Private Network Gateway のご紹介

Databricks のサーバーレスコンピューティングは完全管理型でスマートかつバージョンレスであり、ユーザーはクラスターやインフラストラクチャのサイズ調整、チューニング、管理ではなく、ビジネス課題の解決に集中できます。しかし、多くのチームにとって最後まで残っていた摩擦の大きいステップがネットワーク接続でした。つまり、サーバーレスコンピューティングから自社ネットワーク内のデータベース、アプリケーション、システムへのプライベートな経路を提供することです。お客様へのヒアリングでは、75%以上が、現在のネットワーク構成やネットワーク変更に伴う複雑さが、特定のワークロードをサーバーレスに移行せずクラシックコンピューティングにとどめている主な理由だと回答しました。

本日、Azure 上での Private Network Gateway（PNG）のパブリックプレビューと、AWS 上でのプライベートプレビューを発表いたします。PNG はサーバーレスワークロードに自社ネットワークへの単一の接続を提供し、ネットワークからすでにアクセス可能なすべてのリソースへのアクセスをそこから制御できるようにします。

• プライベートデータベース全体でのインジェスチョンを簡素化：サーバーレスコンピューティング上の Lakeflow Connect を使用して、VNet/VPC や接続されたオンプレミス環境にあるサポート対象データベースからインジェスト
• AI エージェントをプライベートサービスに接続：Databricks 上で構築したエージェントが、自身でホストするプライベート MCP サーバーを呼び出し可能
• 独自のパッケージリポジトリを使用：サーバーレスが自社ネットワーク内のプライベート PyPI、Artifactory、または Nexus リポジトリから Python ライブラリをインストール可能
• 独自のファイアウォール経由でエグレスをルーティング：既存のファイアウォールやコンテンツ検査サービスを介してトラフィックを送信し、独自のツールでネイティブにエグレスのフィルタリングとログ作成を実行
• 一貫した自社保有の送信元 IP を維持：Salesforce などの SaaS アプリで自社に属する送信元 IP を認識可能

これらはかつて、ネットワーク、セキュリティ、管理者チーム間の調整を伴うデプロイや、ロードバランサーやプロキシ VM などの複数の新規デプロイが必要でした。PNG を使用すると、接続を 1 つ設定するだけで、自社ネットワークからアクセス可能なリソースにサーバーレスからアクセスできるようになります。PNG はエンドポイント単位ではなく、ネットワーク単位で拡張されます。

Private Network Gateway により、サーバーレスコンピューティングを Azure やオンプレミスのデータソースに接続する方法が大幅に簡素化されました。接続ごとにプライベートリンクサービスやロードバランサーを立ち上げる必要はもうありません。また、サーバーレス運用に真の柔軟性がもたらされます。既存のワークスペースサブネットを再利用できるため、ファイアウォールの承認が容易になり、アクセス可能な宛先を正確に制御できます。—Fabiano Seki、Tech Lead、Data Engineering、Banco Bradesco

サーバーレスネットワーク機能における課題

クラシックコンピューティングは自社の仮想ネットワーク内で実行されるため、データへのアクセスは非常にシンプルです。標準的なクラウドのプリミティブを使用してネットワークをピアリングするだけです。対照的に、サーバーレスは Databricks が管理するネットワーク内で実行されます。これにより運用オーバーヘッドは排除されますが、プライベートリソースへの明示的な経路が必要になることを意味します。

Serverless Private Link はその経路を提供し、AWS S3 や Azure Data Lake Storage などのクラウド管理型サービスには引き続き最適なツールです。しかし、データベース、Kafka クラスター、社内 API など、自社でホストおよび管理するリソースの場合、接続にはリソースごとに個別のプライベートエンドポイント、ロードバランサー、プロキシ VM が必要になることが多く、Databricks 管理者、クラウド管理者、ネットワークセキュリティチーム間での頻繁な調整も発生していました。いくつかのリソースであれば管理可能かもしれません。しかし、VNet、ピアリングされたネットワーク、オンプレミス環境にまたがる数十のデータベース、API、社内サービスにサーバーレスからアクセスする必要がある場合、リソースごとのアプローチはすぐにボトルネックとなり、手間がかかり、遅く、手作業が過度に必要なものになります。

PNG の仕組み

セットアップは簡単で明瞭です。仮想ネットワーク内の 1 つのサブネットを Databricks に委任すると、PNG がサーバーレスコンピューティングからそのサブネットへの暗号化された管理型ゲートウェイを確立します。ゲートウェイの設定は、サーバーレスネットワークで既に使用しているアカウントレベルのオブジェクトである Network Connectivity Configuration（NCC）内で行います。その後、NCC をワークスペースにアタッチすることで、サポートされているサーバーレスワークロードが許可されたプライベート宛先にアクセスできるようになります。

自社ネットワーク内でゲートウェイ VM をデプロイ、パッチ適用、拡張する必要はありません。Databricks がゲートウェイを作成・実行します。ネットワークの制御権は自社に残されたままです。

PNG の導入前は、Databricks Serverless のプライベート接続を有効にするために大規模なネットワーク設定と調整が必要でした。PNG はプロセス全体を簡素化し、運用オーバーヘッドを削減し、ジョブの実行を高速化してくれました。既存環境へのサーバーレスの統合が格段に容易になりました。—Primož Gale、Lead Technical Architect、NLB

ネットワーク境界の制御権を維持

PNG はネットワーク境界の制御権をお客様に与えます：

• ゲートウェイは自社専用：他の顧客のトラフィックを伝送する共有アプライアンスではなく、自社ネットワークへの専用経路を提供します。分離はカプセル化とネットワークセキュリティルールによって強制されます。
• トラフィックが送信される前に、ゲートウェイがワークスペースレベルのアクセス制御を適用します。
• サブネットの先では、ルートテーブル、ネットワークセキュリティグループ、DNS リゾルバー、セキュリティアプライアンスが、ネットワークの他の部分と同様に、サーバーレスがアクセスできる対象を決定します。

2 つのモードを通じて、PNG が伝送するトラフィック量を手動で選択できます：

1. specific_destinations は、リストした完全修飾ドメイン名（FQDN）のみを PNG 経由で送信します。その他のすべてのトラフィックは通常の経路を維持します。サーバーレスがアクセスできるリソースを正確に制御したい場合に使用します。
2. all_traffic は、より具体的な Private Link またはサービスエンドポイントのパスに一致するものを除き、アウトバウンドトラフィックを自社ネットワーク経由でルーティングします（一致するものはネイティブなルートを維持します）。自社のファイアウォールを通じて広範なエグレスを検査したい場合や、独自の IP アドレス経由で送信したい場合にこのモードを使用します。

PNG は追加機能です。Databricks で既に使用しているプライベート接続およびエグレス制御と併置され、それらを変更することはないため、既存の設定に影響を与えることなく有効化または削除できます。

Private Network Gateway 以前は、サーバーレスワークロードのシークレット管理とネットワーク接続に複数の統合と継続的な調整が必要でした。現在では、PNG を使用することで社内サービスへ直接安全にアクセスし、既存のコントロールを通じてアウトバウンドトラフィックを一括管理できるため、運用がよりシンプルに、高速に、そしてガバナンスが容易になりました。—Michel Schwandner、Platform Engineer、Julius Blum GmbH

PNG をはじめる

Private Network Gateway は、Azure でパブリックプレビュー、AWS でプライベートプレビューとしてご利用可能になりました。 Google Cloud のサポートも現在開発中です。

今すぐはじめましょう：

• Private Network Gateway - Azure ドキュメント
• AWS については、Databricks の担当アカウントチームにお問い合わせの上、登録をご相談ください

Databricks プラットフォームのセキュリティに関する新機能の詳細については、Data + AI Summit 2026 における Databricks プラットフォームのセキュリティとコンプライアンスの新機能をご覧ください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事