Architecture de protection contre l’exfiltration des données

Connexion unifiée avec l’authentification unique

Appliquez l’authentification unique (SSO) sur tous les espaces de travail du compte Azure Databricks à l’aide de la connexion unifiée. Cela garantit que les utilisateurs s’authentifient auprès du fournisseur d’identité de votre entreprise plutôt que d’utiliser des comptes personnels ou des méthodes sans authentification unique (SSO).

Activez l’authentification multifacteur (MFA) au sein de votre fournisseur d’identité pour une couche supplémentaire de vérification.

Consultez Authentification et contrôle d’accès.

Gestion automatisée des identités

Implémentez le provisionnement SCIM pour automatiser la gestion du cycle de vie des utilisateurs. Cela garantit que les anciens employés sont automatiquement déprovisionnés et ne peuvent pas accéder aux espaces de travail après le départ.

Voir Synchroniser les utilisateurs et groupes de Microsoft Entra ID à l'aide de SCIM.

Contrôles d’accès réseau

Restreindre l’accès à l’espace de travail et à la console de compte aux réseaux approuvés :

• Listes d’accès IP au niveau du compte : contrôlez l’accès à la console de compte. Voir Configurer des listes d’accès IP pour la console de compte.
• Listes d’accès IP au niveau de l’espace de travail : contrôlez l’accès à des espaces de travail individuels. Voir Configurer des listes d’accès IP pour les espaces de travail.
• Connectivité privée : utilisez Private Link entrant pour supprimer complètement l’accès public à l’espace de travail. Voir Configurer le lien Private Link entrant pour les espaces de travail.

Contrôle d’accès standard

Utilisez des privilèges de catalogue Unity pour restreindre les utilisateurs autorisés à lire, écrire ou modifier chaque catalogue, schéma, table et volume. Accordez les privilèges minimaux requis pour chaque rôle et groupe.

Les privilèges se propagent de manière hiérarchique : une autorisation accordée sur un catalogue s’applique à tous les schémas et à toutes les tables qu’il contient. Utilisez cette option pour appliquer des valeurs par défaut étendues, puis restreindre l’accès à des niveaux inférieurs pour les données sensibles.

Consultez Gérer les privilèges dans Unity Catalog.

Contrôle d’accès basé sur les attributs (ABAC)

ABAC régit l’accès aux données en fonction des étiquettes attachées aux objets de données, et pas seulement de l’identité d’objet. Utilisez ABAC pour appliquer des stratégies telles que « les utilisateurs ne peuvent interroger que les tables étiquetées pii=false» ou « les utilisateurs du groupe UE ne peuvent pas lire les tables étiquetées region=US».

ABAC s’adapte mieux aux GRANTs par objet dans les grands environnements où les conventions de balisage sont déjà en place. Il s’associe également bien aux filtres de lignes et aux masques de colonne (ci-dessous).

Consultez le contrôle d’accès basé sur les attributs dans le catalogue Unity.

Filtres de lignes et masques de colonne

Limitez ce que les utilisateurs voient dans une table :

• Filtres de lignes : appliquez une fonction SQL qui détermine les lignes qu’un utilisateur peut interroger. Par exemple, limitez une table de ventes afin que chaque responsable régional ne voie que les lignes correspondant à sa région.
• Masques de colonne : appliquez une fonction SQL qui transforme la valeur d’une colonne avant de revenir à l’utilisateur. Par exemple, masquez les numéros de carte bancaire par XXXX-XXXX-XXXX-1234 pour les utilisateurs n’appartenant pas au service financier.

Les filtres de lignes et les masques de colonnes sont évalués lors de l’exécution de la requête, de sorte que les utilisateurs ne puissent pas les contourner avec SELECT *.

Consultez les filtres de lignes et les masques de colonne.

Restrictions administratives du catalogue Unity

Limitez la création des éléments sécurisables d’accès aux données aux seuls administrateurs :

• Informations d’identification de stockage : autorisez uniquement les administrateurs à créer des informations d’identification de stockage. Appliquez des stratégies d’accès cloud avec privilège minimum (rôles IAM, identités managées) pour chaque informations d’identification. Consultez Gérer les informations d’identification de stockage.
• Emplacements externes : autorisez uniquement les administrateurs à créer des emplacements externes qui mappent aux chemins de stockage cloud. Consultez Gérer les emplacements externes.
• Connexions de base de données : autorisez uniquement les administrateurs à créer des connexions à des bases de données externes via Lakehouse Federation. Consultez Gérer les connexions pour Lakehouse Federation.
• Informations d’identification du service : autorisez uniquement les administrateurs à créer des informations d’identification de service pour les services cloud externes. Consultez Créer des informations d’identification de service.

