Перейти к основному содержимому

Настройка Azure Private Link для сервиса в вашей инфраструктуре

Доступно на определённых уровнях Enterprise

Эта функция доступна на следующих уровнях dbt Enterprise:

  • Enterprise+
  • Virtual Private

Чтобы узнать больше об этих тарифах, свяжитесь с нами по адресу sales@getdbt.com.

Azure Private Link обеспечивает безопасное частное подключение между dbt и сервисами в вашей инфраструктуре. К таким сервисам могут относиться системы контроля версий (VCS), хранилища данных и любые другие приложения, которыми вы управляете. При использовании Private Link вам не нужно предоставлять доступ к сервису через общедоступный интернет. Весь обмен данными происходит по частной сети, что значительно повышает безопасность. Подробнее см. в документации Azure Private Link.

Что рассматривается в этом руководстве​

Это руководство посвящено не конкретному сервису или архитектуре серверной части, а Private Link Service, который связывает dbt с сервисом в вашей инфраструктуре. Этот процесс должен быть одинаковым для большинства сценариев использования.

Область охвата этого руководстваОбласть охвата этого руководства
Что не входит в руководство

Это руководство не охватывает настройку и устранение неполадок сервиса в вашей инфраструктуре, балансировщика нагрузки или работоспособности серверного пула, поскольку варианты конфигурации таких сред практически не ограничены. Служба поддержки dbt может по возможности помочь с такими проблемами, однако для ускорения их решения мы рекомендуем обращаться в службу поддержки Azure.

Для кого предназначено руководство​

Это руководство предназначено для администраторов облачных сетей и инженеров, отвечающих за настройку и поддержание безопасного сетевого взаимодействия в среде Microsoft Azure вашей организации.

Терминология​

В этом руководстве используется несколько важных терминов, связанных с Azure Private Link. Понимание этих определений поможет успешно выполнить настройку. Более подробное объяснение этих понятий см. в документации Azure Private Link Service.

  • Потребитель (Consumer): В данном контексте потребителем является dbt, который создаёт частную конечную точку для подключения к вашему Private Link Service.
  • Поставщик сервиса (Service provider): Ваша организация, которая владеет сервисом за Standard Load Balancer, эксплуатирует его и создаёт Private Link Service.
  • Private Link Service: Ресурс Azure, который предоставляет потребителям доступ к вашему сервису, позволяя им создавать частные конечные точки для подключения к нему. Этот ресурс привязан к конфигурации внешнего IP-адреса Standard Load Balancer.
  • Псевдоним (Alias): Глобально уникальное имя, которое Azure генерирует для вашего Private Link Service. Вы передаёте этот псевдоним службе поддержки dbt, чтобы dbt мог подключиться к вашему сервису в качестве потребителя.
  • Standard Load Balancer: Обязательный тип балансировщика нагрузки, размещаемого перед вашим сервисом. Для использования Private Link Service ваше приложение должно работать за Standard Load Balancer.
  • Подсеть NAT: Выделенная подсеть в вашей VNet, используемая для IP-адресов трансляции сетевых адресов источника (SNAT) в Private Link Service. Трафик потребителя выглядит так, будто он поступает из этого пула частных IP-адресов.

Предварительные требования​

Перед началом ознакомьтесь со следующими требованиями:

  1. Поддерживаемые типы балансировщиков нагрузки

    dbt официально проверил работу Private Link со следующим типом балансировщика нагрузки:

    • Standard Load Balancer (Internal)

    Хотя другие конфигурации могут быть совместимы с Azure Private Link Services, в этом руководстве предполагается, что ваш сервис настроен за Standard Internal Load Balancer. Подробнее см. в документации Azure Load Balancer.

  2. Работоспособность сервиса

    • Прежде чем продолжить, убедитесь, что ваш сервис или приложение работает корректно за выбранным балансировщиком нагрузки.

  3. Идентификатор подписки dbt в Azure

    • Обратитесь в службу поддержки dbt, чтобы получить идентификатор подписки dbt в Azure. Он потребуется, чтобы разрешить dbt подключаться к вашему Private Link Service.

Инструкции​

  1. Войдите на портал Azure.
  2. Перейдите к подписке Azure и группе ресурсов, в которых размещён сервис в вашей инфраструктуре.

  1. В разделе Resources найдите Virtual network и откройте VNet, в которой работает сервис в вашей инфраструктуре.

  2. Разверните Settings на панели слева и перейдите в Subnets. Нажмите кнопку + Subnet, чтобы создать новую подсеть.

  3. На панели создания подсети:

    a. Subnet purpose: Оставьте значение Default

    b. Name: Укажите понятное имя, например private-link-nat-subnet

    c. IPv4 address range: Выберите подходящий блок CIDR из вашей VNet, в котором вы хотите создать подсеть NAT. В этом примере используется CIDR 10.30.0.0/16, как показано на снимке экрана ниже.

    d. Starting address: Укажите желаемый начальный адрес новой подсети

    e. Size: Рекомендуется наименьший доступный размер (например, /28).

    f. Установите флажок Enable private subnet (no default outbound access).

    g. NAT gateway: Оставьте значение None

    h. Оставьте в полях Network security group и Route table значение None, если ваша среда не требует указания других значений.

    i. Оставьте значения по умолчанию во всех остальных полях.

    j. Нажмите Add, чтобы создать подсеть.

