Migra le liste di accesso IP dello spazio di lavoro in ingressi basati sul contesto

Le liste di accesso IP dello spazio di lavoro limitano l'accesso basandosi solo sugli indirizzi IP di origine. I controlli di ingresso basati sul contesto permettono agli amministratori di account di creare regole di permesso e negazione basate su molteplici condizioni, tra cui identità utente, tipo di richiesta e sorgente di rete. Questo offre un controllo più dettagliato su chi può raggiungere il tuo spazio di lavoro e da dove.

Databricks raccomanda di utilizzare l'ingresso basato sul contesto come controllo principale per l'ingresso nello spazio di lavoro. Per una panoramica di come l'ingresso basato sul contesto valuta le richieste, vedi Controllo di ingresso basato sul contesto.

Puoi utilizzare lo strumento da riga di comando migrate-ip-acls CLI tool di Databricks Labs per migrare gli elenchi di accesso IP esistenti dell'area di lavoro in un criterio di ingresso basato sul contesto.

Requirements

• Devi essere un amministratore dell'area di lavoro dell'area di lavoro che stai migrando. La lettura delle liste di accesso IP dello spazio di lavoro richiede i permessi di amministratore dello spazio di lavoro.
• Devi essere un amministratore d'account. Creare e allegare politiche di rete richiede i permessi di admin dell'account.

• L'ingresso basato sul contesto richiede il livello Premium.

Rivedi le limitazioni dello strumento di migrazione prima di iniziare, perché lo strumento non può migrare ogni spazio di lavoro.

Come funziona lo strumento di migrazione

Lo strumento di migrazione esegue i seguenti passaggi:

1. Si autentica allo spazio di lavoro selezionato usando i permessi di amministratore dello spazio e all'account Azure Databricks usando i permessi di amministratore dell'account.
2. Effettua controlli pre-migrazione per determinare se lo spazio di lavoro può essere migrato in sicurezza.
3. Ti chiede di fornire un nome di policy per la policy di rete generata.
4. Legge le liste di accesso IP abilitate dallo spazio di lavoro.
   1. Ogni lista di permessi abilitata viene convertita in una regola di ingresso di permesso basata sul contesto nella policy di rete generata.
   2. Ogni lista di blocchi abilitata viene convertita in una regola di diniego di ingresso basata sul contesto nella policy di rete generata.
   3. Le etichette esistenti delle liste di accesso IP sono conservate.
   4. Le liste individuali dei disabili non vengono migrate e vengono segnalate per la revisione.
   5. Se lo spazio di lavoro ha solo liste di blocchi, lo strumento aggiunge una regola di permesso generico così che la politica di ingresso generata basata sul contesto preservi il comportamento esistente delle liste di accesso IP.
5. Copia la configurazione di uscita dalla policy di rete attualmente collegata allo spazio di lavoro, alla policy di rete generata. Se lo spazio di lavoro non ha una policy esplicitamente assegnata, lo strumento utilizza la base default-policydell'account.
6. Mostra la policy di rete generata da esaminare.
7. Se configurato con --export, lo strumento scrive rappresentazioni JSON e Terraform della politica proposta.
8. Se --create-policy è abilitato, lo strumento crea la nuova policy di rete.
9. Se --auto-assign è abilitato, lo strumento allega la policy generata allo spazio di lavoro selezionato. Poiché uno spazio di lavoro ha un'unica assegnazione di policy di rete, questa sostituisce la precedente assegnazione di policy dello spazio di lavoro.
10. Se viene specificato --disable-existing-ip-acls, lo strumento disabilita l'applicazione dell'elenco di accesso IP dell'area di lavoro dopo che la nuova policy applicata è stata creata e associata con successo. Le liste di accesso IP esistenti sono conservate, ma non sono più applicate.

--auto-assign è abilitato per impostazione predefinita. --disable-existing-ip-acls è disabilitato per impostazione predefinita.

Sebbene le liste di accesso IP dello spazio di lavoro rimangono abilitate, continuano a essere valutate insieme all'ingresso basato sul contesto. Una richiesta deve soddisfare entrambi i controlli.

