Introducing Private Network Gateway

推出私有网络网关 | Databricks 博客

跳至主要内容

安全与信任

2026年10月14日

推出私有网络网关

简化无服务器网络

作者：Alex Esibov、Manish Bansal、Stanley Wang、Justin Ly 和 Vijay Raja

摘要

• 什么是PNG — 私有网络网关（PNG）是 Databricks 管理的网关，可实现无服务器工作负载与私有网络和资源的大规模安全连接。

• 解决什么问题 — PNG 通过用网络层级设置替代单个连接来消除操作负担 — 您只需配置一次，现有路由、DNS 和防火墙规则将决定哪些资源可访问。

• 如何开始 — PNG 现已在 Azure 上开放公共预览，在 AWS 上开放私有预览。Google Cloud 的支持目前正在开发中，即将推出。

Databricks 的无服务器计算是完全托管、智能且无需版本管理的，使用户能够专注于解决业务问题，而非集群和基础设施的规模调整、调优和管理。然而，对于许多团队而言，剩余的高摩擦步骤是网络连接：为无服务器计算提供通往其内部网络中数据库、应用和系统的私有路径。在客户访谈中，超过 75% 的客户表示，当前的网络配置和处理网络变更的复杂性是导致特定工作负载继续使用经典计算而非迁移到无服务器计算的主要原因。

今天，我们宣布 Azure 上的私有网络网关（PNG）公共预览版，以及 AWS 上的私有预览版。PNG 为您的无服务器工作负载提供一条通往网络的连接，从此您可以通过现有网络已能访问的资源进行访问控制。

• 简化跨私有数据库的数据摄入：使用 Lakeflow Connect 在无服务器计算上从支持的数据库（跨 VNet/VPC 和连接的本地环境）摄入数据

• 连接 AI 代理到私有服务：您在 Databricks 上构建的代理可以调用您托管的私有 MCP 服务器

• 使用自己的软件包仓库：无服务器计算可以从私有 PyPI、Artifactory 或 Nexus 仓库安装 Python 库

• 通过自有防火墙路由出站流量：通过现有防火墙或内容检查服务发送流量，使出站流量能够使用您自己的工具进行过滤和日志记录

• 保持一致的客户拥有的源 IP：您的 SaaS 应用（如 Salesforce）可以看到属于您的源 IP

这些功能过去都需要网络、安全和管理员团队之间的协调部署，以及负载均衡器和代理虚拟机等多次新部署。使用 PNG，您只需配置一次连接，网络可访问的资源即可从无服务器计算访问。PNG 按网络扩展，而非按端点扩展。

私有网络网关极大地简化了我们在 Azure 和本地环境中将无服务器计算连接到数据源的方式 — 无需为每个连接部署私有链接服务和负载均衡器。它还为我们的无服务器操作带来了真正的灵活性：我们可以复用现有工作区子网，这使防火墙审批更容易，同时仍能精确控制哪些目标可访问。——巴西 Bradesco 银行数据工程技术主管 Fabiano Seki

无服务器网络的挑战

经典计算运行在您自己的虚拟网络中，因此访问数据非常直接：您可以通过标准的云原语将网络对等连接。相比之下，无服务器计算运行在 Databricks 管理的网络中，这虽然消除了运维开销，但也意味着您的私有资源需要显式的路径。

Serverless Private Link 提供了这个路径，并且对于 AWS S3 或 Azure Data Lake Storage 等云托管服务来说，它仍然是正确的工具。但对于您自己托管和管理的资源（如数据库、Kafka 集群或内部 API），连接通常意味着为每个资源分别设置一个私有端点、负载均衡器和代理虚拟机，同时还需在 Databricks 管理员、云管理员和网络安全团队之间来回协调。对于少量资源，这可能尚可管理。但当一个团队需要无服务器计算访问数十个数据库、API 和内部服务时，跨 VNets、对等网络和本地环境，这种按资源处理的方式会迅速成为瓶颈，变得痛苦、缓慢且需要大量手动操作。

PNG 的工作原理

设置简单直接：您只需将虚拟网络中的一个子网委托给 Databricks，PNG 即会从无服务器计算到该子网建立一个托管的加密网关。您在 Network Connectivity Configuration（NCC）中配置网关，NCC 是您已经用于无服务器网络的同一账户级对象。之后，您可以将 NCC 附加到工作区，支持的无服务器工作负载即可访问您允许的私有目标。

您无需部署、修补或扩展网关虚拟机。Databricks 会为您创建并运行网关。您仍然保持对网络的控制。

在 PNG 之前，为 Databricks Serverless 启用私有连接需要大量的网络设置和协调。PNG 简化了整个流程，减少了运维开销，并帮助我们更快地运行作业——使无服务器计算更容易集成到我们的现有环境中。——Primož Gale，NLB 首席技术架构师

您仍然掌握网络边界的控制权

PNG 将网络边界交还给您：

• 您的网关属于您自己：它提供了一条进入您网络的专用路径，而不是承载其他客户流量的共享设备。通过封装和网络安全规则强制隔离。

• 网关在任何流量离开前强制执行工作区级别的访问控制。

• 子网之外，您的路由表、网络安全组、DNS 解析器和安全设备决定无服务器计算可以访问哪些内容，方式与网络其余部分相同。

您可以通过两种模式选择 PNG 承载的流量量：

• specific_destinations 仅将您列出的完全限定域名通过 PNG 发送。所有其他流量保持正常路径。当您希望精确控制无服务器计算可以访问哪些资源时使用此模式。

• all_traffic 通过您的网络路由所有出站流量，除了匹配更具体的 Private Link 或服务端点路径的流量，这些流量保持原生路由。使用此模式可检查通过您自己的防火墙的广泛出站流量，或通过您自己的 IP 地址发送流量。

PNG 是一种补充方案。它与您目前用于 Databricks 的私有连接和出站控制并行存在，不会改变这些设置，因此您可以启用或移除它而不会影响现有配置。

在专用网络网关（Private Network Gateway，PNG）出现之前，管理无服务器工作负载的机密信息和网络连接需要多个集成和持续的协调。如今，借助 PNG，我们可以直接安全地访问内部服务，并通过现有控制策略集中管理出站流量，使操作更简单、更快捷且更易于管理。——Michel Schwandner，Julius Blum GmbH 平台工程师

开始使用 PNG

专用网络网关现已在 Azure 上提供公开预览版，在 AWS 上提供私有预览版。Google Cloud 的支持正在开发中。

立即开始：

• [专用网络网关 - Azure 文档](#)
• 对于 AWS，请联系您的 Databricks 账户团队讨论注册事宜

要了解 Databricks 平台安全性的最新动态，请查看 [Data + AI Summit 2026 上的《Databricks 平台安全性和合规性最新进展》](#)。

订阅最新博文

订阅我们的博客，即可将最新博文发送到您的邮箱。

注册

[查看所有博客](#)

slice-start id="_gatsby-scripts-1"

slice-end id="_gatsby-scripts-1"