Pinecone BYOC: Pinecone in your AWS, GCP, or Azure account, no vendor access｜Pinecone BYOC：AWS、GCP、Azureのアカウント内にPineconeを展開し、ベンダーへのアクセスを不要に | AIニュース最前線

検索、レコメンデーション、またはエージェントを本番環境に導入する場合、最終的には同じチェックポイントに直面します：**セキュリティレビュー**です。 セキュリティが知識層の進捗を阻害すると、すべてのプロセスが遅延します。チームはパイロットモードのままになります。所有権も曖昧になり、「ボルトオンスタック」や「部分的なセルフホスティング」といった「迅速な修正」は、運用負荷の高さやアクセス表面積の拡大といった新たな問題を生み出すことがあります。 コストはすぐに現れます。セキュリティレビューに足止めされる毎週は、AI 機能が本番環境で稼働していない毎週です。 障害となっているのはパフォーマンスでも機能でもありません。単一のセキュリティ要件、すなわち**クラウドアカウントやクラスターへのベンダーアクセスの禁止**です。必要なのは、配信計画を変更せずにその基準をクリアし、本番環境へ到達する道筋です。 **Pinecone Bring Your Own Cloud (BYOC)** は現在、すべての Enterprise ユーザー向けにパブリックプレビューとして提供されており、ゼロアクセス運用モデルで Pinecone を AWS、GCP、または Azure のアカウント内に導入します。 BYOC では、Pinecone データベースのデータプレーンがお客様の VPC 内で実行されます。ベクトルはそこで保存され、照会されます。Pinecone がクラウドアカウント、VPC、Kubernetes クラスター、ノード、ワークロードへの SSH、VPN、またはインバウンドネットワークアクセスを必要とすることはありません。また、Pinecone がシステムを運用するためにインバウンドファイアウォールポートを開く必要もありません。 インデックスのライフサイクル、認証、利用状況の可視化については、引き続き Pinecone コントロールプレーン（API およびコンソール）を使用します。 ## TL;DR BYOC を利用すると、以下が得られます： - クラウドアカウント内のデータプレーン：ベクトルは VPC 内で保存および照会されます。 - アクセス不要な操作：Pinecone は、VPC やクラスターへの SSH、VPN、またはインバウンドアクセスパスを必要としません。 - アウトバウンドのみによる操作：クラスター内のコンポーネントが TLS を介してキューされた操作を取得し、ローカルで実行します。 - 監査可能な操作：操作は Kubernetes カスタムリソースとして表現されるため、何を実行したか、いつ実行したかを把握できます。 - データの露出なしでのモニタリング：送信されるのは運用メトリクスとトレースのみです。ベクトル、レコードのメタデータ、およびリクエストペイロードはすべてクラウドアカウント内に留まります。 - パブリックエンドポイントまたは AWS PrivateLink/GCP PSC/Azure Private Link のみによる接続性：パブリックエンドポイントを選択するか、パブリックアクセスを無効化して、AWS PrivateLink、GCP Private Service Connect (GCP PSC)、または Azure Private Link を経由して接続します。 - 同じコントロールプレーンのワークフロー：Pinecone API およびコンソールを通じてインデックスの作成、一覧表示、削除を行います。 ![image](https://www.pinecone.io/_next/image/?url=https%3A%2F%2Fcdn.sanity.io%2Fimages%2Fvr8gru94%2Fproduction%2F4d106048ca853c0e87dfef9ccd100e4234af1cb3-1916x1038.png&w=3840&q=75) ## BYOC とは何か？ BYOC は、最も厳しい要件を持つチームに対して、妥協のないガバナンスと安全性を提供します。 BYOC とは、ゼロアクセスというエンタープライズセキュリティの姿勢に適用された Pinecone の分割プレーンアーキテクチャです： - コントロールプレーン（Pinecone が管理）：インデックスのライフサイクル、認証、ユーザー管理、請求、利用状況の可視化。コントロールプレーンはベクトルを保存または処理しません。 - データプレーン（ユーザーがホスト）：クラウドアカウント内の専用 VPC 内でのベクトルストレージおよびクエリ実行。 これにより、データプレーンをセキュリティ境界内に維持しつつ、チームがすでに利用しているコントロールプレーンの体験を保持できます。 ## チームが BYOC を選択する理由 本番環境の AI を迅速に展開し、セキュリティレビューで立ち往生しないことが目的の場合、「データを自社のクラウド内に保つ」だけでは不十分なことが多いです。実際には通常、運用のためであっても本番環境への外部アクセス経路が存在しないことが真の要件となります。 一般的な選択肢には高コストな失敗モードが生じます： - ベンダーアクセス付きマネージドサービス：開始は迅速ですが、セキュリティレビューで立ち往生したり、サードパーティのアクセス表面積が拡大したりする可能性があります。 - 完全セルフホスト型：アクセス経路をクリアできますが、信頼性、アップグレード、インシデント対応のすべてがチームに移管されます。 BYOC は、マネージドオペレーションとデータプレーンの分離を組み合わせたものです。データプレーンはクラウドアカウント内に維持され、運用はクラスター内で実行されます。Pinecone がインフラストラクチャに直接アクセスする必要はありません。 - エンタープライズガバナンスと安全性：ベクトルおよびクエリ実行は、お客様のクラウド境界内で行われます。運用は監査可能であり、責任の所在も明確です。 - 本番環境への迅速な移行：完全にセルフホスト型モデルへ切り替えることなく、厳格なアクセス要件を満たすことができます。 - 運用の一貫性：チームがすでに使用しているコントロールプレーンのワークフローを維持でき、インフラストラクチャに直接アクセスする経路を導入する必要はありません。 ## BYOC のゼロアクセスセキュリティモデル BYOC はゼロアクセス境界を中心に設計されています。Pinecone はデータプレーンを運用するために、お客様のインフラストラクチャへの対話型アクセスを必要としません。 ## ゼロアクセスの意味 - Pinecone が SSH、VPN、またはクラスターへのインバウンドアクセスを必要とするわけではありません。 - クラウドアカウントの境界、ネットワーク、Kubernetes アクセスはお客様が管理します。 - 運用変更は、明示的でソフトウェア仲介型のワークフローを通じて実行されます。 ## ゼロアクセスではないこと - Pinecone のコントロールプレーンを失うわけではありません。インデックスライフサイクル、認証、可視性については、引き続き API とコンソールを使用します。 - すべての作業を手動で行うわけではありません。運用は依然としてコントロールプレーンによってオーケストレーションされ、お客様のクラスターがローカルでそれを実行します。 - Pinecone からのサポートがないわけではありません。お客様のカウントやインフラストラクチャへのアクセス権限はありませんが、メトリクスとトレースを通じて BYOC デプロイメントの可視性を有しており、サポート対応もオンコール体制で行います。 ## 直接アクセスなしでの動作原理 BYOC は、コントロールプレーンの運用とデータプレーンのリクエストを分離します。 ## コントロールプレーンの操作 コントロールプレーンの操作（アップグレード、スケーリング、メンテナンスなど）は Pinecone によってキューに積まれ、アウトバウンド専用でプルベースのモデルを用いてお客様の環境内で実行されます。 - お客様の Pinecone 管理者がクラスター操作（スケーリング、アップグレード、再起動など）を開始します。 - コントロールプレーンがお客様の環境に対する操作をキューに積みます。 - クラスター内のコンポーネントが保留中の操作を取得し、ローカルで実行します。 - お客様のクラスターはヘルス状態とステータスをコントロールプレーンへ報告します。 ## データプレーンのリクエスト データプレーンのリクエストとは、アプリケーションが日常的に行う処理（アップサート、クエリ、フェッチ、およびその他のインデックス操作）のことです。これらのリクエストは、お客様の VPC 内で実行されているデータプレーンに直接クライアントから送信されます。 - お客様のアプリケーションは BYOC インデックスエンドポイントに接続します。 - リクエストはお客様のアカウント内にあるデータプレーンによって処理されます。 - Pinecone はデータプレーンのトラフィックを処理するために、お客様の VPC へのネットワークアクセスを必要としません。 ## モニタリング モニタリングとサポートのため、クラスターは運用メトリクスとトレースを Pinecone の観測スタックへ送信しますが、ベクトル、レコードのメタデータ、リクエストペイロードは一切送信しません。 重要なポイント：コントロールプレーンの操作はアウトバウンドでプルされ、データプレーンのリクエストはお客様の VPC 内で処理されます。 ## クラウドアカウントから流出するもの（およびしないもの） **クラウドアカウントから流出しないもの:** - ベクトル、メタデータ、インデックスの内容。 - クエリとアップサートのペイロード。 - カスタマーデータ。 **クラウドアカウントから流出する可能性があるもの:** - オペレーショナルメトリクスとトレース（CPU、メモリ、レイテンシなど）。 - クラスターの健全性と運用ステータス。 ## デプロイメントモデル BYOC は、標準的なプラットフォームワークフローに適合するセルフサービスキットを使用してデプロイされます。 典型的なロールアウトは以下のようになります： - 本番環境のネットワークとポリシー制御に一致する、非本番の AWS、GCP、または Azure アカウントで開始します。 - BYOC セルフサービスキットを使用してデプロイし、CI/CD または GitOps フローに統合します。 - 同じデプロイメントモデルを本番環境へプロモートします。 BYOC のデプロイステップは以下のようになります： - インタラクティブなセットアップウィザードを実行します。これは前提条件を確認し、AWS/GCP/Azure のクォータを検証します。 - ウィザードが環境用の Pulumi プロジェクトを生成します。 - `pulumi up` コマンドを使用してクラウド上にデプロイします。 *詳細については、[BYOC GitHub リポジトリ](https://github.com/pinecone-io/pulumi-pinecone-byoc) および [ドキュメント](https://docs.pinecone.io/guides/production/bring-your-own-cloud) を参照してください。* プロビジョニングにより、専用 VPC と EKS/GKE/AKS クラスターに加え、ストレージ、システム状態、TLS/DNS 用のサポートクラウドサービスを含む、データプレーン環境がお客様のクラウドアカウント上に作成されます。 ## プライベート接続オプション お客様の環境に適合するネットワーク姿勢を選択できます： - パブリックアクセス有効化：標準のインデックスホスト URL を使用して接続します。 - パブリックアクセス無効化：AWS PrivateLink、GCP PSC、または Azure Private Link およびプライベートホスト URL を使用し、VPC 内からのみ接続します。 いずれのモードでもコントロールプレーンの操作は機能します。 ## 今日利用可能な機能 BYOC は、パブリックプレビュー版として Enterprise ユーザー向けに AWS、GCP、Azure で利用可能です。今回のリリースでは、BYOC は以下の機能をサポートしています: - シングルネームスペース専用リードノード (DRN) インデックス - コントロールプレーンとデータプレーンの分離アーキテクチャ - プルベースの操作およびアップグレード - モニタリング用の運用テレメトリー - ネットワークアクセスモード: パブリックまたは AWS PrivateLink/GCP PSC/Azure Private Link のみ対応 - Pinecone CLI と互換性あり クラウドアカウント外で Pinecone がホストするサービスに依存する一部の Pinecone 機能は、BYOC ではまだ利用できません。具体的には以下が該当します: - Assistant - Inference - オンデマンドデータベースインデックス - 統合埋め込み機能を備えた DRN インデックス *詳細については、[BYOC ドキュメント](https://docs.pinecone.io/guides/production/bring-your-own-cloud) をご覧ください。* ## はじめに BYOC を利用すれば、管理型インフラストラクチャを維持したまま、あるいは生産環境への移行速度を落とすことなく、最も厳しいセキュリティ要件を満たすことが可能です。BYOC はパブリックプレビュー版として Enterprise ユーザー向けにセルフサービスで利用できます。デプロイするには、まず [BYOC GitHub リポジトリ](https://github.com/pinecone-io/pulumi-pinecone-byoc) のセットアップウィザードを開始し、その後 [BYOC ドキュメント](https://docs.pinecone.io/guides/production/bring-your-own-cloud) に従ってください。ご質問がある場合やサポートが必要な場合は、アカウントチームまでお問い合わせいただくか、[お問い合わせフォーム](https://www.pinecone.io/contact/) からリクエストを送信してください。

Pinecone BYOC：AWS、GCP、Azureのアカウント内にPineconeを展開し、ベンダーへのアクセスを不要に

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト