Databricks mở rộng Inbound Private Link cho Genie One, Bảng điều khiển tài khoản và URL tùy chỉnh

Hiện đã hỗ trợ bản Beta trên AWS và Azure: một điểm cuối (endpoint) General Access dùng chung, tại bất kỳ khu vực nào, cho mọi workspace và tài nguyên UI/API cấp tài khoản.

bởi Robert Zhang, Manish Bansal, Chen He và Yankai Zhang

Các doanh nghiệp áp dụng Databricks cho những dữ liệu nhạy cảm nhất thường dựa vào Inbound Private Link để giữ lưu lượng truy cập từ người dùng đến Databricks không đi qua internet công cộng, thay vào đó định tuyến riêng tư thông qua mạng đám mây của chính họ. Khi khách hàng mở rộng quy mô sang nhiều workspace, nhiều khu vực và các sản phẩm cấp tài khoản như Genie One, chúng tôi đã mở rộng các khả năng của Inbound Private Link để đáp ứng nhu cầu đó.

Có gì mới trong Inbound Private Link

Inbound Private Link hiện hỗ trợ các tài nguyên cấp tài khoản, bao gồm Genie One cấp tài khoản, bảng điều khiển tài khoản (account console), Governance Hub và các API cấp tài khoản. Khách hàng có thể đặt Genie One cấp tài khoản phía sau Inbound Private Link với cùng các đảm bảo về mạng mà họ đã áp dụng ở những nơi khác.

Inbound Private Link hiện hỗ trợ Custom URL và URL ổn định cho Managed Disaster Recovery. Inbound Private Link hiện hoạt động toàn diện với các custom URL như acme.databricks.com. Điều này mở rộng sang các URL ổn định cho managed disaster recovery (ví dụ: acme.databricks.com/?c=stable-ws-id).

Một điểm cuối, mọi khu vực, cho mọi tài nguyên UI + API. Một điểm cuối General Access dùng chung duy nhất tại bất kỳ khu vực nào hiện có thể phục vụ tất cả UI + API cấp workspace và cấp tài khoản. Khách hàng không còn cần phải tạo một điểm cuối cho mỗi khu vực hoặc workspace nữa. Các nhóm có yêu cầu cách ly mạng nghiêm ngặt vẫn có thể sử dụng nhiều điểm cuối; nhưng các điểm cuối đó không còn bị giới hạn chỉ phục vụ tài nguyên trong cùng một khu vực. Điều này giúp giảm bớt công việc thủ công và chi phí cần thiết để duy trì nhiều điểm cuối. Lưu ý: các điểm cuối service-direct (cho các dịch vụ đòi hỏi hiệu năng cao) và điểm cuối SCC relay (cho kết nối cụm bảo mật classic-compute) vẫn cần được cấu hình theo từng khu vực.

Được xây dựng dựa trên context-based ingress

Các khả năng mới của Inbound Private Link này được tích hợp vào các kiểm soát context-based ingress, cho phép quản trị viên tài khoản viết các quy tắc cho phép và từ chối chi tiết dựa trên đối tượng gọi (danh tính), từ đâu (nguồn mạng: IP công cộng hoặc điểm cuối đã đăng ký) và những gì họ được phép truy cập trong workspace hoặc tài nguyên cấp tài khoản (đích đến).

Các chính sách cho tài nguyên cấp tài khoản như bảng điều khiển tài khoản có thể được xác định trong account-policy mới.

Các chính sách workspace hiện có có một phần “private access” mới để cấu hình Inbound Private Link dựa trên ngữ cảnh.

Các chính sách Inbound Private Link cho cả general access và service-direct đều có thể được cấu hình trong context-based ingress. Kết hợp với hỗ trợ truy cập công cộng hiện có, context-based ingress cung cấp cho bạn một công cụ chính sách duy nhất để cấu hình cả ingress công cộng và riêng tư cho các workspace và tài nguyên cấp tài khoản.

Chúng tôi khuyến nghị khách hàng nên cấu hình context-based ingress thay vì sử dụng danh sách truy cập IP (IP access lists) kiểu "tất cả hoặc không có gì" hoặc Private Access Settings để đạt được lợi ích tối đa từ các khả năng mới nhất của nền tảng chúng tôi.

Thiết lập tối giản, không gây gián đoạn cho khách hàng hiện tại

Nếu bạn đã sử dụng Inbound Private Link, bản phát hành này mang tính bổ sung và không gây gián đoạn. Các URL không tùy chỉnh dành riêng cho workspace vẫn tiếp tục hoạt động song song với quyền truy cập qua custom URL. Các cài đặt private access và danh sách truy cập IP vẫn tiếp tục hoạt động song song với context-based ingress (bất kỳ chính sách từ chối nào cũng dẫn đến việc bị từ chối truy cập).

Việc kích hoạt quyền truy cập riêng tư vào các tài nguyên cấp tài khoản chỉ cần hai bước:

Bắt đầu

Tất cả các khả năng mới của Inbound Private Link được mô tả ở đây hiện đã có sẵn bản Beta trên AWS Enterprise tier và Azure Premium tier. Các kiểm soát context-based ingress cho truy cập công cộng đã được phát hành chính thức (Generally Available). Hãy thử nghiệm cả hai ngay hôm nay!