Backend Private Link

​

Private Link 아키텍처 개요

참고 AWS와의 차이: AWS에서는 REST API용 VPC Endpoint와 SCC Relay용 VPC Endpoint 두 개를 생성합니다. Azure에서는 databricks_ui_api(UI/API)와 browser_authentication(인증) 두 개의 Private Endpoint를 생성합니다.

​

Private Link 배포 유형

참고 대부분의 보안 요구사항에서는 Backend + Frontend 모두 구성합니다. Backend만 구성하면 클러스터 통신은 프라이빗이지만, 사용자의 웹 접근은 여전히 인터넷을 경유합니다. Frontend Private Link는 Transit VNet(Hub VNet)에 Private Endpoint를 배치하여 구성합니다.

​

사전 준비

• Premium 티어 Workspace 생성 완료
• VNet Injection으로 Workspace 배포 완료 (자체 VNet에 배포)
• Private Link Subnet 준비 (snet-privatelink, /27 이상)
• Contributor + Network Contributor RBAC 역할

​

Step 1 — Private Endpoint 생성 (databricks_ui_api)

1. Azure Portal → 상단 검색창에 ” 프라이빗 엔드포인트” (Private endpoints) 입력
2. ” + 만들기” (Create) 클릭

​

기본 탭 (Basics)

​

리소스 탭 (Resource)

주의 리소스 목록에 Workspace가 보이지 않는 경우: Workspace가 Premium 티어인지, VNet Injection으로 배포되었는지 확인하세요. Standard 티어나 Managed VNet Workspace에서는 Private Link를 사용할 수 없습니다.

​

가상 네트워크 탭 (Virtual Network)

참고 Backend Private Link는 Workspace VNet에 배치합니다. Frontend Private Link는 사용자가 접속하는 Transit VNet(Hub VNet)에 별도로 생성합니다.

​

DNS 탭

참고 “예”를 선택하면 Azure가 자동으로:

1. privatelink.azuredatabricks.net Private DNS Zone 생성 (없는 경우)
2. VNet에 DNS Zone 링크 생성
3. Workspace URL에 대한 A 레코드 생성 (Private IP 매핑)

​

Step 2 — Private Endpoint 생성 (browser_authentication)

주의 browser_authentication Private Endpoint는 리전당 1개만 필요합니다. 동일 리전에 여러 Workspace가 있어도 browser_authentication PE는 하나로 공유할 수 있습니다. databricks_ui_api PE는 Workspace마다 별도로 생성해야 합니다.

참고 browser_authentication이 없으면? SSO 로그인 시 인증 리다이렉트가 Public 경로를 통하게 됩니다. Public Network Access를 Disabled로 설정한 경우, browser_authentication PE가 없으면 로그인 자체가 불가능해집니다.

​

Step 3 — Private DNS Zone 확인

​

3-1. DNS Zone 확인

1. Azure Portal → 검색창에 ” 프라이빗 DNS 영역” (Private DNS zones) 입력
2. privatelink.azuredatabricks.net 클릭
3. Overview 탭에서 A 레코드 확인:

​

3-2. VNet 링크 확인

1. privatelink.azuredatabricks.net DNS Zone → 좌측 메뉴 ” 가상 네트워크 링크” (Virtual network links)
2. vnet-databricks-prod가 링크되어 있는지 확인
3. 상태가 ” Completed”인지 확인

위험 VNet 링크가 없으면 DNS 해석이 작동하지 않습니다. Private Endpoint를 생성했어도 VNet 링크가 없으면 VNet 내에서 Workspace URL이 Public IP로 해석됩니다. 수동으로 링크를 추가하세요:

1. DNS Zone → “가상 네트워크 링크” → ”+ 추가”
2. 링크 이름 입력 → VNet 선택 → “확인”

​

3-3. Hub VNet 링크 (Hub-Spoke 환경)

1. privatelink.azuredatabricks.net DNS Zone → ” 가상 네트워크 링크” → ” + 추가”
2. Hub VNet도 링크에 추가
3. 또는 Hub의 Custom DNS 서버에서 privatelink.azuredatabricks.net을 Azure DNS(168.63.129.16)로 전달하도록 설정

​

Step 4 — NSG 규칙 참고 사항

참고 Private Link 서브넷에는 별도의 NSG 규칙이 불필요합니다. Private Endpoint가 위치한 서브넷(snet-privatelink)의 트래픽은 Azure Private Link 내부 메커니즘으로 처리되며, NSG 규칙과 무관하게 작동합니다. 단, 조직 정책상 NSG를 연결해야 한다면 빈 NSG(기본 규칙만 있는)를 연결해도 됩니다.

​

Step 5 — nslookup 검증

​

VNet 내부에서 검증

# Workspace URL 확인
nslookup adb-{workspace-id}.{random}.azuredatabricks.net

# 기대 결과 (Private IP 반환):
# Name:    adb-1234567890.12.azuredatabricks.net
# Address:  10.0.2.4

# CNAME 체인 확인:
# adb-1234567890.12.azuredatabricks.net
#   → adb-1234567890.12.privatelink.azuredatabricks.net
#   → 10.0.2.4

​

결과 해석

주의 VNet 외부(인터넷)에서 nslookup을 실행하면 항상 Public IP가 반환됩니다. 이는 정상입니다. Private DNS Zone은 링크된 VNet 내부에서만 해석됩니다.

​

Step 6 — Frontend Private Link (Transit VNet)

​

Frontend PE 구성

1. databricks_ui_api PE를 Hub VNet의 서브넷에 생성 (절차는 Step 1과 동일, VNet/서브넷만 변경)
2. privatelink.azuredatabricks.net DNS Zone에 Hub VNet 링크 추가 (Step 3-3 참고)

참고 Frontend Private Link를 구성하면 사용자의 웹 브라우저 → Workspace UI 통신도 프라이빗 네트워크를 통합니다. VPN 클라이언트에서 nslookup으로 Private IP가 반환되는지 확인하세요.

​

Step 7 — 방화벽 + WSA Private Endpoint

​

Web App Authentication (WSA) Private Endpoint

주의 방화벽에서 login.microsoftonline.com 등 인증 관련 FQDN을 차단하는 경우, SSO 로그인이 실패합니다. 방화벽 규칙에서 다음 FQDN을 허용하세요:

• login.microsoftonline.com
• aadcdn.msauth.net
• login.live.com

​

Step 8 — Public Network Access 비활성화

1. Azure Portal → 대상 Databricks Workspace 이동
2. 좌측 메뉴에서 ” 네트워킹” (Networking) 클릭
3. ” Public network access” → ” Disabled” 변경
4. ” 저장” (Save) 클릭

위험 Public network access를 Disabled로 변경하면:

• Private Link 경로를 통해서만 Workspace에 접근 가능
• VPN/ExpressRoute를 통해 VNet에 연결되지 않은 사용자는 접속 불가
• Databricks REST API 호출도 Private Link 경로에서만 가능
• 반드시 Private Link 접속이 확인된 후 변경하세요

​

단계적 전환 권장

​

Troubleshooting