Customer-managed VPC

概述

默认情况下，您的Databricks工作区计算资源(例如Databricks Runtime集群)是在谷歌云中的GKE集群中创建的VPC网络．Databricks在您的谷歌云帐户中创建并配置此VPC。

或者，您可以选择在现有的数据库中创建Databricks工作空间customer-managed VPC您在谷歌云帐户中创建的。您可以使用客户管理的VPC来对您的网络配置进行更多的控制，以符合您的组织可能需要的特定的云安全和治理标准。

客户管理的VPC是一个很好的解决方案，如果你有:

• 禁止PaaS提供商在您自己的谷歌云帐户中创建vpc的安全策略。

• 创建新VPC的审批流程，由内部信息安全或云工程团队以良好的文档方式配置和保护VPC。

福利包括:

• 较低的权限级别:维护您自己的谷歌云帐户更多的控制权。数据库不需要像默认的数据库管理VPC那样需要太多的权限。限制所需的权限可以更容易地获得在平台堆栈中使用Databricks的批准。bob体育客户端下载看到客户管理vpc的权限级别较低．

• 巩固vpc:配置多个“数据库”工作空间，共享一个数据平面VPC。这通常是计费和实例管理的首选。

要使用客户管理的VPC，必须在创建Databricks工作区时指定它账户控制台．不能将已有的带有数据库管理VPC的工作空间移动到自己的VPC中。此外，在创建工作空间之后，您不能更改工作空间使用的由客户管理的VPC。

需求

步骤1:创建并设置VPC

1. 选择创建谷歌所称的独立VPC还是共享VPC。共享VPC允许为VPC指定一个谷歌Cloud项目，每个工作空间可以指定不同的项目。Databricks使用工作区项目创建工作区的存储和计算资源。看到项目需求．

   • 如果要在VPC中使用与每个工作空间的计算和存储资源相同的项目，请单独创建VPC。

   • 否则，请创建共享VPC。

2. 创建VPC网络需求：

   • 创建独立VPC，使用谷歌云控制台或者是谷歌CLI．使用实例使用谷歌命令行创建独立VPC，其IP范围满足Databricks工作空间的要求。取代<地区>用谷歌云地区计划在其中创建Databricks工作区。取代< vpc-name >使用新的VPC名称。取代< subnet-name >使用新的子网名称。取代<项目id >独立VPC的项目ID。

     gcloud配置集Project < Project -id> gcloud计算网络创建——subnet-mode＝自定义gcloud计算网络子网创建＼——网络＝< vpc-name >——范围＝10.0.0.0/16——地区＝<地区>＼——secondary-range圆荚体＝10.1.0.0/16, svc＝10.2.0.0/20

     本例中以从IP地址段命名圆荚体而且svc．这些名称与后面的配置步骤相关。

   • 创建共享VPC：

     1. 阅读谷歌文章共享VPC简介”。

     2. 请遵循谷歌文章中的说明。使用共享VPC创建集群”。的主持的项目是VPC所属的项目。的服务项目是Databricks用于每个工作空间的计算和存储资源的项目。创建共享VPC，在共享VPC中创建GKE测试集群进行测试，并删除测试集群。

3. 如果您计划在该VPC中的任何工作空间使用私有GKE集群(创建工作空间时默认设置)，则计算资源节点没有公网IP地址。

   请注意

   如果您计划在创建工作空间时使用公共GKE集群，为计算资源节点创建公共IP地址，请跳过本节的下一步。

   为了支持带有私有GKE集群的工作空间，VPC中必须包含允许从VPC向公共internet出口(出站)流量的资源，以便您的工作空间可以连接到Databricks控制平面。

   启用出口的一个简单方法是添加谷歌云NAT。请遵循谷歌文章中的说明。使用云NAT设置网络地址转换”。这种方法支持到所有目的地的出口。如果您想将出口限制到所需的目的地，您可以现在或稍后使用使用防火墙限制工作区的网络出口．

   如果你使用谷歌CLI对于这一步，可以使用以下命令。取代< vpc-name >使用前面步骤中创建的VPC名称。取代< nat-name >新的NAT名称。将替换为你想要在你的工作区中使用的区域名称(或同一区域中的多个工作区):

   Gcloud计算路由器创建my-router -network＝< vpc-name >——地区＝ gcloud compute路由器nats create ＼——路由器＝我的路由器＼——auto-allocate-nat-external-ips＼——nat-all-subnet-ip-ranges＼——router-region＝<地区>

   有关其他示例，请参阅谷歌文章“GKE设置示例”。

步骤2:为您的admin用户帐户确认或添加项目上的角色

的主要执行操作的对象必须为每个操作具有特定的所需角色。看到角色需求用于创建工作空间和其他相关操作所需的角色

确认或更新项目主体的角色:

1. 去项目IAM页面在谷歌云控制台。

2. 如果需要，在页面顶部的项目选择器中更改项目以匹配您的VPC项目。

3. 如果主体已经在此项目中具有角色，则可以在此页上找到它，并在角色列。

4. 向项目中的主体添加新角色:

   1. 在IAM页面上方，单击添加．

   2. 在主要字段，输入要更新的实体的电子邮件地址。

   3. 单击选择角色字段。选择列出为必选的角色。看到角色需求．属性中的选择器中，可以找到角色所有者、查看器和编辑器基本类别。

      请注意

      创建带有客户管理VPC的工作空间时，需要使用角色用于创建网络配置和工作空间。现在为这两个操作添加角色。

   4. 单击，可添加其他角色添加另一个角色并重复“确认或更新项目主体的角色”中前面的步骤。

   5. 点击保存．

5. 如果你使用谷歌云共享VPC，它允许为您的工作空间资源(例如计算资源和存储)使用不同的谷歌Cloud项目，您还需要在工作空间的项目上为主体确认或添加角色。重复本节中的步骤，但使用工作区的项目，而不是VPC的项目。

步骤3:向Databricks注册网络，这会创建一个网络配置对象

将网络(VPC)注册为一个新的Databricks网络配置对象。

1. 去账户控制台．

2. 2 .在左侧导航区单击云资源．

3. 点击添加网络配置．

4. 在单独的web浏览器窗口中，打开谷歌云控制台。

5. 进入您的VPC。

6. 单击子网名称。谷歌Cloud控制台显示一个页面，其中包含子网详细信息和表单所需的其他信息。

7. 将信息复制到添加网络配置的形式。

   1. 在第一个字段中为网络配置输入一个人类可读的名称。

   2. VPC名称、子网名称、子网所在区域请按照要求填写。

   3. 输入GKE pod和服务的备用IP范围。如果使用前面的示例创建独立VPCgcloud命令时，对从IP段进行命名圆荚体而且svc．

   4. 点击添加．

步骤4:创建引用网络配置的Databricks工作空间

要使用帐户控制台创建工作空间，请遵循中的说明使用帐户控制台创建和管理工作区设置这些字段:

• 为谷歌云项目ID：

  • 如果您的VPC是独立的VPC，设置为VPC的项目ID。对于独立的VPC，这也是您的工作空间用于其资源的项目。

  • 如果您的VPC是共享VPC，将此设置为此工作区资源的项目ID。

• 为网络模式中,选择Customer-managed网络．

• 为网络配置，从选择器中选择您的网络配置。