Toegang tussen werkruimten

Toegangsbeheer tussen werkruimten voor serverloos netwerkverkeer tussen Azure Databricks-werkruimten. Accountbeheerders gebruiken dit om te bepalen welke werkruimten een specifieke werkruimte kunnen bereiken en naar welke werkruimten de serverloze workloads van die werkruimte verkeer kunnen sturen. Hierdoor kun je werkruimtes verbinden die data of diensten moeten delen, terwijl alle andere werkplekken geïsoleerd blijven.

Important

Toegang tussen werkruimten is in bèta.

Je stelt toegang tussen werkruimten in het netwerkbeleid in dat aan een werkruimte is toegewezen. Elk beleid regelt het verkeer in twee richtingen:

Verkeer tussen twee werkruimtes stroomt alleen wanneer beide beleidsregels overeenkomen: een verzoek is alleen toegestaan wanneer de uitgangsregels van de bronwerkruimte de bestemming toestaan en de ingangsregels van de bestemmingswerkruimte de bron toestaan. Configureer beide zijden voor elk werkruimtepaar dat moet communiceren.

Requirements

  • U moet een accountbeheerder zijn.
  • Je Azure Databricks-account en werkruimtes moeten op de Premium-laag staan.

Hoe toegang tussen werkruimtes werkt

Toegang tussen werkruimten gebruikt hetzelfde netwerkbeleid als contextgebaseerde inkomende toegangscontrole en serverless uitgaande toegangscontrole. Cross-workspace regels identificeren elke werkruimte aan de hand van zijn numerieke werkruimte-ID:

  • Aan de ingress-zijde fungeren cross-workspace regels als een extra netwerkbron. Ze gebruiken dezelfde identiteiten en dezelfde toestaan- en weigeringsregels als andere netwerkbronnen in het contextgebaseerde ingressbeleid. Zie Netwerkbronnen.
  • Aan de uitgangszijde vermeld je de bestemmingswerkruimtes die je workloads mogen bereiken. De uitgangskant is alleen een toelaatlijst.

Verkeer op dezelfde werkruimte is altijd toegestaan en wordt niet beïnvloed door deze regels. De bron- en bestemmingswerkruimtes kunnen in dezelfde of verschillende Azure Databricks-accounts zitten.

Limitations

  • Toegang tussen werkruimten geldt alleen voor serverloze workloads. Het regelt geen klassiek rekenverkeer.
  • Cross-cloud toegang wordt niet ondersteund.
  • Toegang tot Lakebase tussen regio's en workspaces wordt niet ondersteund.

Werkruimteoverschrijdende inkomende toegang configureren

Werkruimteoverschrijdend toegangsbeheer voor inkomend verkeer, waarmee wordt bepaald welke bronwerkruimten een werkruimte via serverless-verkeer kunnen bereiken. Configureer het op het contextgebaseerde ingressbeleid van de werkruimte. Raadpleeg het context-gebaseerde toegangsbeheer voor een overzicht van context-gebaseerde toegang.

Op het tabblad Ingang van een netwerkbeleid bepaalt een selectievakje Compatibiliteitsmodus of het beleid cross-workspace ingress reguleert. Beleidsregels staan standaard in Compatibiliteitsmodus :

  • Wanneer Compatibiliteitsmodus is geselecteerd, beheert het beleid de ingang tussen werkruimtes niet en behoudt het het huidige gedrag van de werkruimte; de vooraf bestaande netwerkcontroles zijn van toepassing.
  • Wanneer je Compatibiliteitsmodus uitschakelt, maakt het beleid de toegangsmodi tussen werkruimten en de editor voor toelatings- en weigeringsregels beschikbaar.

