Configureer inkomende Private Link voor werkruimtes

Deze pagina geeft instructies om inkomende privé-connectiviteit tussen gebruikers en hun Azure Databricks-werkruimtes te configureren.

• Als u de privéconnectiviteit van het klassieke rekenvlak met Azure Databricks wilt inschakelen, raadpleegt u De privéconnectiviteit van het klassieke rekenvlak configureren met Azure Databricks.
• Zie Privéconnectiviteit met Azure-resources configureren om verbinding te maken vanaf het serverloze rekenvlak met Azure-resources.

Waarom een binnenkomende verbinding kiezen?

Of u nu serverloos of klassiek rekenproces gebruikt, gebruikers moeten verbinding maken met Azure Databricks. Organisaties kiezen ervoor om om verschillende redenen verbinding te maken met Azure Databricks, waaronder de volgende:

• Verbeterde beveiliging: Door alle toegang tot privé-eindpunten te beperken en openbare toegang uit te schakelen, minimaliseert u het kwetsbaarheid voor aanvallen en controleert u of alle gebruikersinteracties met Azure Databricks plaatsvinden via een beveiligd privénetwerk.
• Nalevingsvereisten: veel organisaties hebben strikte nalevingsmandaten die vereisen dat al het gegevens- en beheervlakverkeer binnen hun grenzen van het privénetwerk blijft, zelfs voor SaaS-services zoals Azure Databricks.
• Vereenvoudigde netwerkarchitectuur (voor specifieke gebruiksvoorbeelden): Als u alleen serverloze berekeningen gebruikt of als uw primaire interactie met Azure Databricks via de webgebruikersinterface of REST API's werkt en u geen directe privéverbinding met gegevensbronnen nodig hebt vanuit Azure Databricks (waarvoor een klassiek rekenvlak is vereist Private Link verbinding), een installatie met alleen inkomend verkeer vereenvoudigt het algehele netwerkontwerp.
• Preventie van gegevensexfiltratie: Door openbare toegang te voorkomen en al het verkeer af te dwingen via privé-eindpunten, vermindert u het risico op gegevensexfiltratie, zodat verkeer alleen toegankelijk is vanuit geverifieerde netwerkomgevingen.

Connectiviteitsmodel

U kunt privéconnectiviteit op twee manieren configureren:

• Geen openbare toegang: met deze configuratie wordt alle openbare toegang tot de werkruimte uitgeschakeld. Alle gebruikersverkeer moet afkomstig zijn van een VNet dat is verbonden via een privé-eindpunt. Dit model is vereist voor volledige privatisering van verkeer. Voor volledige privatisering van netwerkverkeer hebt u ook een klassieke private link-verbinding met de computatielaag nodig. Zie Private Link-concepten.
• Hybride toegang: Private Link is actief, maar openbare toegang blijft ingeschakeld met toegangsbeheer op basis van context en IP-toegangslijsten. Met besturingselementen voor inkomend verkeer op basis van context kunt u de toegang beperken op basis van identiteit, aanvraagtype en netwerkbron. Hierdoor kunt u veilig toegang verlenen vanuit vertrouwde openbare bronnen (bijvoorbeeld statische zakelijke IP-adressen), terwijl u Private Link nog steeds gebruikt voor privéconnectiviteit.

In deze handleiding wordt uitgelegd hoe u het hybride toegangsmodel implementeert. We bereiken dit met behulp van een standaard hub-and-spoke-netwerktopologie.

Overzicht van architectuur

Dit model maakt gebruik van het transit-VNet:

• Transit VNet: dit is uw centrale virtuele netwerk met alle privé-eindpunten die nodig zijn voor clienttoegang tot werkruimten en browserverificatie. Uw werkruimte voor browserverificatie maakt ook verbinding met dit VNet.

Voordat u begint

Bekijk de volgende vereisten en aanbevelingen:

Requirements

• De werkruimte bevindt zich in het Premium-abonnement.
• Uw werkruimte maakt gebruik van VNet-injectie. Zie Azure Databricks implementeren in uw virtuele Azure-netwerk (VNet-injectie)
• U moet Azure-machtigingen hebben om privé-eindpunten te maken en DNS-records te beheren.

