ネットワークセキュリティ
BYOCウェアハウスは、お客様のクラウド環境内で実行されます。VPCまたはVNetがウェアハウスへの直接接続パスを提供し、VeloDB CloudはConsoleデータプレーンアクセス用の制御を別に提供します。
ネットワークとリソースの配置
ウェアハウスのコンピュートとお客様のウェアハウスストレージは、お客様のクラウド環境にデプロイされます。最初のBYOCウェアハウスを作成するときに、セットアップフローで使用するVPCまたはVNetとサブネットを選択または作成します。サポートされる既存ネットワークに追加のウェアハウスをデプロイすることもできます。
| クラウドプロバイダー | ネットワーク準備 |
|---|---|
| AWS | Template ModeまたはWizard Modeを使用して、必要なクラウドリソースを作成または選択します。 |
| Google Cloud | Google CloudでBYOCウェアハウスを作成するの説明に従ってVPCとサブネットを準備します。 |
| Azure | AzureでBYOCウェアハウスを作成するの説明に従ってVNetとサブネットを準備します。 |
ウェアハウスへの直接接続
アプリケーションは、お客様のクラウドネットワークを通じてBYOCウェアハウスに直接接続します。VeloDB Cloudは、直接接続用の別のVeloDB管理パブリックエンドポイントを公開しません。ルーティング、セキュリティグループ、ファイアウォールルール、ネットワークACL、その他のクラウドネットワーク制御を使用してこのパスを管理してください。
ドキュメントに明示されていない限り、VeloDB管理のセキュリティグループ、Private Endpoint、その他のネットワークリソースを変更または削除しないでください。直接変更するとウェアハウスが利用できなくなる場合があります。リソース操作全般については、BYOCセキュリティの概要を参照してください。
Console操作のPublic Access Allowlist
Public Access Allowlistは、Consoleデータプレーン操作を実行できる送信元IPアドレスを制限します。対象となる操作には、SQL Editorでのクエリ実行、Import Dataによるデータのインポート、およびQuery Auditでのクエリアクティビティの表示が含まれます。
ウェアハウスのConnectionページを開き、Public Access Allowlist > Edit IP Allowlistを使用して設定します。
この許可リストは、リソースの作成、削除、スケーリングなどのコントロールプレーン操作には影響しません。また、お客様のクラウドネットワーク経由の直接ウェアハウス接続も制御しません。
Nowhereを選択すると、パブリックアクセスパス経由のConsoleデータプレーン操作がブロックされます。プライベートアクセスパスを設定していない場合、ウェアハウス接続が必要なConsole機能はウェアハウスにアクセスできません。組織全体で無効化する必要がある場合は、VeloDB Supportにお問い合わせください。
詳しい手順については、BYOCウェアハウスへの接続を参照してください。
ウェアハウス固有のConsoleエンドポイントへのプライベートアクセス
ウェアハウス固有のConsoleデータプレーントラフィックは、お客様のクラウドネットワーク内のプライベートエンドポイント経由でルーティングできます。このパスは、バックエンドウェアハウスへの直接接続とは別です。
設定手順については、ウェアハウス固有のConsoleエンドポイントへのプライベート接続を参照してください。