Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Der Schutz vor ausgehenden Zugriff schützt Daten, indem die ausgehenden Anforderungen von OneLake durch Verknüpfungen und Kopiervorgänge eingeschränkt werden.
Was ist der Schutz vor ausgehenden Zugriffen?
Der Schutz vor ausgehendem Zugriff trägt dazu bei, sicherzustellen, dass Daten sicher innerhalb Ihres Netzwerksicherheitsperimeters freigegeben werden. Zum Beispiel verwenden Datenexfiltrationsschutzlösungen ausgehende Zugriffsschutzsteuerelemente, um die Fähigkeit eines böswilligen Akteurs zu beschränken, große Datenmengen an einen nicht vertrauenswürdigen externen Speicherort zu verschieben. Ausgehende Schutzmaßnahmen beschränken nur Anfragen, die im Workspace ihren Ursprung haben und mit einem anderen Workspace oder Standort kommunizieren. Eine umfassende Netzwerksicherheitslösung umfasst auch den eingehenden Netzwerkschutz über private Links, kombiniert mit Datenzugriffssteuerungen , um den Zugriff auf Ihre Daten zu beschränken.
Weitere Informationen zum Verwalten des Ausgehenden Zugriffsschutzes finden Sie unter Arbeitsbereichsschutz für ausgehenden Zugriff.
Wann sendet OneLake ausgehende Anfragen?
Es gibt zwei Szenarien, in denen OneLake eine ausgehende Anforderung durchführt: Verknüpfungen und Kopiervorgänge. Eine ausgehende Anfrage ist jede Anfrage, die aus dem Arbeitsbereich heraus an einen Ort außerhalb des Arbeitsbereichs gesendet wird. Nur die Richtung des Aufrufs ist wichtig – sowohl Lese- als auch Schreibvorgänge in externe Speicherorte können vertrauliche Informationen an nicht vertrauenswürdige Speicherorte exfiltrieren.
Verknüpfungen
Verknüpfungen sind Objekte in OneLake, die auf andere Speicherorte verweisen, die sich innerhalb oder außerhalb von OneLake befinden können. Die Position, auf die eine Verknüpfung verweist, wird als Zielpfad bezeichnet, und die Position, an der die Verknüpfung angezeigt wird, ist der Verknüpfungspfad. Wenn das Verknüpfungsziel ein anderer Arbeitsbereich oder ein externer Speicherort als der Verknüpfungspfad ist, handelt es sich um eine ausgehende Verknüpfung und unterliegt dem Schutz vor ausgehendem Zugriff.
Der Schutz vor ausgehendem Zugriff schränkt Verknüpfungen mit einer Quelle und einem Ziel innerhalb desselben Arbeitsbereichs nicht ein, da alle OneLake-Aufrufe innerhalb der Grenze des Arbeitsbereichs verbleiben.
Kopieren von Daten in OneLake
Wenn Sie Daten zwischen zwei OneLake-Arbeitsbereichen mithilfe von Azure Storage-Kopier-APIs kopieren, führt OneLake einen ausgehenden Anruf vom Quellarbeitsbereich zum Zielarbeitsbereich aus. Wenn der Schutz für ausgehenden Zugriff im Quellarbeitsbereich aktiviert ist, wird dieser ausgehende Anruf blockiert, und der Kopiervorgang schlägt fehl. Um die Datenverschiebung zuzulassen, müssen Sie ausgehende Anforderungen aus dem Quellarbeitsbereich über die Connector-Zulassungsliste oder einen verwalteten privaten Endpunkt für den Zielarbeitsbereich zulassen.
Der folgende Kopiervorgang von Arbeitsbereich A in Arbeitsbereich B wird blockiert, wenn der Schutz vor ausgehendem Zugriff aktiviert ist, es sei denn, Sie genehmigen ausgehende Anforderungen von Arbeitsbereich A bis Arbeitsbereich B. Als Erinnerung: AzCopy-Vorgänge folgen immer dem Format azcopy copy <source> <destination>.
Syntax
azcopy copy "https://onelake.dfs.fabric.microsoft.com/WorkspaceA/LakehouseA.Lakehouse/Files/sales.csv" "https://onelake.dfs.fabric.microsoft.com/WorkspaceB/LakehouseB.Lakehouse/Files/sales.csv" --trusted-microsoft-suffixes "fabric.microsoft.com"
Der Schutz vor ausgehendem Zugriff blockiert keine Kopiervorgänge, die Daten innerhalb eines Arbeitsbereichs verschieben.
