Bemærk
Adgang til denne side kræver godkendelse. Du kan prøve at logge på eller ændre mapper.
Adgang til denne side kræver godkendelse. Du kan prøve at ændre mapper.
Beskyttelse af udgående adgang beskytter data ved at begrænse OneLakes udgående anmodninger foretaget via genveje og kopieringsoperationer.
Hvad er beskyttelse mod udgående adgang?
Beskyttelse af udgående adgang hjælper med at sikre, at data deles sikkert inden for din netværkssikkerhedsperimeter. Løsninger til beskyttelse mod dataeksfiltrering bruger f.eks. kontrolelementer til beskyttelse af udgående adgang til at begrænse en ondsindet aktørs mulighed for at flytte store mængder data til en ekstern placering, der ikke er tillid til. Udgående beskyttelse begrænser kun anmodninger, der stammer fra arbejdsområdet og kommunikerer med forskellige arbejdsområder eller placeringer. En omfattende netværkssikkerhedsløsning involverer også indgående netværksbeskyttelse gennem private links kombineret med dataadgangskontrol for at begrænse adgangen til dine data.
Du kan få mere at vide om administration af beskyttelse af udgående adgang under Beskyttelse af udgående adgang i Arbejdsområde.
Hvornår foretager OneLake udgående anmodninger?
Der er to scenarier, hvor OneLake foretager en udgående anmodning: genveje og kopieringshandlinger. En udgående anmodning defineres som enhver anmodning, der foretages inde fra arbejdsområdet mod en placering uden for arbejdsområdet. Kun retningen af opkaldet betyder noget - både læsninger og skrivninger til eksterne placeringer kan eksfiltrere følsomme oplysninger til placeringer, der ikke er tillid til.
Genveje
Genveje er objekter i OneLake, der peger på andre lagerplaceringer, som kan være interne eller eksterne i forhold til OneLake. Den placering, som en genvej peger på, kaldes målstien, og den placering, hvor genvejen vises, er genvejsstien. Hvis genvejsdestinationen er et andet arbejdsområde eller en ekstern lagerplacering end genvejsstien, er det en udgående genvej og underlagt beskyttelse af udgående adgang.
Beskyttelse af udgående adgang begrænser ikke genveje med en kilde og et mål inden for det samme arbejdsområde, fordi alle OneLake-kald forbliver inden for arbejdsområdets grænser.
Kopiering af data i OneLake
Når du kopierer data mellem to OneLake-arbejdsområder ved hjælp af Azure Storage-kopi-API'er, foretager OneLake et udgående kald fra kildearbejdsområdet til destinationsarbejdsområdet. Hvis beskyttelse af udgående adgang er aktiveret i kildearbejdsområdet, blokeres det udgående opkald, og kopieringen mislykkes. For at tillade databevægelse skal du tillade udgående anmodninger fra kildearbejdsområdet til destinationsarbejdsområdet via connector-tilladelseslisten eller et administreret privat endpoint.
Den følgende kopieringsoperation fra Arbejdsområde A til Arbejdsområde B blokeres, når beskyttelse mod udgående adgang er aktiveret, medmindre du godkender udgående anmodninger fra Arbejdsområde A til Arbejdsområde B. Som en påmindelse: AzCopy-operationer følger altid formatet azcopy copy <source> <destination>.
Syntaks
azcopy copy "https://onelake.dfs.fabric.microsoft.com/WorkspaceA/LakehouseA.Lakehouse/Files/sales.csv" "https://onelake.dfs.fabric.microsoft.com/WorkspaceB/LakehouseB.Lakehouse/Files/sales.csv" --trusted-microsoft-suffixes "fabric.microsoft.com"
Beskyttelse af udgående adgang blokerer ikke kopieringshandlinger, der flytter data i et arbejdsområde.
Kopiering af data mellem Azure Storage og OneLake
Når du kopierer data mellem Azure Storage og OneLake, vendes retningen for de udgående anmodninger. Destinationskontoen foretager et udgående kald til kildekontoen. Denne adfærd gælder for kopieringsoperationer, der udføres direkte ved brug af Azure Storage Copy Blob from URL og Put Block from URL API'er. Det gælder også for managed copy-oplevelser ved brug af AzCopy og Azure Storage Explorer. Beskyttelse mod udgående adgang begrænser dette udgående opkald fra destination til kilde. Denne adfærd betyder dog, at outbound access protection ikke begrænser dit arbejdsområde fra at være kilden til en kopieringsoperation, da der ikke foretages noget udgående kald fra kildearbejdsområdet. For at begrænse denne type operationer, se Beskyt indkommende trafik.
Følgende AzCopy-eksempel flytter f.eks. data fra kilden til Azure Storage-kontoen "kilde" til destinationssøhuset i OneLake. Hvis Workspace A har outbound protection slået til, blokeres det udgående kald fra Workspace A til den eksterne Azure Storage-konto, og dataene indlæses ikke, medmindre den eksterne Azure Storage-konto er tilladt via tillatlisten.
Syntaks
azcopy copy "https://source.blob.core.windows.net/myContainer/sales.csv" "https://onelake.dfs.fabric.microsoft.com/WorkspaceA/LakehouseA.Lakehouse/Files/sales.csv" --trusted-microsoft-suffixes "fabric.microsoft.com"
Men i det følgende scenarie er Workspace A nu kilden til kopieringsoperationen, med den eksterne Azure Storage-konto som destination. I dette scenarie blokerer outbound access protection ikke dette kald, da kun indgående kald foretages til Workspace A. Du kan begrænse dette indgående kald til OneLake ved at bruge Fabric inbound access protection.
Syntaks
azcopy copy "https://onelake.dfs.fabric.microsoft.com/WorkspaceA/LakehouseA.Lakehouse/Files/sales.csv" "https://source.blob.core.windows.net/myContainer/sales.csv" --trusted-microsoft-suffixes "fabric.microsoft.com"
Tillader forespørgsler til Fabric-arbejdsområder.
Du kan tillade dit Fabric-arbejdsområde at lave udgående anmodninger til et andet Fabric-arbejdsområde ved at oprette en dataforbindelsesregel via OneLake File Connector. Når du tilføjer målarbejdsområdet til tilladelseslisten, tillader du udgående anmodninger fra kildearbejdsområdet til målarbejdsområdet, selv når udgående adgang er begrænset.
For eksempel giver tilføjelse af Workspace B til Workspace A's connector-tilladelsesliste brugere i Workspace A mulighed for at læse data i Workspace B via en genvej eller kopiere data fra Workspace A til Workspace B ved hjælp af AzCopy.
Tillader forespørgsler til eksterne lokationer
Du kan oprette og bruge genveje til eksterne lokationer, selv når udgående adgangsbeskyttelse er aktiveret, ved at oprette en dataforbindelsesregel via den relevante connector til dit genvejsmål. Når du tillader en liste over målstedet, kan du oprette genveje og læse data via genveje fra den placering, selv når udgående adgangsbeskyttelse er aktiveret.
Du kan også kopiere data fra en ekstern Azure Storage-konto, når outbound access protection er aktiveret ved at oprette en dataforbindelsesregel for den lagringskonto. Husk, at OneLake laver en udgående anmodning til en Azure Storage-konto, når det er kilden til en kopieringsoperation. Azure Storage understøtter både Blob- og DFS-endpoints, så sørg for at bruge den rigtige connector til dit endpoint. Hvis du tillader listede ved hjælp af Azure Data Lake Storage connector, så sørg for at bruge endpointet .dfs i din AzCopy-kommando, og endpointet .blob hvis du tillader det via Azure Blob Storage connectoren.