公開2024.12.02更新2026.11.03 Azure

Azure DatabricksのサーバーレスとNCC：プライベートエンドポイント・NSP・送信IPの設定と料金【2026年11月】

Q: Azure DatabricksのサーバーレスでNSPはどう設定しますか？

同一リージョンのストレージアカウントをNSPに関連付け、受信規則でリージョン付きのサービスタグ（例： AzureDatabricksServerless.JapanEast ）を許可します。アクセスモードは移行モード、パブリックネットワークアクセスは［選択したネットワークから有効］のままにします。

Azure DatabricksのサーバーレスとNCC：プライベートエンドポイント・NSP・送信IPの設定と料金【2026年11月】

Azure Databricksのサーバーレスコンピューティングは、自分のVNetではなくDatabricksが管理するサーバーレスコンピュートプレーンで動きます。そのため、ファイアウォールで守ったストレージやデータベースへ接続するには、クラシックコンピュートとは別の設定が要ります。その中心がアカウント単位で作るNCC（ネットワーク接続構成）です。この記事では、NCCの作成からプライベートエンドポイントの承認、NSPと送信IPの許可、東日本の単価までを、2026年11月時点の公式ドキュメントに沿って手順にまとめます。Azure Databricks全体の料金体系や採用判断はAzure Databricksとは？料金・Azure連携・Databricks本体との違いと導入判断【2026年7月時点】で、サーバーレスという方式そのものはサーバーレスとは？仕組み・メリットとコンテナとの使い分けを解説で扱っています。

まとめ：サーバーレスの接続設定と料金の要点

接続先で方式が決まる：ワークスペースと同一リージョンのAzure StorageはNSPとサービスタグAzureDatabricksServerless、プライベート接続が要る宛先はNCCのプライベートエンドポイント、それ以外はDatabricksが公開する送信IPを許可します。
NCCの上限：PremiumプランとアカウントAdminが前提で、1リージョンあたりNCCは20個、プライベートエンドポイントは100個、1つのNCCに関連付けられるワークスペースは50個までです。
プライベートエンドポイントは承認するまで使えない：規則を追加すると状態がPENDINGになり、Azureリソース側で承認するとESTABLISHEDになります。PENDINGのまま14日経つとEXPIREDです。
旧方式は止まっている：サーバーレスのサブネットIDを許可する方式は403 Forbiddenで接続できず、NCCからコピーした安定IPのリストも廃止されました。
単価は東日本Premiumでジョブ0.50ドル/DBU：ノートブックは1.00ドル/DBUです。ジョブとパイプラインは標準モードにすると最大70%下がります。プライベートエンドポイントは存在する時間だけ課金されます。

サーバーレスで動くワークロードと利用の要件

公式ドキュメントが「サーバーレスコンピューティング」として扱うのは、ノートブック、ジョブ（ワークフロー）、Lakeflowパイプラインの3つです。Microsoft Learnのサーバーレスコンピューティングの説明では、Unity Catalogが有効で、サポート対象リージョンにあるワークスペースなら既定で使え、有効化の手続きは要らないとされています。Unity Catalogを有効にしていないレガシのワークスペースは使えないため、先にUnity Catalogとは？3レベル名前空間と権限継承・移行判断を実装視点で解説【2026年版】で扱っている移行が必要です。

SQLウェアハウスとモデルサービングは構成の入口が別

サーバーレスSQLウェアハウス、モデルサービング、AI機能もサーバーレス基盤で動きますが、上の3つとは別の構成パスで管理されます。一方、ネットワークの設定は共通です。NCCのプライベートエンドポイントとNSPは、SQLウェアハウス、ジョブ、ノートブック、Lakeflowパイプライン、モデルサービングエンドポイントのいずれからの接続にも効きます。

ランタイムの自動更新と環境バージョンによる互換性管理

サーバーレスはバージョンレス製品で、基盤のランタイムはDatabricksが自動で更新します。Databricks Runtimeの版を選んで固定する運用はできません。その代わり、コードは「環境バージョン」に対して書きます。サーバーレスのベストプラクティスによると、環境バージョンはクライアントAPIを安定させるもので、各版はリリースから3年間サポートされます。ライブラリはrequirements.txtでnumpy==2.2.2のように版を指定しておくと、環境の再現性が保てます。

NCC（ネットワーク接続構成）の役割と上限

NCCは、サーバーレスから顧客のAzureリソースへの送信接続を管理する、アカウント単位・リージョン単位の設定です。受信接続には関係しません。

接続先ごとに使われる経路

サーバーレスコンピュートプレーンのネットワークの説明では、プライベートエンドポイントを設定していなければ、Azure Storageへはサービスエンドポイント、それ以外へはNAT IPで接続するとされています。宛先と経路の関係は次のとおりです。

接続先	経路	リソース側の設定
同一リージョンのAzure Storage	サービスエンドポイント	NSP＋サービスタグを許可
NCCに規則を追加したリソース	プライベートエンドポイント	接続要求を承認
上記以外（他リージョン・DB・外部API）	パブリックIP（NAT）	送信IPのCIDRを許可

NCCの前提条件と上限

サーバーレスからのプライベート接続の構成に書かれた要件は、アカウントとワークスペースがPremiumプランであること、作業者がAzure Databricksのアカウント管理者であることの2点です。上限は次のとおりです。

NCCは1アカウント・1リージョンあたり20個まで
プライベートエンドポイントは1リージョンあたり100個まで（1〜20個のNCCに配分）
1つのNCCに関連付けられるワークスペースは50個まで

NCCはワークスペースと同じリージョンでしか関連付けられません。Databricksは、同じ事業部門・同じリージョンのワークスペースで1つのNCCを共有し、Private Linkを使うワークスペースとファイアウォール許可で済ませるワークスペースはNCCを分けることを推奨しています。

NCCの作成とワークスペースへの関連付け

アカウントコンソールでの作成と関連付け

アカウント管理者でアカウントコンソールを開き、サイドバーの［Security］→［Network connectivity configurations］→［Add network configuration］を選ぶ。
NCCの名前を入力し、ワークスペースと同じリージョンを選んで［Add］を押す。
サイドバーの［Workspaces］で対象のワークスペースを選び、［Update workspace］を押す。
［Network connectivity configurations］の欄で作成したNCCを選び、［Update］を押す。NCCが一覧に出ない場合は、リージョンが一致していない。
反映まで10分待ち、ワークスペースで稼働中のサーバーレスサービスを再起動する。

REST APIによるNCCの作成

Terraformや社内の自動化から作るときは、アカウントAPIのnetwork-connectivity-configsを使います。名前は英数字・ハイフン・アンダースコアの3〜30文字（^[0-9a-zA-Z-_]{3,30}$）です。<ACCOUNT_ID>はアカウントID、<TOKEN>はアカウントレベルのOAuthトークンに置き換えます。

curl --request POST \
  'https://accounts.azuredatabricks.net/api/2.0/accounts/<ACCOUNT_ID>/network-connectivity-configs' \
  --header 'Authorization: Bearer <TOKEN>' \
  --header 'Content-Type: application/json' \
  --data '{"name": "ncc-japaneast-data", "region": "japaneast"}'

プライベートエンドポイント規則の追加と承認

規則の追加・承認とESTABLISHEDの確認

プライベートエンドポイント規則は、接続先のAzureリソースごとに1つ作ります。宛先のリソースIDは、Azureポータルのリソースの［概要］→［JSON ビュー］の先頭に表示されます。

アカウントコンソールで対象のNCCを開き、［Private endpoint rules］→［Add private endpoint rule］を選ぶ。
［Destination Azure resource ID］にリソースIDを貼り、［Azure subresource ID］にサブリソースの種類を指定して［Add］を押す。
数分待ち、すべての規則がPENDINGになるのを確認する。
Azureポータルで接続先リソースの［ネットワーク］→［プライベートエンドポイント接続］を開き、Databricksからの接続を選んで［承認］を押す。
NCCの画面を更新し、規則がESTABLISHEDになったことを確認する。さらに5分待ってからサーバーレスのリソースを再起動し、データソースへクエリを1本流して到達を確かめる。

Azure Storageのサブリソースは、オブジェクトストレージならblobかdfsです。規則ごとに別のサブリソースIDが必要なので、両方使うなら規則を2つ作ります。モデルサービングはモデルの成果物をblobから取得し、サーバーレスのノートブックからUnity Catalogへモデルを記録するにはdfsが要ります。APIで追加する場合の形は次のとおりです。

curl --request POST \
  'https://accounts.azuredatabricks.net/api/2.0/accounts/<ACCOUNT_ID>/network-connectivity-configs/<NCC_ID>/private-endpoint-rules' \
  --header 'Authorization: Bearer <TOKEN>' \
  --header 'Content-Type: application/json' \
  --data '{"resource_id": "/subscriptions/<SUB_ID>/resourceGroups/<RG>/providers/Microsoft.Storage/storageAccounts/<ACCOUNT>", "group_id": "dfs"}'

