Beperkte connectiviteit

Versterkte connectiviteit bouwt voort op Beheerde beveiliging door gelaagde controles voor ingress- en egressverkeer toe te voegen: contextgebaseerde ingress (CBI), VPC-eindpunten, serverless-controles voor egress en een optionele externe firewall. Toegang tot werkruimten blijft op het openbare internet, beveiligd door CBI.

Deze architectuur heeft:

  • Contextgebaseerde toegang tot de werkruimte: Gebruikers melden zich aan via internet en CBI-beleid beperkt de toegang tot de werkruimte op basis van netwerkbron, identiteit, authenticatiemechanisme en de reikwijdte van de toegang. Dit is een afweging in eenvoud ten opzichte van architecturen die via een VPN worden afgeschermd.
  • Toegang tot privécloudservices: VPC-eindpunten (AWS) of service-eindpunten (Azure) houden cloudserviceverkeer van het openbare internet.
  • Beheer van serverless-egress: netwerkbeleid en NCC-privé-eindpunten regelen het uitgaande verkeer van serverless compute.
  • Optionele uitgaande inspectie: Implementeer een externe firewall om klassieke rekenprocessen te inspecteren en te registreren.
  • Geen VPN vereist: vereenvoudigde gebruikerstoegang zonder afhankelijkheid van het bedrijfsnetwerk.

Gebruik deze architectuur wanneer:

  • Gegevensbeveiliging is de voornaamste zorg, niet het toegangsbeheer van werkruimten.
  • VPN-complexiteit is een belemmering voor de productiviteit van gebruikers.
  • Toegangsbeheer op basis van IP is voldoende voor naleving.
  • Uw organisatie geeft de voorkeur aan cloud-first-toegangspatronen.

Prerequisites

  • Azure Azure Databricks Premium-laag met een VNet-geïnjecteerde werkruimte.
  • Lijst met IP-bereiken voor toegangsbeheer voor werkruimten.

Overzicht van architectuur

De versterkte connectiviteitsarchitectuur beveiligt netwerkverkeer en vereenvoudigt de toegang voor gebruikers:

Verkeerstype Path
Gebruikerstoegang Gebruikers → Internet → CBI-beleid → Werkruimte
Klassiek besturingselement voor → berekenen Compute → Klassieke Private Link → Azure Databricks-beheerlaag
Klassieke rekenkracht → cloud Service-eindpunten of UDR's → Azure-services berekenen →
Serverloos → uw resources Serverloze rekenkracht → NCC-privé-eindpunten → uw Azure-resources
Klassiek rekenproces → uitgaand verkeer Compute → Externe firewall (optioneel) → Geïnspecteerd internet

Note

Werkruimtetoegang is niet privé in deze architectuur. Gebruikers maken verbinding via het openbare internet, beperkt door CBI-beleid. Als uw organisatie toegang tot een privéwerkruimte vereist, gebruikt u in plaats daarvan de geïsoleerde omgevingsarchitectuur .

Vereiste onderdelen

Inkomend

Geen binnenkomende Private Link. Openbare internettoegang wordt beperkt door beleid voor inkomend verkeer op basis van context en, optioneel, IP-toegangslijsten. Volg de standaard-IAM voor verificatie. Zie Verificatie en toegangsbeheer.

Pictogram van een gebruikersbeveiligingsschild. Toegangsbeheer voor de werkruimte

Configureer ingress voor werkruimten via contextgebaseerde ingress (CBI), het aanbevolen framework voor ingressbeleid. CBI-regels combineren netwerkbron (IP-bereiken), identiteit, verificatiemechanisme en toegangsbereik in één model voor toestaan/weigeren, dus het netwerkbronkenmerk doet dezelfde taak als de zelfstandige functie voor IP-toegangslijsten, plus meer.

IP-toegangslijsten blijven ondersteund en kunnen naast CBI worden geconfigureerd. Wanneer beide zijn geconfigureerd, moet een verzoek door beide controles worden toegestaan.

Configuratieniveaus:

Beste praktijken:

  • Begin breed, verfijn op basis van het werkelijke gebruik.
  • IP-bereiken documenteren met doel- en vervaldatums.
  • Beheerderstoegang behouden via een bekend goed IP-bereik.
  • Bekijk elk kwartaal en verwijder verouderde bereiken.

Warning

Ingangsbeleidsregels en IP-toegangslijsten kunnen u de toegang tot uw werkruimte ontzeggen als deze onjuist zijn geconfigureerd. Beheer altijd beheerderstoegang via een bekend goed IP-bereik.

Pictogram voor delen vergrendelen. Toegangsbeheer voor OpenSharing-ontvangers

OpenSharing maakt gebruik van eigen IP-toegangslijsten die zijn geconfigureerd voor geadresseerde-objecten. Dit staat los van contextgebaseerde toegangslijsten voor inkomend verkeer en IP-toegangslijsten voor de werkruimte. Is alleen van toepassing op Databricks-naar-Open-delen (alleen voor niet-Azure-Databricks-ontvangers).