Als u ingresstoegang tussen werkruimten in de accountconsole wilt configureren:

  1. Klik in de accountconsole op Beveiliging.
  2. Klik op het tabblad Netwerken en open vervolgens het netwerkbeleid dat je wilt bewerken.
  3. Selecteer het Ingress tabblad.
  4. Maak het vakje compatibiliteitsmodus schoon.
  5. Selecteer een toegangsmodus tussen werkruimten:
    • Toegang toestaan vanaf alle serverless source workspaces in elk account (FULL_ACCESS): Elke serverless source workspace kan deze workspace bereiken.
    • Beperk toegang tot specifieke bronwerkruimtes (RESTRICTED_ACCESS): Toegang wordt standaard geweigerd. Een verzoek is alleen toegestaan als het overeenkomt met een toestaanregel en wordt geweigerd wanneer het overeenkomt met een weigerregel.
  6. Voor Toegang beperken tot specifieke bronwerkruimtes voeg je toestaan of weigeren regels toe die overeenkomen met een lijst van geselecteerde werkruimte-ID's. Om een bronwerkruimte in een ander account te koppelen, plak je de numerieke werkruimte-ID en voeg je deze toe.
  7. Klik op Opslaan.

Configureer uitgaande toegang tussen werkruimten

Toegangsbeheer voor uitgaand verkeer tussen werkruimten bepaalt naar welke Azure Databricks-werkruimten uw serverloze workloads verkeer kunnen verzenden. Configureer het op het serverless egress netwerkbeleid van de werkruimte. Voor een overzicht van serverless egress control, zie Wat is serverless egress control?.

De uitgaande kant gedraagt zich als een toelaatlijst. Je geeft de doelwerkruimten op die je workloads kunnen bereiken, en alle andere Azure Databricks-werkruimten blijven geblokkeerd zolang het beleid de toegang beperkt. Er is geen egress deny-regel voor Azure Databricks bestemmingen.

Toegestane bestemmingen maken deel uit van de uitgangsregels van het netwerkbeleid, dus je configureert ze in dezelfde Network Access Policy-editor die ook de andere uitgaande toegang van het beleid regelt. Om een werkruimte in een ander account te refereren, gebruik je de numerieke werkruimte-ID.

Om werkruimteoverstijgende bestemmingen toe te staan in de accountconsole:

Open het netwerkbeleid

  1. Klik in de accountconsole op Beveiliging.
  2. Klik op het tabblad Netwerken en open vervolgens het netwerkbeleid dat je wilt bewerken.
  3. Selecteer het tabblad Uitgang .

Beperk toegang tot uitgang

Selecteer onder netwerktoegangBeperkte toegang tot specifieke bestemmingen. Het gedeelte Toegestane Databricks-werkruimtebestemmingen verschijnt alleen wanneer de toegang beperkt is. Als je selecteert Toegang toestaan tot alle bestemmingen, kunnen serverless workloads elke bestemming bereiken en zijn cross-workspace regels niet van toepassing.

Voeg de bestemmingswerkruimtes toe

  1. Klik in de sectie Toegestane Databricks-werkruimtebestemmingen op Werkruimte toevoegen.
  2. Gebruik in het menu 'Werkruimte toevoegen ' de Workspaces-kiezer om de werkruimtes te selecteren die je toestaat. Om een werkruimte uit een ander account te koppelen, plak je de numerieke werkruimte-ID en voeg je die toe.
  3. Klik op Toevoegen.

De werkruimtes die je toevoegt verschijnen in een tabel die volgens Workspace-ID wordt weergegeven. Om een bestemming te verwijderen, gebruik je de verwijderactie op de rij daarvan.

Het beleid opslaan

Stel de modus voor beleidshandhaving in en sla vervolgens het beleid op. In de proefloopmodus worden beleidsovertredingen geregistreerd maar niet geblokkeerd, waardoor je kunt bevestigen dat elke vereiste bestemming is toegestaan voordat je het beleid afdwingt.

Je kunt ook toegestane Azure Databricks-bestemmingen configureren met de netwerkbeleid REST API. Zie Het beheren van netwerkbeleid voor serverloze uitgaande besturing.

Volgende stappen 

  • Last updated on