Arbeitsbereichsübergreifender Zugang

Arbeitsbereichsübergreifende Zugriffssteuerungen steuern den serverlosen Netzwerkverkehr zwischen Azure Databricks-Arbeitsbereichen. Kontoadministratoren verwenden es, um zu entscheiden, welche Workspaces einen bestimmten Workspace erreichen können und an welche Workspaces die serverlosen Workloads eines Workspace Datenverkehr senden können. So kannst du Arbeitsbereiche verbinden, die Daten oder Dienste teilen müssen, während alle anderen Arbeitsbereiche getrennt bleiben.

Sie konfigurieren den arbeitsbereichsübergreifenden Zugriff in der Netzwerkrichtlinie, die einem Arbeitsbereich zugewiesen ist. Jede Richtlinie steuert den Verkehr in zwei Richtungen:

• Ingress: Bestimmt, welche Quellarbeitsbereiche einen Arbeitsbereich erreichen können. Du hast dies bei der kontextbasierten Ingress-Policy festgelegt. Siehe arbeitsbereichsübergreifenden Eingangszugriff konfigurieren.
• Egress: Bestimmt, welche Ziel-Workspaces die serverlosen Workloads eines Workspace erreichen können. Das hast du in der Serverless-Egress-Netzwerkrichtlinie festgelegt. Siehe arbeitsbereichsübergreifenden Egress-Zugriff konfigurieren.

Der Datenverkehr zwischen zwei Arbeitsbereichen fließt nur, wenn beide Richtlinien übereinstimmen: Eine Anfrage ist nur erlaubt, wenn die Ausgangsregeln des Quellarbeitsbereichs das Ziel erlauben und die Zugangsregeln des Zielwerksbereichs die Quelle. Konfigurieren Sie beide Seiten für jedes Arbeitsbereichspaar, das kommunizieren muss.

Requirements

• Sie müssen ein Kontoadministrator sein.

• Dein Azure Databricks-Konto und deine Arbeitsbereiche müssen auf der Premium-Stufe liegen.

Wie Arbeitsbereichsübergreifender Zugriff funktioniert

Arbeitsbereichsübergreifender Zugriff verwendet dieselben Netzwerkrichtlinien wie kontextbasierte Eingangssteuerung und serverlose Ausgangssteuerung. Arbeitsbereichsübergreifende Regeln identifizieren jeden Arbeitsbereich anhand seiner numerischen Arbeitsbereichs-ID:

• Auf der Ingress-Seite dienen arbeitsbereichsübergreifende Regeln als zusätzliche Netzwerkquelle. Sie verwenden dieselben Identitäten sowie dieselben Zulassungs- und Verweigerungsregeln wie andere Netzwerkquellen in der kontextbasierten Ingress-Richtlinie. Siehe Netzwerkquellen.
• Auf der Ausgangsseite listest du die Zielarbeitsbereiche auf, die deine Arbeitslasten erreichen dürfen. Die Ausgangsseite ist nur eine Zulassungsliste.

Verkehr im gleichen Arbeitsbereich ist immer erlaubt und wird von diesen Regeln nicht beeinflusst. Quell- und Zielarbeitsbereiche können sich in denselben oder verschiedenen Azure Databricks-Konten befinden.

Einschränkungen

• Cross-Workspace-Zugriff gilt nur für serverlose Workloads. Sie steuert keinen klassischen Rechenverkehr.
• Cross-Cloud-Zugriff wird nicht unterstützt.
• Regions- und arbeitsbereichsübergreifender Lakebase-Zugriff wird nicht unterstützt.

Konfigurieren Sie den workspaceübergreifenden Ingress-Zugriff

Die arbeitsraumübergreifende Zugriffskontrolle bestimmt, welche Quellarbeitsräume über serverlosen Datenverkehr einen Arbeitsbereich erreichen können. Konfigurieren Sie es in der kontextbasierten Ingress-Policy des Arbeitsbereichs. Eine Übersicht über die kontextbasierte Zugriffskontrolle finden Sie unter Kontextbasierte Zugriffskontrolle.

Im Ingress-Tab einer Netzwerkrichtlinie bestimmt ein Kontrollkästchen im Kompatibilitätsmodus , ob die Richtlinie den Arbeitsbereichsübergreifenden Eingang steuert. Richtlinien sind standardmäßig im Kompatibilitätsmodus :

• Wenn der Kompatibilitätsmodus ausgewählt ist, steuert die Richtlinie nicht den Arbeitsbereichs-übergreifenden Einstieg und behält das aktuelle Verhalten des Arbeitsbereichs bei; seine bereits vorhandenen Netzwerkkontrollen gelten.
• Wenn du den Kompatibilitätsmodus löschst, zeigt die Richtlinie die Arbeitsbereichsübergreifenden Zugriffsmodi sowie den Regeleditor für Erlauben und Ablehnen.

