Kontextbasierte Netzwerkrichtlinien

Azure Databricks kontextbasierte Netzwerkrichtlinien bieten einen einheitlichen Sicherheitsrahmen für die Verwaltung sowohl des eingehenden als auch des ausgehenden Datenverkehrs für Ihre Arbeitsbereiche und Ressourcen auf Kontoebene (beispielsweise die Kontokonsole und Genie One auf Kontoebene).

Azure Databricks unterstützt zwei Arten kontextbasierter Steuerung:

• Kontextbasierte Ingress-Kontrolle: Begrenzt, wer Ihre Ressourcen erreichen kann, von wo aus und worauf sie zugreifen können, basierend auf einer Kombination aus Identität, Netzwerkquelle und Anforderungstyp.
• Serverlose Ausgangskontrolle: Begrenzt, wo Ihre serverlosen Workloads Daten senden können, indem ausgehende Verbindungen zu autorisierten Zielen begrenzt werden.

Überblick über kontextbasierte Netzwerkrichtlinien

Kontextbasierte Netzwerkrichtlinien ermöglichen es Kontoadministratoren, Regeln für Erlauben und Ablehnen festzulegen, die kombinieren, wer anruft, von wo aus sie anrufen und was sie erreichen können, und steuern, mit welchen externen Zielen serverlose Workloads sich verbinden können. Dies hilft Ihnen, Sicherheits- und Compliance-Anforderungen zu erfüllen und verringert das Risiko von unbefugtem Zugriff und Datenexfiltration.

Workspace-Level-Richtlinien werden unter Workspace-Level-Richtlinien konfiguriert, wobei allen Workspaces eine Standard-Workspace-Level-Policy ohne explizite Zuweisung zugewiesen wird. Die Richtlinie auf Kontoebene wird separat unter der Richtlinie auf Kontoebene konfiguriert; die Richtlinien-ID lautet account-policy.

Mit kontextbasierten Netzwerkrichtlinien können Sie:

• Verhindern Sie den Zugriff aus nicht vertrauenswürdigen Netzwerken, indem Sie zusätzlich zu Zugangsdaten eine vertrauenswürdige Netzwerkquelle benötigen.
• Ermöglichen Sie den Zugriff für Software-as-a-Service-(SaaS)-Clients ohne stabile Ausgangs-IPs, indem Sie sich auf die Identität statt auf IP-Bereiche konzentrieren.
• Begrenze den Zugriff, indem weniger vertrauenswürdige Quellen nur bestimmte Scopes nutzen dürfen, wie Azure Databricks APIs oder die Workspace-UI.
• Erzwingen Sie eine Deny-by-Default-Haltung für ausgehende Verbindungen von serverlosen Workloads.
• Überprüfen Sie effektiv, indem Sie detaillierte Ablehnungsprotokolle in den Systemtabellen des Unity-Katalogs erfassen.

Kontextbasierte Netzwerkrichtlinien ergänzen diese vorhandenen Sicherheitsfeatures:

• Kontextbasierte Zugriffskontrolle
  • IP-Zugriffslisten für Arbeitsbereiche
  • Konto-IP-Zugriffslisten
  • Eingehender Private Link (mit Einstellungen für den privaten Zugriff)
• Serverless-Egress-Steuerung:
  • Ausgehender Private Link (unter Verwendung von Netzwerkkonnektivitätskonfigurationen)

Richtlinientypen verglichen

Kontextbasierte Netzwerkrichtlinien umfassen zwei Typen: Eingangssteuerung und Ausgangssteuerung. In der folgenden Tabelle sind die wichtigsten Unterschiede zusammengefasst:

Kontextbasierte Zugriffskontrolle

Kontextbasierte Ingress-Kontrolle ermöglicht es Kontoadministratoren, Regeln für Erlauben und Ablehnen festzulegen, die Identität, Netzwerkquelle und Anfragetyp kombinieren, sodass nur vertrauenswürdige Kombinationen Ihre Ressourcen erreichen können.

Richtlinien auf Workspace-Ebene regeln den Zugriff auf Workspaces, und eine einzige Richtlinie auf Kontoebene (account-policy) regelt Ressourcen auf Kontoebene wie die Kontokonsole und Genie One auf Kontoebene. Jedes Konto enthält eine Standardrichtlinie auf Arbeitsflächenebene, die für alle berechtigten Arbeitsbereiche ohne explizite Zuweisung gilt.

Für Netzwerkquellen, Zugriffstypen, Identitäten, Regelauswertung, Durchsetzungsmodi, Audits und wie der Eingang mit anderen Netzwerkkontrollen interagiert, siehe Kontextbasierte Eingangskontrolle.

Serverless-Egress-Steuerung

Serverlose Ausgangskontrolle verwaltet ausgehende Netzwerkverbindungen von Ihren serverlosen Rechenressourcen und reduziert so das Risiko von Datenexfiltration. Eine Netzwerkrichtlinie ist ein Kontoobjekt, das an einen oder mehrere Arbeitsbereiche gebunden ist und den ausgehenden Zugriffsmodus für serverlose Arbeitslasten festlegt:

• Vollzugang: Serverlose Workloads haben uneingeschränkten ausgehenden Zugang zum Internet und anderen Netzwerkressourcen.
• Eingeschränkter Zugriff: Ausgehender Zugriff ist auf externe Unity Catalog-Standorte sowie die FQDNs und das Azure-Speicherkonto beschränkt, das Sie ausdrücklich in der Richtlinie angeben.

Für die Sicherheitslage mit eingeschränktem Zugriff, unterstützte serverlose Produkte und Konfigurationsschritte siehe Was ist serverlose Egress Control?.

Durchsetzungsmodi

Sowohl Eingangs- als auch Ausgangsrichtlinien unterstützen den Erzwungenen Modus , in dem Regeln angewendet und verstoßende Anfragen blockiert werden, sowie den Trockenlaufmodus , in dem Verstöße protokolliert, aber nicht blockiert werden. Databricks empfiehlt, im Trockenlaufmodus zu starten, um unbeabsichtigte Zugriffsstörungen zu vermeiden.

Überwachungsprotokollierung

Azure Databricks protokolliert Richtlinienauswertungen für Compliance und Überwachung: Eingangsverweigerungen in system.access.inbound_network und Ausgangsereignisse in system.access.outbound_network. Abfragen Sie diese Protokolle, um die Effektivität der Richtlinie zu überprüfen und nicht autorisierte Zugriffsversuche zu erkennen.

Interaktion von Richtlinien mit anderen Steuerelementen

Kontextbasierte Ingress-Richtlinien funktionieren parallel zu IP-Zugangslisten und privater Frontend-Konnektivität, und serverlose Egress-Steuerung arbeitet parallel zur ausgehenden privaten Konnektivität (unter Verwendung von Netzwerkkonnektivitätskonfigurationen). Wie Ingress mit jeder dieser Kontrollen interagiert, einschließlich des privaten Konnektivitätsverhaltens pro Cloud, siehe Beziehung zu anderen Kontrollen.