Netwerkconfiguratie

• Een transit-VNet dat is geconfigureerd voor het volgende:
  • Het fungeert als het primaire transitpunt voor alle gebruikers-/clientverkeer dat verbinding maakt met uw Azure-netwerk.
  • Het biedt gecentraliseerde connectiviteit voor on-premises of andere externe netwerken.
  • Het beheert gedeelde services en bevat de primaire route voor uitgaand internetverkeer.
• Uw privé-DNS-zones worden beheerd door Azure DNS.

Beste praktijken

Azure Databricks raadt het volgende aan voor een flexibele en beheerbare installatie:

• Architectuur: Uw netwerk moet de Microsoft aanbevolen hub-spoke-architectuur volgen. Zie de hub-spoke-netwerktopologie in Azure.
• Geïsoleerde verificatiewerkruimte: Maak voor verbeterde tolerantie een afzonderlijke werkruimte voor browserverificatie in uw transit-VNet. Deze toegewezen werkruimte moet het privé-eindpunt voor browserverificatie hosten, waardoor een single point of failure wordt voorkomen als andere werkruimten worden verwijderd. Zie Een browser_authentication werkruimte maken.

Privéconnectiviteit configureren voor een bestaande werkruimte

Voordat u begint, moet u alle rekenresources, zoals clusters, pools of klassieke SQL-warehouses, stoppen. Er mogen geen rekenresources van de werkruimte actief zijn, anders mislukt de upgradepoging. Azure Databricks raadt u aan de timing van de upgrade te plannen voor downtime.

1. Selecteer Compute op de pagina Werkruimten.
2. Selecteer elk actief rekencluster en klik rechtsboven op Beëindigen.

Controleer VNet-geïnjecteerde werkruimte met publieke toegang ingeschakeld

1. Ga naar uw Azure Databricks-werkruimte in Azure Portal.
2. Controleer in de sectie Werkruimteoverzicht of uw Azure Databricks-werkruimte gebruikmaakt van uw eigen virtuele netwerk:
   1. Selecteer onder Instellingen het tabblad Netwerken . Bevestig de volgende instellingen:
      1. Beveiligde clusterconnectiviteit (geen openbaar IP-adres) is ingeschakeld.
      2. Openbare netwerktoegang toestaan is ingeschakeld.

Maak een privé-endpoint aan databricks_ui_api

1. Selecteer op het tabblad Netwerken van uw werkruimte privé-eindpuntverbindingen.
2. Klik op Privé-eindpunt.
3. Selecteer de resourcegroep voor het eindpunt en geef een naam op zoals my-workspace-fe-pe. Controleer of de regio overeenkomt met uw werkruimte.
4. Klik op Volgende: Resource.
5. Stel doelsubresource in op databricks_ui_api.
6. Klik op Volgende: Virtueel netwerk.
7. Selecteer uw transit-VNet. Uw transit-VNet is een afzonderlijk, bestaand VNet in uw netwerkarchitectuur waarmee uitgaand verkeer wordt beheerd en beveiligd, vaak met een centrale firewall.
8. Selecteer het subnet dat als host fungeert voor de privé-eindpunten.
9. Klik op Volgende en controleer of Integreren met privé-DNS-zone is ingesteld op Ja. Het zou de privatelink.azuredatabricks.net zone automatisch moeten selecteren.

Maak een browser_authentication werkruimte aan

Maak een privé-eindpunt voor browserauthenticatie ter ondersteuning van Single Sign-On via uw privénetwerkpad. Azure Databricks raadt u aan dit eindpunt te hosten op een toegewezen privéwerkruimte voor webverificatie.

Een brongroep maken

1. Navigeer in Azure Portal naar resourcegroepen en selecteer deze.
2. Klik op + Maken.
3. Geef een naam op voor de resourcegroep, zoals web-auth-rg-eastus.
4. Selecteer voor Regio dezelfde Azure-regio waarin uw Databricks-productiewerkruimten worden geïmplementeerd.
5. Klik Controleren en maken en vervolgens Maken.

Een VNet maken

1. Zoek en selecteer virtuele netwerken in Azure Portal.
2. Klik op + Maken.
3. Selecteer op het tabblad Basisinformatie de resourcegroep die u zojuist hebt gemaakt en geef het VNet een beschrijvende naam, zoals web-auth-vnet-eastus.
4. Controleer of de regio overeenkomt met uw resourcegroep.
5. Definieer op het tabblad IP-adressen bijvoorbeeld een IP-adresruimte voor het VNet 10.20.0.0/16. U wordt ook gevraagd om een eerste subnet te maken.
6. Selecteer Beoordelen en maken en vervolgens Maken.