So konfigurieren Sie den arbeitsbereichsübergreifenden Ingress-Zugriff in der Kontokonsole:

1. Klicken Sie in der Kontokonsole auf "Sicherheit".
2. Klicken Sie auf den Reiter Netzwerk und öffnen Sie dann die Netzwerkrichtlinie, die Sie bearbeiten möchten.
3. Wählen Sie die Registerkarte Eingehend aus.
4. Entfernen Sie das Kästchen für den Kompatibilitätsmodus .
5. Wählen Sie einen Arbeitsbereichsübergreifenden Zugriffsmodus:
   • Zugriff von allen serverlosen Quellarbeitsbereichen in jedem Konto erlauben (FULL_ACCESS): Jeder serverlose Quellarbeitsbereich kann diesen Arbeitsbereich erreichen.
   • Zugriff auf bestimmte Quellarbeitsbereiche beschränken (RESTRICTED_ACCESS): Der Zugriff wird standardmäßig verweigert. Eine Anfrage ist nur erlaubt, wenn sie einer Erlaubnisregel entspricht, und abgelehnt, wenn sie einer Ablehnungsregel entspricht.
6. Für Zugriff auf bestimmte Quellarbeitsbereiche beschränken fügen Sie Zulassungs- oder Verweigerungsregeln für eine Liste ausgewählter Arbeitsbereich-IDs hinzu. Um auf einen Quellarbeitsbereich in einem anderen Konto zu verweisen, geben Sie dessen numerische Arbeitsbereich-ID ein und fügen Sie ihn hinzu.
7. Klicke auf Speichern.

Konfigurieren des arbeitsbereichsübergreifenden ausgehenden Zugriffs

Workspaceübergreifende Egress-Zugriffssteuerungen legen fest, an welche Azure Databricks-Workspaces Ihre serverlosen Workloads Datenverkehr senden können. Konfigurieren Sie es in der Richtlinie des Workspace für serverlosen ausgehenden Netzwerkverkehr. Für einen Überblick über serverlose Ausgangskontrolle siehe Was ist serverlose Ausgangskontrolle?.

Die Egress-Seite verhält sich wie eine Positivliste. Du listest die Ziel-Arbeitsbereiche auf, die deine Arbeitslasten erreichen können, und alle anderen Azure Databricks-Arbeitsbereiche bleiben blockiert, während die Richtlinie den Zugriff einschränkt. Für Azure Databricks Destinations gibt es keine Egress Deny-Regel.

Erlaubte Ziele sind Teil der Ausgangsregeln der Netzwerkrichtlinie, daher konfigurieren Sie sie im selben Netzwerkzugriffsrichtlinien-Editor , der auch den anderen ausgehenden Zugriff der Richtlinie steuert. Um einen Arbeitsbereich in einem anderen Konto zu referenzieren, verwenden Sie dessen numerische Arbeitsbereich-ID.

Um arbeitsbereichsübergreifende Ziele in der Kontokonsole zu ermöglichen:

Öffnen Sie die Netzwerkrichtlinie

1. Klicken Sie in der Kontokonsole auf "Sicherheit".
2. Klicken Sie auf den Reiter Netzwerk und öffnen Sie dann die Netzwerkrichtlinie, die Sie bearbeiten möchten.
3. Wählen Sie die Registerkarte Egress aus.

Ausgehenden Zugriff beschränken

Unter Netzwerkzugang wählen Sie Eingeschränkten Zugriff auf bestimmte Ziele. Der Abschnitt "Erlaubte Databricks-Arbeitsbereichsziele" erscheint nur, wenn der Zugriff eingeschränkt ist. Wenn Sie Zugriff auf alle Ziele erlauben, können serverlose Workloads jedes Ziel erreichen und die Cross-Workspace-Regeln gelten nicht.

Fügen Sie die Zielarbeitsbereiche hinzu

1. Im Bereich Erlaubte Databricks-Arbeitsbereichsziele klicke auf Arbeitsbereich hinzufügen.
2. Im Dialogfeld "Arbeitsbereich hinzufügen " verwenden Sie den Arbeitsbereich-Auswahler , um die zu erlaubenden Arbeitsbereiche auszuwählen. Um einen Arbeitsbereich in einem anderen Konto zu referenzieren, fügen Sie dessen numerische Arbeitsbereich-ID ein und fügen Sie sie hinzu.
3. Klicken Sie auf Hinzufügen.

Die von dir hinzugefügten Arbeitsbereiche erscheinen in einer Tabelle, die nach Arbeitsbereich-ID aufgelistet ist. Um ein Ziel zu entfernen, verwenden Sie die Löschaktion in der entsprechenden Zeile.

Speichern der Richtlinie

Stellen Sie den Modus zur Durchsetzung der Richtlinien ein und speichern Sie dann die Richtlinie. Im Trockenlaufmodus werden Verstöße gegen Richtlinien protokolliert, aber nicht blockiert, sodass Sie bestätigen können, dass alle erforderlichen Ziele erlaubt sind, bevor Sie die Richtlinie durchsetzen.

Sie können auch erlaubte Azure Databricks-Ziele mit der Netzwerkrichtlinien-REST-API konfigurieren. Siehe Verwalten Sie Netzwerkrichtlinien für die serverlose Steuerelemente.

Nächste Schritte