ウェアハウス固有のConsoleエンドポイントへのプライベート接続
VeloDB ConsoleはVeloDB Cloudのブラウザーインターフェースです。共有コントロールプレーンエンドポイントとウェアハウス固有のデータプレーンエンドポイントを使用します。このガイドでは、データプレーン操作を提供するウェアハウス固有のConsoleエンドポイントへのプライベート接続だけを扱います。
Consoleデータプレーンとコントロールプレーン
| プレーン | 含まれる操作 | 実行場所 | プライベート接続 |
|---|---|---|---|
| Consoleデータプレーン | ウェアハウスのデータを読み取り、書き込み、検査する操作。SQL EditorでのSQL実行と分析、およびQuery Profileの確認、Add Catalog、Import Data、Migration、Sessions、Query Audit、Log Explorer、Warehouse Users and Rolesが含まれます。 | ウェアハウスのリージョンにあるウェアハウス固有のエンドポイント、つまりConsoleホスト名（<warehouse-id>-studio.<region>.<provider>.velodb.cloud）。 | このガイドの対象です。 |
| Consoleコントロールプレーン | ウェアハウスの作成、削除、スケーリング、ウェアハウス設定、Members、請求、サインインなど、ウェアハウスと組織を管理する操作。 | 共有VeloDB Cloudエンドポイント。 | 対象外です。引き続きパブリックパスを使用します。 |
プライベート接続は、Consoleデータプレーンをパブリックインターネットではなくクラウドプロバイダーのプライベートネットワーク経由でルーティングします。VeloDB Cloudは、AWS、Google Cloud、Azureのサポートされる各リージョンでEndpoint Serviceを公開します。DNSレコードを設定すると、同じプライベートエンドポイントをMetrics APIなど、サポートされる他のVeloDB Cloudサービスにも使用できます。コントロールプレーン操作には影響せず、引き続きパブリックネットワークからアクセスできます。
2つのプレーンは別々のエンドポイントを使用します。そのため、ウェアハウスのデータプレーンへのパブリックアクセスを制限または無効にすると、対応するConsole機能はパブリックネットワークから利用できなくなりますが、コントロールプレーン機能は引き続き利用できます。
これはPublic Access Allowlistとは別の機能です。許可リストはパブリックアクセスパスを制限しますが、プライベート化はしません。プライベート接続を設定しても、パブリックパスは自動的には無効になりません。
プライベート接続の仕組み
各ウェアハウスのConsoleデータプレーン操作には、ウェアハウス固有のConsoleホスト名からアクセスします。プライベート接続を確立するには、次の手順を実行します。
- Endpoint Servicesを開き、クラウドプロバイダーのリファレンスを選択します。リージョンに対応するサービス識別子を選択し、プライベートエンドポイントを作成してVeloDB Cloudが公開するサービスに接続します。
- 承認が必要な場合は、VeloDB Cloudが接続を承認するまで待ちます。
- Private DNS Zoneに、そのリージョンでユーザーがアクセスするすべてのウェアハウスについて、完全なウェアハウス固有のConsoleホスト名のレコードを追加します。各レコードにプライベートエンドポイントを指定します。
- Consoleホスト名がプライベートに解決され、プライベートネットワークからConsoleデータプレーン操作を実行できることを確認します。
Private DNS Zoneに必要なVeloDBホスト名ごとのレコードがない場合、DNSはパブリックゾーンにフォールバックせず、NXDOMAINを返すことがあります。
User or application
|
| HTTPS (TCP 443)
v
<warehouse-id>-studio.<region>.<provider>.velodb.cloud
|
| Private DNS
v
Private endpoint in your VPC or VNet
|
| Private cloud network
v
Warehouse-specific Console data-plane endpoint
重要
ブラウザーとクライアントでは、元のConsoleホスト名を引き続き使用してください。エンドポイントのプライベートIPアドレスや、クラウドプロバイダーが生成するエンドポイントDNS名を使用しないでください。TLS証明書の検証とリクエストルーティングには元のホスト名が必要です。
ウェアハウス固有のConsoleホスト名を確認する
Consoleホスト名は、VeloDB Consoleでウェアハウスを開いたときに表示されるURLのホスト部分です。形式は次のとおりです。
<warehouse-id>-studio.<region>.<provider>.velodb.cloud
VeloDB Consoleでウェアハウスを開き、ブラウザーのアドレスバーからホスト名を確認します。ホスト名にはプロバイダーとリージョンが含まれます。
| 項目 | 値 |
|---|---|
| Console URL | https://awvadbgl-studio.us-east-1.aws.velodb.cloud/webui_api/api/data/catalogs |
| Consoleホスト名 | awvadbgl-studio.us-east-1.aws.velodb.cloud |
| プロバイダー | AWS |
| リージョン | us-east-1 |
プライベートエンドポイントとVeloDB Cloud Endpoint Serviceは、Consoleホスト名と同じリージョンに配置する必要があります。
一般要件
開始する前に、次の点を確認してください。
- VeloDB Cloudウェアハウスが実行中であること。
- ConsoleユーザーがアクセスできるVPCまたはVNetを選択していること。
- プライベートエンドポイント、ファイアウォールルール、プライベートDNSレコードを作成する権限があること。
- クライアントとエンドポイント間でTCPポート
443のHTTPSトラフィックが許可されていること。 - クライアントネットワークでDNS解決が有効であること。
- オンプレミスから接続する場合、VPN、Direct Connect、Interconnect、ExpressRouteのいずれかを使用してクラウドVPCまたはVNetへのプライベート接続を確立していること。
対象範囲
これらのガイドは、Consoleホスト名で提供されるウェアハウスのConsoleデータプレーンをプライベートにルーティングします。コントロールプレーン操作とVeloDB Cloudのサインインフローは、パブリックパス上の別のホスト名を使用します。クライアントデバイスからパブリックインターネットにアクセスできない場合は、認証およびネットワーク設定に必要なホスト名の許可リストについてVeloDB Supportにお問い合わせください。
プライベートエンドポイントを作成しても、パブリックパスは自動的には無効になりません。ウェアハウスのConsoleデータプレーン操作へのパブリックアクセスを無効化または制限する必要がある場合は、VeloDB Supportにお問い合わせください。必要なすべての場所からプライベートアクセスが機能することを確認してから実施してください。
プライベートエンドポイントを設定する
Endpoint Servicesを開き、使用しているクラウドプロバイダーのエンドポイントリファレンスを選択します。クラウドプロバイダーの手順に従ってエンドポイントを作成し、Private DNSを設定してください。VeloDBホスト名を指定する手順では、ユーザーがアクセスする各ウェアハウスについて、完全なウェアハウス固有のConsoleホスト名を追加します。
クラウドプロバイダーの手順に従ってDNS、TLS、およびHTTPの確認を完了します。その後、認証済みブラウザーからVeloDB Consoleでウェアハウスを開き、SQL Editorでクエリを実行するなど、対象機能を使用します。