshooting RBAC before DNS and routing
Betere default
Validate resolve, route, endpoint state and identity in order
We ontwerpen het netwerk rond het workloadpad, niet rond één connectiviteitsfeature
In Titan kunnen classic en serverless compute naast elkaar bestaan. We definiëren de netwerkgrens per workload, automatiseren de benodigde controls en valideren het pad vanaf de compute die het daadwerkelijk gebruikt.
Classificeer ieder verkeerspad
Inbound, classic control-plane, classic data-plane en serverless egress worden afzonderlijk behandeld.
Pas de juiste control toe
Bewijs het end-to-end-pad
DNS, routing, private-endpointstate en datapermissions worden vanuit de echte workload getest.
Veelgestelde vragen
Praktische antwoorden over Azure Databricks Private Link, NCC en serverless networking.
Is Databricks NCC hetzelfde als Azure Private Link?
Nee. Azure Private Link is de private-connectivity-technologie. Een Databricks Network Connectivity Configuration is een account-level regionaal construct voor het beheren van serverless network connectivity, inclusief private endpoint rules.
Wanneer heb ik een NCC nodig?
Gebruik een NCC wanneer Azure Databricks serverless compute gecontroleerde connectiviteit naar customer resources nodig heeft. Private endpoint rules binnen de NCC leveren private connectivity naar ondersteunde Azure-resources, terwijl andere serverless controls service-endpoint-, firewall- en externe egresspaden kunnen govern-en.
Vervangt NCC VNet-injectie?
Nee. VNet injection geldt voor classic compute en plaatst classic-compute-resources in een customer-managed VNet. Serverless compute draait in een Databricks-managed netwerk en gebruikt serverless networking-controls zoals NCC.
Schakelt configuratie van Private Link publieke toegang automatisch uit?
Nee. Private connectivity en public network access zijn afzonderlijke controls. Als de security-eis private-only toegang is, configureer de relevante public-access- of ingressbeperkingen als onderdeel van het ontwerp.
Wat is het verschil tussen Private Link voor de classic compute plane en een private endpoint naar ADLS?
Classic compute plane Private Link beveiligt verkeer van classic compute naar Azure Databricks control-plane-services. Een private endpoint naar ADLS beveiligt het datapad van de compute plane naar het storage account. Ze beschermen verschillende flows.
Kan serverless compute resources in een VNet privé bereiken?
Ja, voor ondersteunde patronen. Azure Databricks kan serverless private connectivity opzetten naar resources die achter een ondersteunde Standard Load Balancer in het klant-VNet beschikbaar zijn.
Kan één NCC tussen workspaces worden gedeeld?
Ja. Een NCC kan aan meerdere workspaces in dezelfde regio worden gekoppeld, binnen de actuele servicelimieten. Aparte NCC's zijn meestal duidelijker wanneer dev, test, prod of businessunits verschillende isolatiegrenzen vereisen.
Hoeveel private endpoints kan een NCC-design gebruiken?
De huidige Azure Databricks-limieten staan maximaal 10 NCC's per regio per account toe, 100 private endpoints per regio verdeeld over die NCC's en maximaal 50 workspaceattachments per NCC. Controleer de actuele limieten vóór productie-uitrol.
Valideer uw Databricks-netwerkpad vóór productie
We kunnen traffic flows, compute planes, private endpoints, DNS, routing en serverless egress controls beoordelen voordat deze onderdeel worden van het productieplatform.