De privéwerkruimte voor webverificatie maken en beveiligen

1. Zoek en selecteer Azure Databricks in Azure Portal. Klik op + Maken.
2. Configureer op het tabblad Basisbeginselen het volgende:
   1. Selecteer de resourcegroep die u zojuist hebt gemaakt.
   2. Geef de werkruimte een beschrijvende naam, zoals WEB_AUTH_DO_NOT_DELETE_<region>.
   3. Selecteer dezelfde regio als uw resourcegroep en VNet.
3. Klik op Volgende:Netwerken en configureer het volgende:
   1. Azure Databricks-werkruimte implementeren met Secure Cluster Connectivity (geen openbaar IP): selecteer Ja.
   2. Azure Databricks-werkruimte implementeren in uw eigen virtuele netwerk (VNet): Selecteer Ja.
   3. Virtueel netwerk: selecteer het VNet dat u zojuist hebt gemaakt. U wordt gevraagd subnetbereiken te definiëren.
   4. Openbare netwerktoegang: selecteer Uitgeschakeld.
   5. Vereiste NSG-regels: Selecteer NoAzureDatabricksRules.
4. Klik Controleren en maken en vervolgens Maken.

Nadat u de werkruimte hebt gemaakt, beveiligt u deze tegen onbedoelde verwijdering.

1. Navigeer in Azure Portal naar de werkruimte die u zojuist hebt gemaakt.
2. Ga naar Instellingen en selecteer Vergrendelingen.
3. Klik op + Toevoegen.
4. Stel het vergrendelingstype in op Verwijderen en geef een beschrijvende vergrendelingsnaam op.
5. Klik op OK.

Maak het privé-eindpunt voor browser_authentication aan

Nadat u de werkruimte hebt gemaakt, moet u het browser_authentication privé-eindpunt maken om het te verbinden met uw transit-VNet.

1. Selecteer op het tabblad Netwerken van de webauth-werkruimte de optie Privé-eindpuntverbindingen.
2. Klik op Privé-eindpunt.
3. Selecteer de resourcegroep voor het eindpunt en geef een naam op zoals web-auth-browser-auth-pe. Controleer of de regio overeenkomt met uw werkruimte.
4. Klik op Volgende: Resource.
5. Stel doelsubresource in op browser_authentication.
6. Klik op Volgende: Virtueel netwerk.
7. Selecteer je transit-VNet (dezelfde VNet die wordt gebruikt voor het databricks_ui_api private eindpunt).
8. Selecteer het subnet dat als host fungeert voor de privé-eindpunten.
9. Klik op Volgende en controleer of Integreren met privé-DNS-zone is ingesteld op Ja. Het zou de privatelink.azuredatabricks.net zone automatisch moeten selecteren.
10. Voltooi het maken van het eindpunt.

Configureer en verifieer DNS

Nadat u de privé-eindpunten hebt geïmplementeerd, moet u controleren of DNS azure Databricks-URL's correct heeft omgezet in hun nieuwe privé-IP-adressen.

1. Verifieer records van privé-DNS-gebieden:
   1. Zoek en navigeer in Azure Portal naar de privé-DNS-zone met de naam privatelink.azuredatabricks.net.
   2. Controleer of de volgende A records bestaan en wijs de privé-IP-adressen van uw eindpunten aan:
      1. Werkruimte-UI/API-record:
         • Naam: uw unieke werkruimte-id, zoals adb-xxxxxxxxxxxxxxxx.x
         • Waarde: het privé-IP-adres van uw databricks_ui_api privé-eindpunt.
      2. Record voor browserverificatie:
         • Naam: Kies een beschrijvende naam, zoals pl-auth.<your_region>.
         • Waarde: het privé-IP-adres van uw browser_authentication privé-eindpunt.

Verifieer de toegang tot het privénetwerk

Controleer of u toegang hebt tot de werkruimte via uw privénetwerkverbinding.