規則を承認したあとでストレージのパブリックネットワークアクセスを［無効］にすると、クラシックコンピュートからの接続もプライベートエンドポイント経由が必須になります。クラシックコンピュート側のプライベート接続を整備せずに閉じると、そのストレージへ接続する既存ジョブが失敗します。

規則の状態と14日の期限

プライベートエンドポイント規則の管理によると、規則の状態は次の7種類です。

状態	意味
CREATING	作成中（終わるとPENDING）
PENDING	リソース側の承認待ち
ESTABLISHED	確立済み
REJECTED	リソース側で拒否
DISCONNECTED	リソース側で切断
EXPIRED	14日間放置されて失効
CREATE_FAILED	作成失敗

REJECTED・DISCONNECTED・PENDINGのまま14日経つとEXPIREDになります。変更の多くは10分以内にサーバーレスへ反映されますが、完全な反映には最大24時間かかることがあります。規則は接続状態に関係なく、存在する時間だけAzureから課金されるため、使わなくなった規則は削除します。

プライベート接続できるAzureリソース

Azure Storage、Azure SQL Database、Azure SQL Managed Instance、Azure Database for PostgreSQL・MySQL（Flexible ServerとSingle Server）、Azure Cosmos DB（サブリソースはSqlかMongoDB）、Azure Key Vault、Azure Event Hub、Azure Service Bus、Azure Event Grid、Azure AI Search、Azure AI Services、Azure API Management、Azure App Service、Azure Cache for Redis、Azure Managed Redis、Standard Load Balancerの背後のリソースに対応しています。Azure App Gateway v2はREST APIでのみ設定でき、domain_namesの指定が必要です。

同一リージョンのストレージに対するNSPとサービスタグの設定

ワークスペースと同じリージョンのAzure Storage（ADLS Gen2を含む）は、ストレージアカウントをネットワークセキュリティ境界（NSP）に関連付け、受信規則でサービスタグAzureDatabricksServerlessを許可します。サーバーレスのファイアウォール構成は、全リージョンを通すグローバルタグではなくAzureDatabricksServerless.JapanEastのようなリージョン付きタグを推奨しています。ADLS Gen2側の権限設計はAzure Data Lakeとは｜ADLS Gen2の階層型名前空間とRBAC・ACL設計、Synapse/Databricks連携と採用判断を実装者目線で解説を参照してください。

サブネットIDを許可する旧方式はすでに不通

2026年4月7日以降、サービスエンドポイントの構成にはNSPが必須になりました。現在のドキュメントは、サーバーレスのサブネットIDを許可リストに入れているストレージアカウントは接続できなくなり、403 Forbiddenを返すと明記しています。2024〜2025年に「NCCに表示されるサブネットIDをストレージのファイアウォールに登録する」手順で構築した環境は、NSPへの移行が終わっているか確認してください。

NSPの移行モード維持と「境界で保護」の回避

NSPに関連付けると、Azureポータルは境界内のリソースに［境界で保護］を勧めてきますが、この設定にしてはいけません。サーバーレスが外部ロケーションに到達できなくなり、PERMISSION_DENIEDや「Request for user delegation key is not authorized」で失敗します。パブリックネットワークアクセスは［選択したネットワークから有効］のままにします。アクセスモードは移行モードを無期限に維持するのが推奨です。強制モードはリソースのファイアウォール規則を無視するため、Databricks以外にファイアウォールで許可していたサービスもNSPに参加していなければ止まります。

東日本ワークスペースに対する西日本タグの追加条件

リージョン付きタグを使う場合、一部のエンドポイントがプライマリと別リージョンにあります。公式ドキュメントは例として、東日本のワークスペースはセカンダリの成果物ストレージが西日本にあると書いています。この場合はAzureDatabricksServerless.JapanWestも追加します。

他リージョンのストレージ・外部リソースへの送信IP許可

他リージョンのストレージ、データベース、外部APIへは、サーバーレスがパブリックIPで接続します。宛先のファイアウォールには、Databricksが公開する送信IPのCIDRを登録します。以前はNCCの画面からコピーした「安定IP」を使っていましたが、このレガシのリストは廃止され、現在はip-ranges.jsonを使う方式（パブリックプレビュー）です。サーバーレスはIPv4で接続するため、IPv6でしか到達できないリソースには接続できません。

ip-ranges.jsonからのリージョン別送信IP抽出

条件は、serviceがDatabricks、typeがoutbound、platformがazure、regionがワークスペースのリージョンです。東日本なら次のコマンドでipv4Prefixesだけを取り出せます。

curl -s https://www.databricks.com/networking/v1/ip-ranges.json \
  | jq -r '.prefixes[]
      | select(.service=="Databricks" and .type=="outbound"
               and .platform=="azure" and .region=="japaneast")
      | .ipv4Prefixes[]'