Zie Toegang voor Open Sharing-ontvangers beperken met IP-toegangslijsten (Databricks-naar-Open Sharing).

Uitgaand

Serverloze uitgaand verkeer wordt beheerd door netwerkbeleid en NCC-privé-eindpunten. Gebruik Unity Catalog voor gegevensbeheer van uitgaande gegevenstoegang. Bekijk Wat is Unity Catalog?

Filtericoon. Serverless controle van uitgaand verkeer

Configureer netwerkbeleid voor het beheren van serverloos uitgaand verkeer. Toegestane bestemmingen definiëren met behulp van IP-bereiken of FQDN's.

Zie Wat is serverloos egressbeheer?.

Koppelingspictogram. Serverloze Private Link (privé-eindpunten van NCC)

Biedt privéconnectiviteit van serverloze rekenkracht naar uw resources via Private Link. Serverloos gegevensverkeer blijft buiten het openbare internet.

Zie Privéconnectiviteit met Azure-resources configureren.

Klassieke rekenbasislijn

De klassieke rekenbasislijn wordt overgenomen van beheerde beveiliging. Er zijn geen extra basislijnonderdelen vereist, maar u kunt eventueel een externe firewall toevoegen om klassieke rekenuitgangen te inspecteren.

De basislijn bevat VNet-injectie, SCC (Secure Cluster Connectivity) en klassieke Private Link.

Note

Deze architectuur maakt geen gebruik van binnenkomende Private Link. Gebruikers hebben toegang tot de werkruimte via het openbare internet, beheerd door CBI-beleid. Als uw organisatie toegang tot een privéwerkruimte nodig heeft, zie de architectuur van de geïsoleerde omgeving, die inkomende toegang via Private Link of door een VPN afgeschermde toegang toevoegt.

Koppelingspictogram. Klassiek rekenvlak Private Link

Biedt privéconnectiviteit tussen uw VNet en het Azure Databricks besturingsvlak. REST API- en SCC-relayverkeer tussen clusters en het besturingsvlak blijven privé in plaats van het openbare internet te gebruiken.

Zie Configureer de privéconnectiviteit van het klassieke rekenvlak met Azure Databricks.

Pictogram Verbinding maken met pijlen. Door de gebruiker gedefinieerde routes

Configureer routering voor cloudservicetoegang om verkeer privé te houden en de kosten te verlagen.

UDR's configureren met servicetags voor Azure services. Zie door de gebruiker gedefinieerde route-instellingen voor Azure Databricks.

Schildpictogram. Externe firewall voor klassiek berekenen (optioneel)

Routeer klassieke rekenuitgangen via een externe firewall voor inspectie, logboekregistratie en beleidshandhaving. Vereist in geïsoleerde omgeving; hier optioneel.

Opties zijn Azure Firewall of een virtueel netwerkapparaat (NVA) van derden.

Warning

Azure Databricks besturingsvlak en SCC Relay-verbindingen maken gebruik van TLS met certificaatpinning. Schakel TLS-inspectie (ontsleutelen en opnieuw versleutelen) niet in voor verkeer tussen uw clusters en het Azure Databricks besturingsvlak. Dit veroorzaakt storingen in het cluster. Zie IP-adressen en -domeinen voor Azure Databricks services en assets voor vereiste eindpunten.

Implementation

Begin met een geïmplementeerde basislijn voor beheerde beveiliging . In de volgende fasen worden de besturingselementen voor inkomend en uitgaand verkeer toegevoegd waarmee deze architectuur wordt gedefinieerd.

Fase 1: Inkomend toegangsbeheer

Beleid voor inkomend verkeer op basis van context configureren

Configureer beleid voor inkomend verkeer op accountniveau (CBI) om de toegang tot werkruimten te beperken per netwerkbron, identiteit, verificatiemechanisme en toegangsbereik. Zie Toegangsbeheer op basis van context en Beleid voor inkomend verkeer beheren op basis van context.

IP-toegangslijsten op werkruimteniveau configureren (optioneel)

Configureer eventueel IP-toegangslijsten op werkruimteniveau naast CBI voor achterwaartse compatibiliteit of onderdrukkingen per werkruimte. Wanneer beide zijn geconfigureerd, moet een aanvraag door beide worden toegestaan. Zie IP-toegangslijsten configureren voor werkruimten.

IP-toegangslijsten op accountniveau configureren

Configureer IP-toegangslijsten op accountniveau om de toegang tot de accountconsole te beheren. Zie IP-toegangslijsten configureren voor de accountconsole.

IP-toegangslijsten op ontvangerniveau configureren

Als u OpenSharing Databricks-naar-Open-sharing gebruikt, configureer dan IP-toegangslijsten op ontvangersniveau voor elke ontvanger van de share. Zie Toegang voor Open Sharing-ontvangers beperken met IP-toegangslijsten (Databricks-naar-Open Sharing).

Documenteer geconfigureerde IP-bereiken

Documentatie onderhouden voor alle geconfigureerde IP-bereiken, inclusief reden, gekoppelde tickets en geplande beoordelingsdatums.