Vanuit een verbonden netwerk

Als uw on-premises netwerk al via VPN of ExpressRoute verbinding maakt met uw Azure VNet, is de test eenvoudig:

• Open vanaf uw computer een webbrowser en ga rechtstreeks naar de URL van uw Azure Databricks-werkruimte om u aan te melden. Een geslaagde aanmelding bevestigt dat uw privéverbinding werkt.

Een test-VM gebruiken

Als u geen toegang hebt tot het werkruimte-VNet vanaf uw huidige locatie, maakt u een tijdelijke virtuele machine (een 'jump box') om te testen vanuit:

1. Een virtuele machine maken: maak in de Azure-portal een Windows virtuele machine. Plaats het in een subnet met behulp van hetzelfde transit-VNet waar u uw binnenkomende privé-eindpunt hebt geconfigureerd.
2. Verbinding maken met de virtuele machine: gebruik een Extern bureaublad-client om verbinding te maken met uw nieuwe VIRTUELE machine.
3. Test vanaf de VM: Nadat u verbinding hebt gemaakt met de virtuele machine, opent u een webbrowser, gaat u naar de Azure-portal en zoekt u uw Azure Databricks werkruimte.
4. Werkruimte starten: klik op Werkruimte starten. Een geslaagde aanmelding bevestigt dat toegang vanuit uw privé-VNet correct werkt.

DNS verifiëren met nslookup

1. Maak verbinding met een virtuele machine in uw geconfigureerde VNet of met uw on-premises netwerk via VPN of Azure ExpressRoute. Uw computer moet de privé-DNS van Azure kunnen gebruiken.
2. Open een opdrachtprompt of terminal en gebruik nslookup om de DNS-resolutie te controleren.

# Verify the workspace URL resolves to a private IP
nslookup adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

# Expected output:
# Server:  <your-dns-server>
# Address: <your-dns-server-ip>
#
# Name:    adb-xxxxxxxxxxxxxxxx.x.privatelink.azuredatabricks.net
# Address: 10.10.1.4  <-- This should be the private IP of your 'databricks_ui_api' endpoint
# Aliases: adb-xxxxxxxxxxxxxxxx.x.azuredatabricks.net

Maak een privé-endpoint aan general_access

Maak een privé-endpoint aan voor aangepaste URL-toegang tot je werkruimte. Deze stap is alleen nodig als je bijvoorbeeld met je aangepaste URL toegang wilt krijgen tot je werkruimte. <my-custom-account-name>.azuredatabricks.net

Bereid VNet en subnet voor

Bereid een VNet en subnet voor om het privé-eindpunt te hosten. Je kunt een nieuwe VNet aanmaken of een bestaande hergebruiken, zoals je workspace-VNet.

1. Zie Maak een Azure Virtual Network om een nieuw VNet te maken.
2. Zie Een subnet toevoegen, wijzigen of verwijderen als u een subnet van een virtueel netwerk wilt toevoegen.
3. Controleer of het netwerkbeleid voor privé-eindpunten is uitgeschakeld in uw subnet. Dit is de standaardinstelling. Zie Netwerkbeleid voor privé-eindpunten beheren voor meer informatie.

Als u een bestaand VNet van een werkruimte opnieuw gebruikt, moet u een ander subnet gebruiken of maken dan het subnet dat door de werkruimte wordt gebruikt. Als het VNet dat als host fungeert voor het privé-eindpunt verschilt van het VNet dat verkeer verzendt, configureert u VNet-peering of -connectiviteit. Zie VNet-connectiviteit controleren.