2026年11月3日に取得したファイル（timestampSecondsは2026年10月29日）では、東日本の送信用CIDRは21件、西日本は14件でした。13.78.104.40/29のような/29が中心で、130.33.136.0/23のような大きなブロックも含まれます。

許可リストを自動更新する条件

送信IPは固定ではありません。更新は最短30日ごとに公開され、新しいIPは公開から最短60日で使われ始めます。そのため公式は、定期実行でファイルを取得し、timestampSecondsを保存済みのコピーと比べ、自分のリージョンのIPが変わっていればファイアウォールを更新する運用を求めています。宛先のファイアウォールを変えると、クラシックコンピュートからの接続にも影響します。プライベート接続が必須の宛先なら、IP許可ではなくNCCのプライベートエンドポイントを選びます。

サーバーレスの料金：DBU単価とネットワーク課金

東日本Premiumの単価とクラシックとの違い

Azure Databricksの料金ページが読み込んでいる公式の価格データ（cards.json）から、premium→Azure→Japan Eastの値を2026年11月3日に抜き出しました。

SKU	単価（ドル/DBU）	VM費用
サーバーレスジョブ	0.50	単価に含む
サーバーレスノートブック（対話型）	1.00	単価に含む
サーバーレス Lakeflowパイプライン	0.50	単価に含む
サーバーレス SQL	1.00	単価に含む
クラシックジョブ	0.30	別途Azureに支払う
クラシック汎用（All-Purpose）	0.55	別途Azureに支払う

クラシックはDBUのほかにVMの料金をAzureへ払う二重構造なので、DBU単価だけを並べてサーバーレスが高いと判断するのは誤りです。比較するなら、同じワークロードを両方で流して合計額を見ます。DBUの考え方はDatabricksとは？できること・DBU課金の料金と業種別の費用・導入事例【2026年10月】で詳しく扱っています。

標準モードによるジョブ費用の削減

サーバーレスには2つのパフォーマンスモードがあります。既定の「パフォーマンス最適化」はウォームプールで起動を速くするモードです。「標準」は起動に4〜6分かかる代わりに、費用を最大70%下げられます。標準モードはLakeflowジョブとLakeflowパイプラインで使え、ノートブックでは使えません。夜間バッチのように起動待ちを許容できるジョブは、標準モードに切り替えるのが最初のコスト対策です。

ネットワーク課金の対象

Databricksのネットワークコストによると、サーバーレスが顧客のリソースと通信したときのデータ転送と接続料金が課金されます。

プライベート接続（時間単位）：課金される。規則が存在する時間だけかかる
プライベート接続（GB単位）：当面免除
パブリック接続（GB単位）：課金される（NAT Gatewayの料金体系）
データ転送（GB単位）：課金される
NSPとサービスタグで同一リージョンのストレージへ接続する通信：課金されない（リージョンをまたぐと転送料金はかかる）

system.billing.usageによる課金使用量の確認

公式がサーバーレスの見積もりとして推奨しているのは、代表的なワークロードを実際に流してから課金システムテーブルsystem.billing.usageを分析する方法です。実行してからテーブルに反映されるまで最大24時間かかります。

製品とモード別にDBUを集計するSQL

課金システムテーブルのリファレンスにある列で、直近30日のうち、サーバーレスフラグがtrueの利用と、予測最適化・データ品質監視の利用を製品とパフォーマンスモードごとに集計する例です。サーバーレス関連の全製品・全料金を網羅する集計ではありません。product_features.performance_targetにはPERFORMANCE_OPTIMIZED、STANDARD、またはnullが入ります。モードの対象ではない製品のレコードでは、値が設定されない場合があります。

SELECT
  usage_date,
  billing_origin_product,
  product_features.performance_target AS performance_mode,
  SUM(usage_quantity) AS dbus
FROM system.billing.usage
WHERE usage_date >= date_sub(current_date(), 29)
  AND usage_date <= current_date()
  AND usage_unit = 'DBU'
  AND (product_features.is_serverless = true
       OR billing_origin_product IN ('PREDICTIVE_OPTIMIZATION', 'LAKEHOUSE_MONITORING'))
GROUP BY usage_date, billing_origin_product, product_features.performance_target
ORDER BY usage_date DESC, dbus DESC;

