Gebruikers en Azure Databricks-netwerking

In deze handleiding worden functies geïntroduceerd voor het aanpassen van netwerktoegang tussen gebruikers en hun Azure Databricks werkruimten en resources op accountniveau.

Standaard kunnen gebruikers en toepassingen vanaf elk IP-adres verbinding maken met Azure Databricks. Gebruikers hebben mogelijk toegang tot kritieke gegevensbronnen met behulp van Azure Databricks. Als de referenties van een gebruiker worden aangetast via phishing of een vergelijkbare aanval, vermindert het beveiligen van de netwerktoegang het risico van een accountovername aanzienlijk. Configuraties zoals privéconnectiviteit, IP-toegangslijsten en firewalls helpen kritieke gegevens veilig te houden.

U kunt ook functies voor verificatie en toegangsbeheer configureren om de referenties van uw gebruikers te beveiligen. Zie Verificatie en toegangsbeheer.

De functies op deze pagina beveiligen hoe gebruikers en applicaties verbinding maken met Azure Databricks, een van de drie verbindingspunten in de Azure Databricks netwerkarchitectuur.

Zie Overzicht van de netwerkreferentiearchitectuur.

Privéconnectiviteit

Tussen Azure Databricks-gebruikers en het besturingsvlak biedt Private Link krachtige besturingselementen waarmee de bron voor binnenkomende aanvragen wordt beperkt. Als uw organisatie verkeer routeert via een Azure-omgeving, kunt u Private Link gebruiken om ervoor te zorgen dat de communicatie tussen gebruikers en het Databricks-besturingsvlak geen openbare IP-adressen doorkruist. Zie Configureer inbound Private Link voor werkruimtes.

Toegangsbeheer op basis van context

Contextgebaseerd toegangsbeheer maakt gebruik van voor het account geconfigureerde beleidsregels die identiteit, aanvraagtype en netwerkbron combineren om te bepalen wie toegang heeft tot je werkruimten en resources op accountniveau. Beleidsregels op werkruimteniveau regelen de toegang tot werkruimtes, en één enkel accountbeleid (account-policy) regelt de toegang tot bronnen op accountniveau, zoals de accountconsole.

Voor de toegangstypen, netwerkbronnen en identiteiten die je kunt vergelijken, samen met handhavingsmodi en hoe ingress interacteert met IP-toegangslijsten en privéconnectiviteit, zie Context-based ingress control.

Als u beleidsregels wilt configureren, raadpleeg dan Contextgebaseerde ingress-beleidsregels voor werkruimten beheren en Contextgebaseerde ingress-beleidsregels voor accounts beheren.

IP-toegangslijsten

Verificatie bewijst de gebruikersidentiteit, maar dwingt de netwerklocatie van de gebruikers niet af. Toegang tot een cloudservice vanuit een onbeveiligd netwerk vormt beveiligingsrisico's, met name wanneer de gebruiker geautoriseerde toegang heeft tot gevoelige of persoonlijke gegevens. Met behulp van IP-toegangslijsten kunt u Azure Databricks-werkruimten configureren, zodat gebruikers alleen via bestaande netwerken verbinding maken met de service met een beveiligde perimeter.

U kunt ook IP-toegangslijsten gebruiken om de toegang tot resources op accountniveau te beheren.

Beheerders kunnen de IP-adressen opgeven die toegang hebben tot Azure Databricks. U kunt ook IP-adressen of subnetten opgeven die moeten worden geblokkeerd. Zie IP-toegangslijsten beherenvoor meer informatie.

U kunt Private Link ook gebruiken om alle openbare internettoegang tot een Azure Databricks-werkruimte te blokkeren.

Firewallregels

Veel organisaties gebruiken firewall om verkeer te blokkeren op basis van domeinnamen. U moet een lijst met Azure Databricks-domeinnamen toestaan om toegang tot Azure Databricks-resources te garanderen. Zie Firewallregels voor domeinnamen configurerenvoor meer informatie.

Azure Databricks voert ook hostheadervalidatie uit om ervoor te zorgen dat aanvragen geautoriseerde Azure Databricks-domeinen gebruiken, zoals .azuredatabricks.net. Aanvragen die gebruikmaken van domeinen buiten het Azure Databricks-netwerk, worden geblokkeerd. Deze beveiligingsmaatregel beschermt tegen mogelijke AANVALLEN met HTTP-hostheaders.