Implementeer een privé-eindpunt

1. Zoek in Azure Portal naar privé-eindpunten in Microsoft Marketplace en selecteer Maken.
2. Voer een naam en netwerkinterfacenaam in en stel de regio in zodat deze overeenkomt met de VNet-regio van uw werkruimte.
3. Klik op Volgende: Resource.
4. Selecteer Verbinding maken met een Azure-resource met behulp van een resource-id of alias.
5. Voer in het veld Resource-id of alias de Private Link Service-resource-id in voor services voor general_access uw regio. Zie Private Link Service-resource-id's voor prestatie-intensieve services en algemene toegang voor de lijst met resource-id's.
6. Voer in het veld Doelsubresource het volgende in general_access.
7. Klik op Volgende: Virtueel netwerk.
8. Selecteer het virtuele netwerk en subnet dat u hebt voorbereid in de sectie VNet en subnet voorbereiden .
9. Klik op Volgende: DNS.
10. Laat Integreren met privé-DNS-zone ingesteld op Nee. Je configureert DNS later handmatig.
11. Klik op Volgende: Tags.
12. Klik op Volgende: Controleren enmaken.
13. Controleer de configuratie en klik op Maken om het privé-eindpunt te implementeren.
14. Nadat de implementatie is voltooid, registreert u deze waarden:
    • Naam van privé-eindpunt: de naam van uw privé-eindpunt.
    • Resource-GUID: Ga naar de privé-eindpuntresource, klik op JSON-weergave en zoek de waarde in properties.resourceGuid. Dit is vereist wanneer u uw privé-eindpunt registreert.
    • Privé-IP-adres: zoek in de JSON-weergave het IP-adres in properties.customDnsConfigs[0].ipAddresses[0]. Dit is vereist wanneer u DNS configureert.

Uw privé-eindpunt registreren

Nadat u uw privé-eindpunt in Azure Portal hebt gemaakt, registreert u dit bij Azure Databricks.

1. Ga naar de Azure Databricks accountconsole.
2. Klik in de zijbalk op Beveiliging>Netwerken>Eindpunten>Eindpunt registreren.

Voeg je private endpoint toe aan de toelatingslijst voor werkruimtes met contextgebaseerde inkomende toegang

1. Klik in de accountconsole op Beveiliging in de zijbalk.
2. Klik in de zijbalk op contextgebaseerde controle van inkomend en uitgaand verkeer.
3. Klik onder beleidsregels op werkruimteniveau op Nieuw werkruimtebeleid.
4. Definieer onder Ingress > Private Network Access je privétoegangsbeleid.
   1. Standaard zijn alle geregistreerde eindpunten toegestaan: Toegang toestaan vanaf alle privé-eindpunten. Als dit acceptabel is, ga dan door naar de volgende stap. Deze standaard omvat alleen de eerste 200 geregistreerde private eindpunten; Als je polis meer vereist, neem dan contact op met je accountteam voor een verhoging.
   2. Als je specifieke geregistreerde endpoints wilt toestaan terwijl je alle andere endpoints weigert, haal dan het vinkje 'Toestaan toegang van alle private endpoints ' uit en voeg een toestaanregel toe.
      1. Selecteer de identiteiten en werkruimtebestemmingen waar je toegang toe wilt geven (standaard zijn alle identiteiten en bestemmingen toegestaan).
      2. Voor Brontype selecteer je Geselecteerde privé-eindpunten en selecteer je de privé-eindpunt(en) voor algemene toegang die je hebt geregistreerd. De regio van dit privé-eindpunt hoeft niet overeen te komen met de regio van je werkruimte. Een algemeen toegangspunt in elke regio kan werkruimtes in elke regio bedienen.
      3. Klik op Bevestigen.
      4. Je kunt ook Deny-regels toevoegen aan je polis, die uitzonderingen op je toestemmingsregels definiëren.
5. Wanneer je klaar bent met het configureren van je private access policy, kun je ook je public access-beleid configureren in Ingress > Public Network Access. Je kunt alle openbare IP-toegang uitschakelen door Toestaan toegang van alle publieke IP's uit te vinken. Azure Databricks raadt aan om publieke toegang ingeschakeld te houden tijdens het testen van je DNS-configuratie, en deze vervolgens uit te schakelen nadat DNS is vastgesteld om exclusieve private connectiviteit af te dwingen.
6. Test uw ingress-beleid eerst in de modus Droog uitvoeren voordat u het inschakelt op Afgedwongen. Weigeringen van toegang in de droogloopmodus worden in de system.access.inbound_network systeemtabel geregistreerd, maar blokkeren de toegang niet.
7. Zorg ervoor dat je Egress-beleid correct is.
8. Koppel je netwerkbeleid aan je werkruimte(s). Werkruimtes waarvoor dit algemene toegangseindpunt niet op de toelatingslijst staat, zijn niet toegankelijk via je aangepaste URL.
9. Sla je netwerkbeleid op. Updates van contextgebaseerd beleid voor inkomend verkeer worden binnen minder dan 10 minuten van kracht.