Kopieren von Daten zwischen Azure Storage und OneLake
Wenn Sie Daten zwischen Azure Storage und OneLake kopieren, wird die Richtung der ausgehenden Anforderungen umgekehrt. Das Zielkonto führt einen ausgehenden Anruf an das Quellkonto aus. Dieses Verhalten trifft auf Kopiervorgänge zu, die durch die direkte Verwendung der Azure Storage-APIs Copy Blob from URL und Put Block from URL ausgeführt werden. Es gilt auch für verwaltete Kopiererfahrungen mit AzCopy und Azure Storage-Explorer. Der Schutz des ausgehenden Zugriffs schränkt diesen ausgehenden Anruf vom Ziel auf die Quelle ein. Dieses Verhalten bedeutet jedoch, dass der Outbound-Zugriffsschutz Ihren Arbeitsbereich nicht daran hindert, die Quelle einer Kopieroperation zu sein, da kein ausgehender Aufruf aus dem Quellarbeitsbereich erfolgt. Um diese Arten von Vorgängen einzuschränken, lesen Sie Schützen Sie den eingehenden Datenverkehr.
Im folgenden AzCopy-Beispiel werden beispielsweise Daten aus dem Quell-Azure Storage-Konto "Quelle" in das Zielseehaus in OneLake verschoben. Wenn Arbeitsbereich A den ausgehenden Schutz aktiviert hat, wird der ausgehende Anruf von Arbeitsbereich A an das externe Azure Storage-Konto blockiert, und die Daten werden nicht geladen, es sei denn, das externe Azure Storage-Konto ist über die Zulassungsliste zulässig.
Syntax
azcopy copy "https://source.blob.core.windows.net/myContainer/sales.csv" "https://onelake.dfs.fabric.microsoft.com/WorkspaceA/LakehouseA.Lakehouse/Files/sales.csv" --trusted-microsoft-suffixes "fabric.microsoft.com"
Im folgenden Szenario ist Arbeitsbereich A jedoch jetzt die Quelle des Kopiervorgangs mit dem externen Azure Storage-Konto als Ziel. In diesem Szenario blockiert der Outbound Access Protection diesen Aufruf nicht, da nur eingehende Aufrufe an Arbeitsbereich A durchgeführt werden. Sie können diesen eingehenden Aufruf auf OneLake einschränken, indem Sie den Fabric Inbound Access Protection verwenden.
Syntax
azcopy copy "https://onelake.dfs.fabric.microsoft.com/WorkspaceA/LakehouseA.Lakehouse/Files/sales.csv" "https://source.blob.core.windows.net/myContainer/sales.csv" --trusted-microsoft-suffixes "fabric.microsoft.com"
Anfragen zu Fabric-Arbeitsbereichen erlauben.
Sie können Ihrem Fabric-Arbeitsbereich erlauben, ausgehende Anfragen an einen anderen Fabric-Arbeitsbereich zu senden, indem Sie eine Datenverbindungsregel über den OneLake File Connector erstellen. Wenn du den Zielarbeitsbereich zur Erlaubnisliste hinzufügst, erlaubst du ausgehende Anfragen vom Quellarbeitsbereich zum Zielarbeitsbereich, selbst wenn der ausgehende Zugriff eingeschränkt ist.
Zum Beispiel ermöglicht das Hinzufügen von Arbeitsbereich B zur Connector-Erlaubnisliste von Arbeitsbereich A Benutzern in Arbeitsbereich A, Daten in Arbeitsbereich B über eine Verknüpfung zu lesen oder Daten von Arbeitsbereich A mit AzCopy in Arbeitsbereich B zu kopieren.
Zulassen von Anforderungen an externe Speicherorte
Sie können Verknüpfungen zu externen Speicherorten erstellen und verwenden, auch wenn der Schutz vor ausgehendem Zugriff aktiviert ist, indem Sie eine Datenverbindungsregel über den entsprechenden Connector für Ihr Verknüpfungsziel erstellen. Wenn Sie die Liste des Zielspeicherorts zulassen, können Sie Verknüpfungen erstellen und Daten über Verknüpfungen von diesem Speicherort lesen, auch wenn der Schutz für ausgehenden Zugriff aktiviert ist.
Sie können auch Daten aus einem externen Azure Storage-Konto kopieren, wenn der Schutz vor ausgehendem Zugriff aktiviert ist, indem Sie eine Datenverbindungsregel für dieses Speicherkonto erstellen. Denken Sie daran, dass OneLake eine ausgehende Anforderung an ein Azure Storage-Konto sendet, wenn es sich um die Quelle eines Kopiervorgangs handelt. Azure Storage unterstützt blob- und DFS-Endpunkte. Achten Sie daher darauf, den richtigen Connector für Ihren Endpunkt zu verwenden. Wenn Sie die Verwendung des Azure Data Lake Storage-Connectors zulassen, stellen Sie sicher, dass Sie den .dfs Endpunkt in Ihrem AzCopy-Befehl verwenden, und den .blob Endpunkt, wenn Sie dies über den Azure Blob Storage-Connector zulassen.