Consentire le piattaforme partner nelle policy di ingresso basate sul contesto

Le piattaforme partner permettono di bloccare l'accesso pubblico al tuo workspace e allo stesso tempo consentire il traffico proveniente da strumenti SaaS (software as a service supportati), come Power BI, Tableau Cloud e l'app Databricks Genie per Slack. Selezioni il partner con una regola di ingresso basata sul contesto, e Azure Databricks mantiene aggiornati gli intervalli IP del partner o i dettagli dell'app OAuth, così non tracci tu stesso gli indirizzi IP del partner.

Questa pagina elenca le piattaforme partner supportate e mostra come consentirne una in una policy a livello di workspace utilizzando la console dell'account. Per una panoramica dell'ingresso basato sul contesto, vedere Controllo in ingresso basato sul contesto.

Come le regole delle piattaforme partner abbinano il traffico

Azure Databricks identifica il traffico partner in uno dei seguenti modi, a seconda del partner:

• Range IP gestiti: Il partner pubblica i suoi indirizzi IP di uscita. Azure Databricks sincronizza gli intervalli pubblicati ogni una-due settimane e consente richieste da questi IP. Per alcuni partner, puoi limitare le regole per permettere solo il traffico proveniente da determinate regioni.
• Applicazione OAuth gestita: Il prodotto partner ospita un'app Azure Databricks, come l'app Databricks Genie per Slack o l'app Databricks Genie in Microsoft Teams. Azure Databricks identifica il traffico tramite l'ID client OAuth dell'app e lo consente solo quando arriva tramite i servizi Azure Databricks.

Una regola della piattaforma partner consente solo la fonte di traffico del partner. Gli utenti e le entità servizio continuano ad autenticarsi e ogni richiesta viene eseguita con i permessi dell'identità che l'ha inviata.

Piattaforme partner supportate

La selezione della regione dipende dal fatto che il partner pubblichi i suoi intervalli IP per regione.

Requisiti

• È necessario essere un amministratore dell'account.
• L'account Azure Databricks deve essere nel livello Premium.
• L'accesso pubblico deve essere abilitato nell'area di lavoro. Le piattaforme partner si connettono tramite la rete Internet pubblica. Se l'accesso pubblico è disabilitato, Azure Databricks blocca queste richieste prima di valutare la politica di ingresso.

L'accesso pubblico è controllato dall'impostazione Consenti l'accesso alla rete pubblica dell'area di lavoro.

Limitations

• Puoi utilizzare applicazioni OAuth gestite, come l'app Databricks Slack e l'app Databricks Teams, solo nelle policy a livello di workspace.
• Puoi aggiungere piattaforme partner per consentire solo regole di tipo allow, non regole di tipo deny.
• Ogni regola consente una piattaforma partner. Per permettere più partner, aggiungi una regola per ciascuno.

Puoi anche utilizzare partner di range IP gestiti, come Power BI, nella policy a livello di account. Vedi Gestire le politiche di ingresso basate sul contesto dell'account.

Consentire a una piattaforma partner di utilizzare la console dell'account

Apri il criterio dell'area di lavoro

Apri o crea la policy di rete per il tuo spazio di lavoro. Vedi politiche di rete di accesso.

Disattiva l'accesso da tutti gli IP pubblici

Nella scheda Ingress, sotto Accesso alla rete pubblica, deseleziona Consenti accesso da tutti gli IP pubblici. Appaiono le liste delle Regole di autorizzazione e Regole di negazione.

Aggiungi una regola di autorizzazione per il partner

1. Fai clic su Aggiungi regole di autorizzazione.

2. In Consenti identità, seleziona le identità che possono usare il partner. Per limitare chi può utilizzare il partner, scegli utenti specifici o le entità servizio.

3. In Sorgente, per il tipo Sorgente, seleziona Piattaforme Partner.

   

4. Per Partner name, seleziona la piattaforma partner.

   

5. Se il partner supporta la selezione della regione, seleziona opzionalmente Regioni. Se lasci Tutte le regioni selezionate, la regola permette tutte le regioni del partner.

   

6. Sotto Destinazione, seleziona a cosa il partner può accedere: Workspace UI, Workspace API, runtime Lakebase o runtime delle app. Per limitare il partner alle API necessarie, seleziona Workspace API e scegli ambiti API specifici. Ad esempio, per le app Databricks Genie per Slack e Microsoft Teams, seleziona l'ambito Genie API.

7. Aggiungi la regola.

Salva, testa e allega il criterio

1. Fare clic su Salva per salvare il criterio/policy.
2. Imposta la modalità di applicazione delle policy su modalità di esecuzione a secco e allega la policy al tuo workspace. Vedi Imposta la modalità di applicazione e Allega una policy agli spazi di lavoro.
3. Controlla la system.access.inbound_network tabella delle richieste partner rifiutate. Consulta Controllare i log di rifiuto.
4. Quando le richieste del partner non vengono più negate, imposta la modalità di applicazione della politica su Applicata.

Risorse aggiuntive