Configureer DNS voor het algemene toegangspunt

Nadat je privé-endpoint is geregistreerd en toegestaan, configureer je DNS zodat het verkeer van de werkruimte via het private endpoint via jouw eigen domein gaat. <my-custom-account-name>.azuredatabricks.net

1. Maak een Azure privé-DNS-zone met de naam <my-custom-account-name>.azuredatabricks.net. Als je al een general_access privé-endpoint hebt geconfigureerd voor inkomende Private Link naar je accountniveau-resources (zie Configure inbound Private Link for account-level resources), hergebruik dan de bestaande <my-custom-account-name>.azuredatabricks.net zone. Zie Maak een Azure privé-DNS-zone met behulp van de Azure-portal voor nieuwe zones.
2. Koppel de privé-DNS-zone aan het VNet dat als host fungeert voor uw privé-eindpunt. Zie Het virtuele netwerk koppelen.

DNS A-record maken

1. Ga naar uw nieuwe privé-DNS-zone.
2. Selecteer het tabblad Recordsets onder DNS-beheer.
3. Klik op Toevoegen om een recordset toe te voegen.
4. Configureer het A-record:
   • Naam: @
   • Type: A
   • IP-adres: Het privé-IP-adres van je privé-endpoint.
5. Klik op OK om de record op te slaan.

DNS-resolutie verifiëren

Controleer vanaf een computer in uw VNet of vanuit een werkruimtetaak die is gekoppeld aan uw privé-DNS-zone of dat DNS-query's worden omgezet in het IP-adres van het privé-eindpunt:

nslookup <my-custom-account-name>.azuredatabricks.net

Of gebruik dig:

dig <my-custom-account-name>.azuredatabricks.net

Beide opdrachten retourneren het privé-IP-adres van uw privé-eindpunt.

Verifieer de VNet-connectiviteit

Als het VNet dat verkeer genereert verschilt van het VNet dat als host fungeert voor het privé-eindpunt, configureert u VNet-peering of -connectiviteit ertussen. Zie Azure DNS-integratiescenario's voor privé-eindpunten voor gedetailleerde richtlijnen.

Aangepaste DNS-configuratie

Wanneer u een privé-inkomende eindpunt gebruikt met uw eigen aangepaste DNS, moet u controleren of zowel de werkruimte-URL als de SSO (single sign-on) authenticatie-URL's correct worden opgelost naar het IP-adres van het privé-eindpunt.

Aanbevolen: Voorwaardelijk doorsturen

De meest betrouwbare methode is het configureren van uw DNS-server voor het doorsturen van query's voor alle Databricks-domeinen naar de interne DNS van Azure.

1. Stel voorwaardelijk doorsturen in voor de volgende domeinen naar uw Azure DNS-server:
   • *.azuredatabricks.net
   • *.privatelink.azuredatabricks.net
   • *.databricksapps.com
   • Uw aangepaste URL: <my-custom-account-name>.azuredatabricks.net
2. Controleer of uw VNet is gekoppeld aan de privé-DNS-zone van Azure.

Hierdoor kan Azure automatisch alle benodigde hostnamen, inclusief SSO- en werkruimte-URL's, oplossen naar het IP-adres van uw privé-eindpunt.

Alternatief: Handmatige A Records

Als voorwaardelijk doorsturen geen optie is, moet u handmatig DNS-records A maken.

1. Werkruimte-URL: Maak een A-recordtoewijzing die uw URL per werkruimte, zoals adb-1111111111111.15.azuredatabricks.net, toewijst aan het IP-adres van het privé-eindpunt.
2. SSO Authenticatie-URL: Maak een A record aan waarbij de regionale SSO-URL, zoals westus.pl-auth.azuredatabricks.net, wordt gekoppeld aan het privé-endpoint IP-adres.
3. Uw aangepaste URL: Maak een A record aan waarbij uw aangepaste URL, zoals <my-custom-account-name>.azuredatabricks.net, wordt gekoppeld aan het privé-eindpunt IP-adres.

Sommige regio's van Azure maken gebruik van meerdere exemplaren van het controlevlak voor SSO. Mogelijk moet u verschillende A records maken voor verificatie. Neem contact op met uw Azure Databricks-accountteam voor de volledige lijst met domeinen voor uw regio.

Aanvullende informatiebronnen

• Netwerken van het klassieke rekenvlak
• IP-toegangslijsten voor werkruimten configureren