Usa lo strumento di migrazione

Segui questi passaggi per generare una politica di ingresso basata sul contesto dalle liste di accesso IP di uno spazio di lavoro e, opzionalmente, crearla e allegarla.

Clona lo strumento di migrazione

Clona il repository dello strumento di migrazione di Databricks Labs:

git clone https://github.com/databrickslabs/migrate-ip-acls.git
cd migrate-ip-acls

Installa le dipendenze dello strumento:

uv sync

Autenticarsi allo spazio di lavoro come amministratore dello spazio di lavoro

La lettura e la modifica delle liste di accesso IP dello spazio di lavoro richiedono i permessi di amministratore dello spazio di lavoro.

Autentica lo spazio di lavoro eseguendo il seguente comando:

databricks auth login \
   --host https://adb-<WORKSPACE_URL>.azuredatabricks.net/

Il comando di autenticazione crea un profilo CLI Azure Databricks per lo spazio di lavoro. Usi questo profilo quando esegui lo strumento di migrazione.

Autenticarsi all'account come amministratore dell'account

Creare e assegnare politiche di rete richiede i permessi di amministratore dell'account.

Autentica l'account eseguendo il seguente comando:

databricks auth login \
   --host https://accounts.azuredatabricks.net \
   --account-id <ACCOUNT_ID>

Usa l'account che contiene lo spazio di lavoro che stai migrando.

Avvia lo strumento di migrazione

Avvia lo strumento di migrazione eseguendo il seguente comando:

uv run dbx-migrate-ip-acls --profile <my-workspace-profile-name> --account-id <acct-id> --export .

Parametri di input

Lo strumento rifiuta combinazioni di parametri che potrebbero lasciare lo spazio di lavoro con una politica di ingresso diversa dopo la migrazione. Ad esempio, --disable-existing-ip-acls non può essere utilizzato a meno che lo strumento non crei e allega anche una policy di rete applicata . Rifiuta inoltre combinazioni insensate come --no-create-policy --auto-assign.

Ispezionare e approvare l'output

Prima di creare, allegare o far rispettare la policy generata, lo strumento stampa la policy di rete generata per l'ispezione e la validazione. Una volta approvata, lo strumento applica queste modifiche, in base ai parametri di input.

Applica lo script Terraform generato

Se specifichi --export, lo strumento crea una rappresentazione JSON della policy generata e una corrispondente configurazione Terraform.

Esamina il Terraform generato prima di aggiungerlo alla configurazione infrastructure-as-code o di eseguire terraform apply. L'output di Terraform è pensato come punto di partenza per la gestione della policy generata con l'infrastruttura come codice.

Verificare la migrazione

Dopo che lo strumento ha creato e allegato il criterio, verifica che si comporti come previsto prima di fare affidamento su di esso:

1. Nella console dell'account, clicca su Workspace, seleziona l'area di lavoro e conferma che la policy generata sia elencata sotto Network Policy.
2. Se hai creato la policy in modalità di esecuzione a secco, genera il traffico tipico dello spazio di lavoro, poi ricontrolli i log di negazione per confermare che le regole convertite corrispondano all'accesso previsto. Quando le regole sono corrette, passa la politica in modalità applicata. Vedi Imposta la modalità di applicazione.

I log di negazione vengono archiviati nella tabella system.access.inbound_network di Unity Catalog. I negazioni a prova compaiono con un DRY_RUN_DENIAL valore nella access_type colonna, mentre le negazioni forzate appaiono come DROP. Consulta Controllare i log di rifiuto.

Limitazioni degli strumenti di migrazione

Lo strumento di migrazione non supporta le seguenti configurazioni:

• Una politica di ingresso basata sul contesto restrittiva esistente è già assegnata allo spazio di lavoro. Se lo strumento è configurato per creare e assegnare una nuova policy, si arresta se lo spazio di lavoro ha già una policy assegnata che contiene regole in ingresso applicate o in modalità dry-run. Un criterio di base che consente tutto non attiva questo controllo.

Passaggi successivi