Netwerkbeleid op basis van context

Azure Databricks contextgebaseerde netwerkbeleidsregels bieden een uniform beveiligingskader voor het beheren van zowel inkomend als uitgaand verkeer naar je werkruimtes en accountniveaubronnen (bijvoorbeeld de accountconsole en accountniveau Genie One).

Azure Databricks ondersteunt twee soorten contextgebaseerde besturing:

• Contextgebaseerde ingress control: Beperkt wie je bronnen kan bereiken, van waar en waar ze toegang toe hebben, gebaseerd op een combinatie van identiteit, netwerkbron en type verzoek.
• Serverloze controle op uitgaand verkeer: Beperkt naar welke bestemmingen je serverloze werklasten gegevens kunnen verzenden door uitgaande verbindingen te beperken tot toegestane bestemmingen.

Overzicht contextgebaseerde netwerkbeleidsregels

Met contextgebaseerd netwerkbeleid kunnen accountbeheerders toestaan- en weigerregels instellen waarin wordt gecombineerd wie de verbinding maakt, van waaruit die wordt gemaakt en wat kan worden benaderd, en beheren met welke externe bestemmingen serverless workloads verbinding kunnen maken. Dit helpt u te voldoen aan beveiligings- en nalevingseisen en vermindert het risico op ongeautoriseerde toegang en data-exfiltratie.

Beleidsregels op werkruimteniveau worden geconfigureerd onder beleidsregels op werkruimteniveau, waarbij een standaard beleid op werkruimteniveau aan alle werkruimtes wordt toegewezen zonder expliciete toewijzing. Het beleid op accountniveau wordt afzonderlijk geconfigureerd onder beleid op accountniveau; de beleids-id is account-policy.

Met contextgebaseerde netwerkbeleidsregels kun je:

• Stop toegang vanuit niet-vertrouwde netwerken door naast inloggegevens ook een vertrouwde netwerkbron te vereisen.
• Toegang toestaan voor software as a service (SaaS)-clients zonder stabiele uitgangs-IP's door te kiezen op identiteit in plaats van IP-bereiken.
• Beperk de toegang door minder betrouwbare bronnen alleen bepaalde scopes te laten gebruiken, zoals Azure Databricks API's of de workspace-UI.
• Hanteer voor uitgaande verbindingen van serverloze workloads een standaard-weigerenbeleid.
• Controleer effectief door gedetailleerde afwijzingslogboeken vast te leggen in Unity Catalog systeemtabellen.

Netwerkbeleid op basis van context vormt een aanvulling op deze bestaande beveiligingsfuncties:

• Context-gebaseerde toegangscontrole:
  • IP-toegangslijsten voor werkruimten
  • Account-IP-toegangslijsten
  • Binnenkomende Private Link (met instellingen voor privétoegang)
• Serverloos uitgaand verkeerbeheer
  • Uitgaande Private Link (met behulp van netwerkverbindingsconfiguraties)

Beleidstypen vergeleken

Netwerkbeleid op basis van context omvat twee typen: toegangscontrole en uitgaande controle. De volgende tabel bevat een overzicht van de belangrijkste verschillen:

Toegangsbeheer op basis van context

Contextgebaseerde ingress control stelt accountbeheerders in staat om toelaat- en weigerregels in te stellen die identiteit, netwerkbron en verzoektype combineren, zodat alleen vertrouwde combinaties je bronnen kunnen bereiken.

Beleidsregels op werkruimteniveau regelen de toegang tot werkruimtes, en één accountbeleid (account-policy) regelt bronnen op accountniveau zoals de accountconsole en accountniveau Genie One. Elk account bevat een standaard beleid op werkruimteniveau dat van toepassing is op alle in aanmerking komende werkruimtes zonder expliciete toewijzing.

Voor netwerkbronnen, toegangstypen, identiteiten, regelevaluatie, handhavingsmodi, auditing en hoe ingress interactie heeft met andere netwerkbesturingen, zie Context-based ingress control.

Serverloze uitgaande verkeerscontrole

Serverless egress control beheert uitgaande netwerkverbindingen van je serverloze rekenresources en vermindert zo het risico op data-exfiltratie. Een netwerkbeleid is een accountniveau-object, gekoppeld aan één of meer werkruimtes, dat de uitgaande toegangsmodus voor serverloze workloads instelt:

• Volledige toegang: Serverloze workloads hebben onbeperkte uitgaande toegang tot het internet en andere netwerkbronnen.
• Beperkte toegang: Uitgaande toegang is beperkt tot externe locaties in de Unity Catalog plus de FQDN's en Azure Storage accounts die je expliciet in het beleid vermeldt.

Voor de beveiligingshouding met beperkte toegang, ondersteunde serverloze producten en configuratiestappen, zie Wat is serverless egress control?.

Handhavingsmodi

Zowel in- als uitgangsbeleid ondersteunen Enforced mode, waarin regels worden toegepast en overtredingen van verzoeken worden geblokkeerd, en Dry run-modus , waarin overtredingen worden gelogd maar niet geblokkeerd. Databricks raadt aan om te beginnen in de dry run-modus om onbedoelde toegangsverstoringen te voorkomen.

Auditlogboek bijhouden

Azure Databricks registreert beleidsevaluaties voor compliance en bewaking: geweigerde inkomende aanvragen in system.access.inbound_network en uitgaande gebeurtenissen in system.access.outbound_network. Voer een query uit op deze logboeken om de effectiviteit van het beleid te valideren en onbevoegde toegangspogingen te detecteren.

Hoe beleid communiceert met andere besturingselementen

Beleid voor inkomend verkeer op basis van context werkt samen met IP-toegangslijsten en front-end privéconnectiviteit, en serverless-beheer van uitgaand verkeer werkt samen met uitgaande privéconnectiviteit (met behulp van netwerkconnectiviteitsconfiguraties). Voor hoe ingress met elk van deze controles interacteert, inclusief per-cloud privé-connectiviteit, zie Relatie met andere controles.