Снимок экрана для шага 3: поиск VNet сервиса в вашей инфраструктуреСнимок экрана для шага 3: поиск VNet сервиса в вашей инфраструктуре
Снимок экрана для шагов 4–5: создание подсети NAT для Private Link ServiceСнимок экрана для шагов 4–5: создание подсети NAT для Private Link Service

  1. После завершения создания подсети в поле поиска в верхней центральной части портала найдите Private link services и откройте соответствующую страницу.

  2. Нажмите кнопку + Create.

  3. На странице Create private link service:

    В разделе Basics

    a. Выберите Subscription и Resource group

    b. Name: Укажите понятное имя, например pls-to-my-vcs

    c. Region: Выберите регион, в котором размещён сервис в вашей инфраструктуре

    В разделе Outbound settings

    d. Load balancer: В раскрывающемся списке выберите Standard Internal Load Balancer, размещённый перед сервисом в вашей инфраструктуре

    e. Load balancer frontend IP address: Выберите конфигурацию внешнего IP-адреса вашего балансировщика нагрузки

    f. Source NAT subnet: Выберите подсеть NAT, созданную на шаге 5 выше

    g. Source NAT Virtual network: Это поле будет заполнено автоматически на основе выбранной подсети

    h. Enable TCP proxy V2: Оставьте этот параметр отключённым

    В разделе Access security

    i. Выберите Restricted by subscription

    j. Нажмите Add subscriptions и добавьте идентификатор подписки dbt в Azure, полученный от службы поддержки

    k. Установите для параметра Request Auto-approve значение Yes для подписки dbt

    l. Нажмите Next: Review + create, затем Create

Снимок экрана для шага 8: создание Azure Private Link ServiceСнимок экрана для шага 8: создание Azure Private Link Service
  1. После создания Private Link Service нажмите на него, чтобы открыть страницу с подробными сведениями.
  2. Скопируйте значение Alias (это идентификатор, который вы передадите службе поддержки dbt).
Снимок экрана для шага 10: копирование псевдонима Private Link ServiceСнимок экрана для шага 10: копирование псевдонима Private Link Service

Передача сведений о подключении службе поддержки dbt​

  1. Добавьте необходимые сведения в приведённый ниже шаблон и отправьте запрос в службу поддержки dbt:
 Шаблон письма для обращения в службу поддержки
Subject: New Azure Self-hosted Private Link Request

- Type: Self-hosted Private Link
- Platform/Service (for example, Postgres, Starburst, Spark, GitLab, etc.):
- dbt platform account URL:
- Private Link Service Alias:
- Custom DNS (if HTTPS/TLS):
  - DNS record:
- Service Region (for example, East US, West Europe):
- dbt Azure environment (EMEA):

dbt Labs выполнит настройку приватного подключения от вашего имени. Пожалуйста, заложите 3–5 рабочих дней на завершение этого процесса. Служба поддержки свяжется с вами, когда конечная точка (endpoint) будет доступна.

Устранение неполадок​

Если конечная точка Private Link уже создана и настроена в dbt, но подключение по-прежнему не работает, проверьте перечисленные ниже параметры сети, чтобы убедиться, что запросы и ответы могут успешно передаваться между dbt и вашим сервисом.

Контрольный список конфигурации​

  1. Состояние Private Link Service

    На портале Azure перейдите к вашему Private Link Service и убедитесь, что параметр Provisioning state имеет значение Succeeded. На вкладке Private endpoint connections убедитесь, что подключение dbt отображается со статусом Approved.

  2. Работоспособность серверной части балансировщика нагрузки

    Перейдите к вашему Standard Load Balancer и проверьте работоспособность Backend pool. Как минимум один серверный экземпляр должен иметь статус Healthy. Неработоспособность серверных экземпляров может означать, что сервис недоступен или что группа безопасности сети (NSG) блокирует трафик от балансировщика нагрузки.

  3. Конфигурация подсети NAT

    Убедитесь, что в подсети NAT достаточно свободных IP-адресов. Azure Private Link Service использует эти IP-адреса для SNAT. Если адреса в подсети исчерпаны, новые подключения могут завершаться ошибкой.

  4. Группы безопасности сети

    Если к подсети NAT или подсети серверной части применены NSG, убедитесь, что они разрешают необходимый трафик:

    • Подсеть NAT: рекомендуется оставить для NSG значение None (как указано в инструкциях по настройке)
    • Подсеть серверной части: должна разрешать трафик с внешнего IP-адреса балансировщика нагрузки

Мониторинг​

Чтобы локализовать проблемы с подключением, используйте инструменты мониторинга Azure:

На портале Azure перейдите к вашему Private Link Service и нажмите Metrics. Отслеживайте:

  • Bytes In/Out — подтверждает, что трафик проходит через сервис
  • NAT Port Usage — высокая загрузка может указывать на то, что подсети NAT требуется больше IP-адресов

Метрики Load Balancer​

Перейдите к вашему Standard Load Balancer и нажмите Metrics. Отслеживайте:

  • Health Probe Status — показывает работоспособность серверной части с течением времени
  • Byte Count — подтверждает, что трафик достигает балансировщика нагрузки
  • SNAT Connection Count — отслеживает исходящие подключения

Дополнительные сведения см. в разделах Мониторинг Azure Private Link и Мониторинг Load Balancer.

Нашли ошибку?

0
Loading