Accordez aux utilisateurs des autorisations pour utiliser des éléments sécurisables approuvés plutôt que de les créer. Cela empêche les utilisateurs de pointer le calcul sur un stockage ou des points de terminaison non approuvés.

Liaisons d’espace de travail pour les catalogues

Associez des catalogues Unity Catalog à des espaces de travail spécifiques pour empêcher tout accès aux données entre environnements. Par exemple, empêchez les espaces de travail de développement de lire les données de production.

Consultez la liaison catalogue-espace de travail.

Stratégies de compte de stockage

Implémentez des pare-feu ou des stratégies de compartiment sur des comptes de stockage pour accepter le trafic uniquement à partir de destinations sources approuvées :

• Configurez les pare-feu d’stockage Azure pour autoriser l’accès uniquement depuis des VNets approuvés, des points de terminaison privés ou des points de terminaison de service.
• Utilisez des identités managées avec des attributions de rôles avec privilèges minimum.

Tables système pour la surveillance de l’audit

Utilisez Azure Databricks Surveiller les coûts à l’aide des tables système pour surveiller les schémas d’accès aux données. La référence de la table système du journal d’audit consigne les événements de l’espace de travail, notamment :

• Tentatives d’authentification et d’accès des utilisateurs.
• Opérations de lecture et d’écriture des données.
• Modifications de configuration administrative.
• Utilisation des identifiants et accès aux emplacements externes.

Configurez des alertes pour les activités suspectes, telles que des volumes de données inhabituels, l’accès à partir d’emplacements inattendus ou des tentatives d’accès à des ressources non autorisées.

Intégration des journaux d'activité native du cloud

Ingérer des journaux spécifiques au cloud pour compléter les tables système Azure Databricks :

• Configurez Azure Monitor et le journal d’activité pour capturer les événements d’accès au stockage, l’utilisation des identités managées et les journaux de flux réseau.

Mettre en corrélation les journaux natifs du cloud avec les journaux d’audit Azure Databricks pour une visibilité complète sur les mouvements de données dans votre environnement.

Isolation du réseau

Déployez Azure Databricks avec Activer la connectivité sécurisée du cluster (SCC) activée dans un réseau virtuel en utilisant Déployer Azure Databricks dans votre réseau virtuel Azure (injection dans un réseau virtuel [VNet]). Vous pouvez déployer à l’aide d’une topologie hub-and-spoke avec un pare-feu centralisé ou une topologie réseau isolée (île) sans hub. Cette configuration :

• Élimine les adresses IP publiques sur les nœuds de cluster.
• Nécessite des paires de sous-réseaux dédiées par espace de travail (un privé, un public).
• Route le trafic du plan de contrôle via des points de terminaison privés.

Connectivité privée

Configurez des points de terminaison Private Link pour les comptes de stockage Azure gérés par le client dans un sous-réseau dédié :

• Tous les accès aux données se produisent sur le réseau principal Azure.
• Les points de terminaison privés peuvent être déployés dans le réseau virtuel Azure Databricks ou dans un réseau virtuel jumelé.
• Comme alternative aux comptes de stockage gérés par le client, utilisez Configurer les stratégies de point de terminaison de service du réseau virtuel Azure pour l’accès au stockage depuis les services de calcul classiques (sans coût supplémentaire).

Configurez Configurez le Private Link entrant pour les espaces de travail pour l’accès des utilisateurs et l’authentification par navigateur (SSO).

Contrôle de sortie

Déployez Pare-feu Azure (ou une appliance virtuelle réseau tierce) dans un réseau virtuel hub :

• Règles d’application : définissez les noms de domaine complets accessibles via le pare-feu (plan de contrôle, application web et relais SCC si le plan de calcul classique Private Link n’est pas configuré).
• Règles réseau : définissez l’adresse IP, le port et le protocole pour les points de terminaison qui ne peuvent pas utiliser de noms de domaine complets.
• Routes définies par l’utilisateur (UDR) : acheminer le trafic non local depuis les sous-réseaux Azure Databricks via le pare-feu à l’aide d’une route par défaut (0.0.0.0/0).

Les points de terminaison de service contournent le pare-feu pour le stockage système d’Azure Databricks, ce qui réduit les coûts de transfert de données et évite la limitation du débit. Le stockage d’artefacts seul peut prendre en compte jusqu’à 11 Go téléchargés par nœud de cluster.

Sécurité serverless

Configurez Qu’est-ce que le contrôle du trafic sortant sans serveur ? pour gérer le trafic sortant. Utilisez la mise en réseau du plan de calcul serverless pour établir des connexions privées entre le plan de calcul serverless et les comptes de stockage Azure Data Lake Storage (ADLS Gen2).