Toegangsgedrag controleren

Controleer het toegangsgedrag door aanmeldingen vanuit goedgekeurde IP-bereiken te testen en te bevestigen dat verbindingen vanuit niet-goedgekeurde IP-bereiken worden geblokkeerd.

Fase 2: Cloudservice-eindpunten

Door de gebruiker gedefinieerde routes configureren

Configureer door de gebruiker gedefinieerde routes (UDR's) met behulp van Azure servicetags, zodat verkeer naar Azure services uw gewenste privé- of gecontroleerde uitgaande paden volgt. Zie door de gebruiker gedefinieerde route-instellingen voor Azure Databricks.

Service- of privé-eindpunten configureren voor opslag

Configureer service-eindpunten of privé-eindpunten voor door de klant beheerde Azure opslagaccounts, indien nodig.

Fase 3: Serverloze uitgaande besturingselementen

Serverloos netwerkbeleid configureren

Configureer serverloze netwerkbeleidsregels om uitgaand verkeer zonder server te beperken tot goedgekeurde bestemmingen met behulp van IP-bereiken of FQDN's. Zie Wat is serverloos egressbeheer?.

NCC-privé-eindpunten configureren

Configureer NCC-privé-eindpunten voor privéconnectiviteit van serverloze berekeningen naar uw Azure resources. Zie Privéconnectiviteit met Azure-resources configureren.

Serverloze uitgaand verkeer testen

Test of serverless-workloads goedgekeurde bestemmingen kunnen bereiken en geen toegang hebben tot niet-goedgekeurde bestemmingen.

Fase 4 (optioneel): Externe firewall voor klassieke berekening

Een externe firewall implementeren

Implementeer Azure Firewall of een virtueel netwerkapparaat (NVA) van derden in een hub-VNet en koppel deze aan het VNet van de werkruimte.

Routeer uitgaand verkeer via de firewall met UDR’s

Configureer UDR's in de subnetten van de werkruimte met een standaardroute naar de firewall.

Firewallregels configureren zonder TLS-onderschepping

Configureer firewallregels zodanig dat de vereiste Azure Databricks-eindpunten worden toegestaan zonder TLS-interceptie voor control plane-verkeer en SCC-relayverkeer.

De Azure Databricks Terraform SRA biedt Infrastructure-as-Code-sjablonen waarmee deze implementatie wordt geautomatiseerd.

Validatie

Nadat u de architectuur hebt geïmplementeerd, voert u de volgende controles uit om te bevestigen dat het klassieke rekenvlakverkeer privé blijft en dat uw IP-toegangslijst de toegang tot werkruimten beperkt zoals geconfigureerd.

Cheque Verwacht resultaat
Werkruimte toegankelijk vanaf toegestane IP-adressen Yes
Werkruimte geblokkeerd voor niet-geautoriseerde IP-adressen Yes
Clusters starten met SCC Ja, geen openbare IP-adressen
Gegevenstoegang via privéverbindingen Yes
Pakketinstallatie vanuit privé-artefactrepositories Yes

Troubleshooting

Als een validatiecontrole mislukt of als een workload onverwacht werkt, gebruikt u de volgende tabel om veelvoorkomende problemen te diagnosticeren.

Issue Oorzaak Resolutie / Besluit
Kan geen toegang krijgen tot de werkruimte IP niet in toegangslijst IP toevoegen aan de lijst met werkruimten
Cluster kan niet opstarten Onjuiste configuratie van routering of eindpunt Routetabellen en privé-eindpuntconnectiviteit controleren
S3/ADLS-toegang mislukt Probleem met VPC-eindpunt of routeringsprobleem Eindpuntconfiguratie en beveiligingsgroepen controleren
Installatie van pakket mislukt Opslagplaats voor privéartefacten is niet bereikbaar Controleer de configuratie van VNet-eindpunten en DNS-omzetting voor uw artefactopslagplaats
Onregelmatige toegangsproblemen Dynamische IP-adressen Gebruik een VPN met een statisch uitgaand IP-adres of verruim de IP-bereiken

Doorlopend onderhoud

  • IP-toegangslijstbeheer: controleer maandelijks, voeg nieuwe locaties toe, verwijder verouderde bereiken.
  • Eindpuntbewaking: houd de status van privé-eindpunten en kosten voor gegevensoverdracht bij.
  • Beheer van artefactopslagplaats: onderhoud privépakketspiegels en bewaak beschikbaarheid.
  • Gebruikersondersteuning: onderhoudsproces voor problemen met IP-toegang.

Vorige en volgende stappen

Architecture Wanneer moet u kiezen
Beheerde beveiliging Vorige stap. Als IP-gebaseerde toegangscontrole, VPC-eindpunten en serverloze uitgaandeverkeerscontroles verder gaan dan wat uw workloads vereisen. De basislijn bevat door de klant beheerde VNet en SCC, met optionele klassieke Private Link.
Geïsoleerde omgeving Volgende stap. Als IP-gebaseerde toegangscontrole onvoldoende blijkt, regelgeving toegang tot een privéwerkruimte vereist, of compliance het voorkomen van data-exfiltratie vereist.
  • Last updated on