Console Data-Plane Access Control
VeloDB BYOCは管理制御プレーン操作と本番クエリ実行を分離します。Warehouseコンピュート、データアクセス、およびクエリ処理は顧客管理のBYOC環境内で実行され、VeloDB制御プレーンはデプロイメント、ライフサイクル管理、監視、サポート、およびプラットフォーム管理を提供します。
このガイドでは、Consoleデータプレーン操作は、データの読み取り、書き込み、または検査のためにwarehouseとの通信が必要なVeloDB Console内のアクションです。例として、SQL Editorでのクエリ実行、Import Dataを通じたデータインポート、Query Auditでのクエリアクティビティ表示などがあります。この制御はSQL Editorのみよりも広範囲です。
Consoleデータプレーンアクセスの管理
| 目標 | 推奨される次のステップ |
|---|---|
| 信頼できるソースIPアドレスに対してパブリックアクセスパス経由でのConsoleデータプレーン操作を制限する。 | Connectionを開きます。Public Access Allowlistの下で、Edit IP Allowlistを選択し、Anywhere、Nowhere、またはSpecific Locationsを選択します。 |
| 組織全体でConsoleデータプレーン操作を無効にする。 | VeloDB Supportに連絡してください。これはセルフサービス設定ではありません。 |
| warehouseにアクセスできるユーザーを管理する。 | Identity and Accessを確認してください。 |
| 直接プライベート接続を管理する。 | デプロイメントに適用可能なプライベートネットワーク制御を使用してください。Public Access Allowlistは直接プライベート接続には適用されません。 |
| 非標準のデプロイメント要件について相談する。 | VeloDB Supportに連絡してください。デプロイメント固有の取り決めはケースバイケースで評価され、標準製品提供の一部ではありません。 |
BYOCは直接warehouse接続用の個別のパブリックエンドポイントを公開しません。BYOC Public Access Allowlistは、ユーザーがConsoleデータプレーン操作を実行できるソースIPアドレスを制限します。リソースの作成、削除、またはスケーリングなどの制御プレーン操作には影響しません。また、直接プライベート接続にも適用されません。
Nowhereを選択すると、パブリックアクセスパス経由でのConsoleデータプレーン操作がブロックされます。プライベートアクセスパスが設定されていない場合、warehouse接続が必要なConsole機能はwarehouseに到達できません。この設定は、組織全体でこれらの操作を無効にしたり、直接プライベート接続に影響を与えたりしません。
組織全体の無効化をリクエストするには、VeloDB Supportに連絡してください。組織全体の無効化は、SQL Editor、Import Data、Query Audit、およびwarehouse接続が必要なその他のConsole機能によって使用されるConsole-to-warehouseデータチャネルをブロックします。制御プレーン操作は引き続き利用可能です。
完全な接続ワークフローについては、Connectionを参照してください。デプロイメントレベルのネットワークモデルについては、Network Securityを参照してください。
Control PlaneとQuery Execution
BYOCデプロイメントでは、VeloDB制御プレーンはプロビジョニング、スケーリング、アップグレード、監視、アラート、およびサポート調整などの運用ワークフローを管理します。顧客のクラウドアカウントにデプロイされたVeloDBサービスが本番クエリを実行します。
この分離は以下を意味します：
- クエリ処理は顧客管理のBYOC環境で発生します。
- データアクセスと結果生成は顧客データプレーンで発生します。
- 制御プレーンサービスは管理および運用ワークフローを管理します。
- SQLアクセスはConsoleへの管理アクセスとは別に制御できます。
このモデルは、VeloDB制御プレーンを通じて集中化された運用を提供しながら、本番データを顧客のクラウドアカウント制御下に保ちます。