同じジョブ実行に複数のレコードが付くことがあるため、実行単位のDBU使用量は、ワークスペースID・ジョブID・usage_metadata.job_run_idでグループ化して合計します。金額を求めるには、SKUと利用時点に対応する単価を掛け合わせます。

サーバーレスを使っていないのに出る課金レコード

サーバーレスのジョブを流していないのに、サーバーレスジョブSKUの課金が出ることがあります。データ品質監視（billing_origin_productはLAKEHOUSE_MONITORING）と予測最適化（PREDICTIVE_OPTIMIZATION）がサーバーレス基盤で動き、サーバーレスジョブSKUで課金されるためです。サーバーレスのコスト監視には、Databricks SQLのマテリアライズドビューの更新やLakeflow Connect、AI Searchもサーバーレスとして課金される機能として挙がっています。

サーバーレス使用ポリシーによる課金タグの設定

サーバーレスのノートブックはタグに対応しておらず、公式は代わりに使用ポリシーでタグを付けるよう案内しています。部署や案件ごとに費用を分けるには、サーバーレス使用ポリシー（パブリックプレビュー）を作り、カスタムタグを設定してユーザーに割り当てます。タグは課金レコードのcustom_tagsに入ります。作成できるのはワークスペース管理者で、ユーザーに割り当てたポリシーが1つだけなら新しく作るリソースに自動で適用されます。

サーバーレスを選ばない方がよい場面

ノートブックとジョブのサーバーレスの制限には、移行の可否を分ける項目が並んでいます。次のどれかに当たるワークロードは、クラシックコンピュートに残すべきです。

RやRDD APIを使う：Rは非対応で、使えるのはSpark Connect APIだけです。ノートブックではScalaも使えません。
7日を超えて動き続ける：最大実行時間は7日で、超えた実行は終了され再試行されません。
時間間隔のストリーミング：Trigger.ProcessingTimeとTrigger.Continuousは使えず、Trigger.AvailableNow()が前提です。常時処理はLakeflowパイプラインの連続モードで組み直します。
Spark UIやinitスクリプトに依存している：Spark UIとSparkログは見られず、クエリプロファイルで代替します。initスクリプト、インスタンスプール、コンピュートポリシーも使えません。
VNetピアリングで接続している：サーバーレスはピアリングに対応していません。NCCのプライベートエンドポイントか、ファイアウォール許可に置き換えます。
独自のデータソースやMaven座標：カスタムデータソースへは接続できず、外部DBはLakehouse Federation経由に限られます。

移行するときは、既定のセッションタイムゾーンがUTCで、ANSIモードが既定で有効になっている点も確認します。不正なキャストや桁あふれがNULLではなくエラーになるため、クラシックで通っていたジョブが失敗することがあります。外部への送信を絞りたい場合は、サーバーレスのegress制御（ネットワークポリシー）で既定拒否にできます。Premiumが前提で、適用前にドライランで影響を確かめられます。Azure Databricksのネットワーク構成や移行設計を外部に任せる場合は、弊社のインフラ構築（AWS・Google Cloud・Azure）でも対応しています。

よくある質問

Azure DatabricksのNCCとは何ですか？

サーバーレスから顧客のAzureリソースへの送信接続を管理する、アカウント単位・リージョン単位の設定です。アカウントコンソールで作成してワークスペースに関連付け、プライベートエンドポイント規則を追加して使います。

NCCはいくつまで作れますか？

1アカウント・1リージョンあたり20個までです。プライベートエンドポイントは1リージョンあたり100個まで、1つのNCCに関連付けられるワークスペースは50個までで、Premiumプランが前提です。

Azure DatabricksのサーバーレスでNSPはどう設定しますか？

同一リージョンのストレージアカウントをNSPに関連付け、受信規則でリージョン付きのサービスタグ（例：AzureDatabricksServerless.JapanEast）を許可します。アクセスモードは移行モード、パブリックネットワークアクセスは［選択したネットワークから有効］のままにします。

DatabricksのサーバーレスでGPUは使えますか？

サーバーレスのGPUは「AI Runtime」という名前で提供され、A10とH100をオンデマンドで、Databricks CLI、ノートブック、ジョブ、Rayから使えます。ただし公式の指定サービスの提供地域表では、AI Runtimeが使えるのは米国・オーストラリア・EUデータ境界で、日本は「Not available」です。東日本・西日本のワークスペースでGPUが要るなら、現時点ではクラシックコンピュートのGPU対応クラスタが選択肢になります。詳細はAI Runtimeのドキュメントにあります。