Directivas de red basadas en contexto

Las políticas de red contextuales de Azure Databricks proporcionan un marco de seguridad unificado para gestionar tanto el tráfico entrante como saliente hacia tus espacios de trabajo y recursos a nivel de cuenta (por ejemplo, la consola de cuenta y Genie One a nivel de cuenta).

Azure Databricks soporta dos tipos de control basado en contexto:

• Control de entrada basado en contexto: Restringe quién puede acceder a tus recursos, desde dónde y a qué accede, basándose en una combinación de identidad, fuente de red y tipo de solicitud.
• Control de salida sin servidor: Restringe dónde tus cargas de trabajo sin servidor pueden enviar datos limitando las conexiones salientes a destinos autorizados.

Resumen de políticas de red basadas en el contexto

Las políticas de red basadas en el contexto permiten a los administradores de cuenta establecer reglas de permitir y negar reglas que combinan quién llama, desde dónde llaman y a qué pueden acceder, y controlar a qué destinos externos pueden conectarse las cargas de trabajo serverless. Esto te ayuda a cumplir con los requisitos de seguridad y cumplimiento y reduce el riesgo de acceso no autorizado y exfiltración de datos.

Las políticas a nivel de espacio de trabajo se configuran bajo políticas de nivel de espacio de trabajo, asignando una política a nivel de espacio de trabajo por defecto a todos los espacios de trabajo sin una asignación explícita. La directiva de nivel de cuenta se configura por separado en Directiva de nivel de cuenta; su identificador de directiva es account-policy.

Con políticas de red basadas en contexto, puedes:

• Detener el acceso desde redes no confiables requiriendo una fuente de red confiable además de las credenciales.
• Permitir el acceso a clientes de software como servicio (SaaS) sin direcciones IP de salida estables basándose en la identidad en lugar de en rangos de IP.
• Limita el acceso permitiendo que fuentes menos confiables usen solo ciertos ámbitos, como las APIs de Azure Databricks o la interfaz de espacio de trabajo.
• Imponer una política de denegación por defecto para las conexiones salientes de las cargas de trabajo sin servidor.
• Audita eficazmente capturando registros detallados de denegación en tablas del sistema Unity Catalog.

Las directivas de red basadas en contexto complementan estas características de seguridad existentes:

• Control de entrada basado en contexto:
  • Listas de acceso IP del área de trabajo
  • Listas de acceso IP de la cuenta
  • Enlace privado de entrada (mediante la configuración de acceso privado)
• Control de salida sin servidor:
  • Enlace privado de salida (mediante configuraciones de conectividad de red)

Tipos de directiva comparados

Las directivas de red basadas en contexto incluyen dos tipos: control de entrada y control de salida. En la tabla siguiente se resumen las diferencias clave:

Control de entrada basado en contexto

El control de entrada basado en contexto permite a los administradores de cuentas establecer reglas de permitir y denegar que combinan identidad, fuente de red y tipo de solicitud, de modo que solo combinaciones confiables pueden acceder a tus recursos.

Las políticas a nivel de espacio de trabajo regulan el acceso a los espacios de trabajo, y una única política a nivel de cuenta (account-policy) gobierna recursos a nivel de cuenta como la consola de cuenta y Genie One a nivel de cuenta. Cada cuenta incluye una política predeterminada a nivel de espacio de trabajo que se aplica a todos los espacios de trabajo elegibles sin una asignación explícita.

Para fuentes de red, tipos de acceso, identidades, evaluación de reglas, modos de aplicación, auditoría y cómo interactúa la entrada con otros controles de red, véase Control de entrada basado en contexto.

Control de salida sin servidor

El control de salida sin servidor gestiona las conexiones de red saliente desde tus recursos de computación sin servidor, reduciendo el riesgo de exfiltración de datos. Una política de red es un objeto a nivel de cuenta, adjunto a uno o más espacios de trabajo, que establece el modo de acceso saliente para cargas de trabajo sin servidor:

• Acceso completo: Las cargas de trabajo sin servidor tienen acceso saliente sin restricciones a internet y otros recursos de red.
• Acceso restringido: El acceso saliente está limitado a ubicaciones externas del Catálogo de Unity más las FQDN y la cuenta de almacenamiento de Azure que mencionas explícitamente en la política.

Para la postura de seguridad de acceso restringido, los productos serverless compatibles y los pasos de configuración, consulta ¿Qué es el control de salida para entornos serverless?.

Modos de cumplimiento

Tanto las políticas de entrada como las de salida admiten el modo Aplicado, en el que se aplican las reglas y se bloquean las solicitudes que las infringen, y el modo Simulación, en el que las infracciones se registran, pero no se bloquean. Databricks recomienda iniciar en modo de prueba en seco para evitar interrupciones de acceso no deseadas.

Registro de auditoría

Azure Databricks registra evaluaciones de directivas para cumplimiento y supervisión: denegaciones de tráfico de entrada en system.access.inbound_network y eventos de tráfico de salida en system.access.outbound_network. Consulte estos registros para validar la eficacia de las directivas y detectar intentos de acceso no autorizados.

Cómo interactúan las directivas con otros controles

Las políticas de entrada basadas en el contexto funcionan junto con listas de acceso IP y conectividad privada frontal, y el control de salida sin servidor funciona junto con la conectividad privada saliente (usando configuraciones de conectividad de red). Para saber cómo interactúa el ingreso con cada uno de estos controles, incluyendo el comportamiento de conectividad privada por nube, véase Relación con otros controles.