ウェアハウスごとのConsoleエンドポイントへのプライベート接続

VeloDB ConsoleはVeloDB Cloudのブラウザーインターフェースです。Console操作は、コントロールプレーンエンドポイントとウェアハウスごとのデータプレーンエンドポイントを個別に使用します。このガイドでは、ウェアハウスごとのConsoleデータプレーンエンドポイントへのプライベート接続だけを扱います。

Consoleデータプレーンとコントロールプレーン

プレーン	含まれる操作	実行場所	プライベート接続
Consoleデータプレーン	ウェアハウスのデータを読み取り、書き込み、検査する操作。SQL EditorでのSQL実行と分析、およびQuery Profileの確認、Add Catalog、Import Data、Migration、Sessions、Query Audit、Log Explorer、Warehouse Users and Rolesが含まれます。	ウェアハウスのリージョンにあるウェアハウスごとのエンドポイント、つまりConsoleホスト名（<warehouse-id>-studio.<region>.<provider>.velodb.cloud）。	このガイドの対象です。
Consoleコントロールプレーン	ウェアハウスの作成、削除、スケーリング、ウェアハウス設定、Members、請求、サインインなど、ウェアハウスと組織を管理する操作。	共有VeloDB Cloudエンドポイント。	対象外です。引き続きパブリックパスを使用します。

プライベート接続は、Consoleデータプレーンをパブリックインターネットではなくクラウドプロバイダーのプライベートネットワーク経由でルーティングします。このセクションのプロバイダー別ガイドは、AWS、Google Cloud、Azureを対象としています。コントロールプレーン操作には影響せず、引き続きパブリックネットワークからアクセスできます。

2つのプレーンは別々のエンドポイントを使用します。そのため、ウェアハウスのデータプレーンへのパブリックアクセスを制限または無効にすると、対応するConsole機能はパブリックネットワークから利用できなくなりますが、コントロールプレーン機能は引き続き利用できます。

これはPublic Access Allowlistとは別の機能です。許可リストはパブリックアクセスパスを制限しますが、プライベート化はしません。プライベート接続を設定しても、パブリックパスは自動的には無効になりません。

プライベート接続の仕組み

各ウェアハウスのConsoleデータプレーン操作には、ウェアハウスごとのConsoleホスト名からアクセスします。プライベート接続を確立するには、次の手順を実行します。

1. クラウドネットワーク内にプライベートエンドポイントを作成します。
2. VeloDB Cloudが公開するリージョン別Endpoint Serviceに接続します。
3. 承認が必要な場合は、VeloDB Cloudが接続を承認するまで待ちます。
4. Consoleホスト名がプライベートエンドポイントに解決されるようにプライベートDNSを設定します。プライベートDNSゾーンがリージョン別VeloDB Cloudサフィックスを対象とする場合は、クライアントが解決する必要のある同じリージョン内のすべてのウェアハウスホスト名にレコードを追加します。
5. プライベートネットワークからConsoleデータプレーンにアクセスできることを確認します。

User or application
        |
        | HTTPS (TCP 443)
        v
<warehouse-id>-studio.<region>.<provider>.velodb.cloud
        |
        | Private DNS
        v
Private endpoint in your VPC or VNet
        |
        | Private cloud network
        v
Per-warehouse Console data-plane endpoint

重要

ブラウザーとクライアントでは、元のConsoleホスト名を引き続き使用してください。エンドポイントのプライベートIPアドレスや、クラウドプロバイダーが生成するエンドポイントDNS名を使用しないでください。TLS証明書の検証とリクエストルーティングには元のホスト名が必要です。

ウェアハウスごとのConsoleホスト名を確認する

Consoleホスト名は、VeloDB Consoleでウェアハウスを開いたときに表示されるURLのホスト部分です。形式は次のとおりです。

<warehouse-id>-studio.<region>.<provider>.velodb.cloud

VeloDB Consoleでウェアハウスを開き、ブラウザーのアドレスバーからホスト名を確認します。ホスト名にはプロバイダーとリージョンが含まれます。

項目	値
Console URL	https://awvadbgl-studio.us-east-1.aws.velodb.cloud/webui_api/api/data/catalogs
Consoleホスト名	awvadbgl-studio.us-east-1.aws.velodb.cloud
プロバイダー	AWS
リージョン	us-east-1

プライベートエンドポイントとVeloDB Cloud Endpoint Serviceは、Consoleホスト名と同じリージョンに配置する必要があります。

一般要件

開始する前に、次の点を確認してください。

• VeloDB Cloudウェアハウスが実行中であること。
• ConsoleユーザーがアクセスできるVPCまたはVNetを選択していること。
• プライベートエンドポイント、ファイアウォールルール、プライベートDNSレコードを作成する権限があること。
• クライアントとエンドポイント間でTCPポート443のHTTPSトラフィックが許可されていること。
• クライアントネットワークでDNS解決が有効であること。
• オンプレミスから接続する場合、VPN、Direct Connect、Interconnect、ExpressRouteのいずれかを使用してクラウドVPCまたはVNetへのプライベート接続を確立していること。

対象範囲

これらのガイドは、Consoleホスト名で提供されるウェアハウスのConsoleデータプレーンをプライベートにルーティングします。コントロールプレーン操作とVeloDB Cloudのサインインフローは、パブリックパス上の別のホスト名を使用します。クライアントデバイスからパブリックインターネットにアクセスできない場合は、認証およびネットワーク設定に必要なホスト名の許可リストについてVeloDB Supportにお問い合わせください。

プライベートエンドポイントを作成しても、パブリックパスは自動的には無効になりません。ウェアハウスのConsoleデータプレーン操作へのパブリックアクセスを無効化または制限する必要がある場合は、VeloDB Supportにお問い合わせください。必要なすべての場所からプライベートアクセスが機能することを確認してから実施してください。

クラウドプロバイダーを選択する

クラウドプロバイダー	プライベート接続サービス	設定ガイド
AWS	AWS PrivateLink	AWSでプライベート接続を設定する
Google Cloud	Private Service Connect	Google Cloudでプライベート接続を設定する
Azure	Azure Private Link	Azureでプライベート接続を設定する

関連リソース

• 接続
• ネットワークセキュリティ
• SQL Editor