Verbeterde beveiligings- en nalevingsinstellingen configureren

Op deze pagina wordt beschreven hoe u verbeterde beveiligings- en nalevingsinstellingen configureert in uw Azure Databricks werkruimte.

Behoeften

• Uw Azure Databricks werkruimte bevindt zich in de prijscategorie Premium.
• Uw Databricks-account moet de invoegtoepassing Verbeterde beveiliging en naleving bevatten.

• U bent alleen verantwoordelijk voor het verifiëren dat gevoelige informatie nooit wordt ingevoerd in door de klant gedefinieerde invoervelden, zoals werkruimtenamen, rekenresourcenamen, tags, taaknamen, taakuitvoeringsnamen, netwerknamen, referentienamen, opslagaccountnamen en URL's van Git-opslagplaatsen. Deze velden kunnen worden opgeslagen, verwerkt of geopend buiten de nalevingsgrens.

Vereisten voor nalevingsbeveiligingsprofiel

De volgende vereisten zijn verplicht. Je moet beide implementeren voordat je het compliance-beveiligingsprofiel inschakelt. Als je dat niet doet, kunnen clusters niet starten. Voor details over de handhavingstijdlijn, zie de volgende opmerking.

• Azure Virtual Network versleuteling moet zijn ingeschakeld in uw werkruimte. Zie What is Azure Virtual Network encryption?

• U moet een vm-exemplaartype gebruiken dat ondersteuning biedt voor Azure Virtual Network versleuteling. Zie Azure Virtual Network versleutelingsvereisten.

Verbeterde beveiligings- en nalevingsfuncties inschakelen in een werkruimte

U kunt een werkruimte maken met verbeterde beveiligings- en nalevingsfuncties met behulp van de Azure-portal, de Azure CLI, Powershell, een ARM-sjabloon of Terraform.

Gebruik de Azure-portal

1. Klik in de Azure-portal op Instellingen Beveiliging & naleving in een bestaande Azure Databricks-werkruimte of op de aanmaakpagina van de Azure Databricks-werkruimte.

2. Als u het beveiligingsprofiel voor naleving wilt inschakelen, schakelt u het selectievakje naast Nalevingsbeveiligingsprofiel inschakelenin. Selecteer een of meer nalevingsstandaarden in de vervolgkeuzelijst of selecteer Geen. De vervolgkeuzelijst bevat nalevingsstandaarden die beschikbaar zijn in uw werkruimteregio.

   

   Als u het beveiligingsprofiel voor naleving inschakelt of nalevingsstandaarden toevoegt, zijn deze selecties permanent voor die werkruimte.

3. Als u verbeterde beveiligingsbewaking wilt inschakelen, schakelt u het selectievakje in Verbeterde beveiligingsbewaking inschakelen.

4. Als u automatische clusterupdate wilt inschakelen, schakelt u het selectievakje in Automatische clusterupdate inschakelen.

   Zie Automatische clusterupdate om het onderhoudsvenster en de frequentie ervan te configureren

Gebruik de Azure CLI

U kunt een werkruimte maken met verbeterde beveiligings- en nalevingsfuncties met behulp van de Azure CLI. Mogelijke nalevingsstandaarden zijn: HIPAA, PCI_DSS, HITRUST, IRAP_PROTECTED, UK_CYBER_ESSENTIALS_PLUS, CANADA_PROTECTED_B, of NONE. U kunt meer dan één nalevingsstandaard selecteren. Voorbeeld:

az databricks workspace create --resource-group MyResourceGroup --name MyWorkspace --location westus --sku premium --enable-compliance-security-profile --compliance-standards='["HIPAA"]' --enable-automatic-cluster-update --enable-enhanced-security-monitoring

PowerShell gebruiken

U kunt een werkruimte maken met verbeterde beveiligings- en nalevingsfuncties met behulp van PowerShell. Mogelijke nalevingsstandaarden zijn: HIPAA, PCI_DSS, HITRUST, IRAP_PROTECTED, UK_CYBER_ESSENTIALS_PLUS, CANADA_PROTECTED_B, of NONE. U kunt meer dan één nalevingsstandaard selecteren. Voorbeeld:

New-AzDatabricksWorkspace -Name MyWorkspace -ResourceGroupName MyResourceGroup -Location westus -Sku "Premium" -EnhancedSecurityMonitoring 'Enabled' -AutomaticClusterUpdate 'Enabled' -EnhancedSecurityCompliance 'Enabled' -ComplianceStandard @("HIPAA","PCI_DSS")

Een ARM-sjabloon gebruiken

U kunt de invoegtoepassing Verbeterde beveiliging en naleving configureren met een ARM-sjabloon die Databricks biedt. Het bevat aanvullende parameters die u kunt instellen op Enabled of Disabled. Als u ze wilt toevoegen aan een bestaande sjabloon om de werkruimte bij te werken, kunt u dit doen. U kunt functies onafhankelijk instellen, behalve zoals aangegeven:

• complianceSecurityProfile: Hiermee schakelt u het beveiligingsprofiel voor naleving in. Zodra deze functie is ingeschakeld, wordt deze functie permanent ingeschakeld in de werkruimte.
• complianceStandards: Hiermee configureert u een matrix van nalevingsstandaarden die moeten worden gebruikt met het beveiligingsprofiel voor naleving.
  • Als complianceSecurityProfile is ingesteld op Disabled, geeft u een lege matrix door.
  • Als complianceSecurityProfile is ingesteld op Enabled, moet u een matrix doorgeven van een of meer tekenreeksen die aangeven welke (indien van toepassing) nalevingsstandaarden u wilt gebruiken voor uw werkruimte. Mogelijke selecties zijn HIPAA, PCI_DSS, HITRUST, IRAP_PROTECTED, UK_CYBER_ESSENTIALS_PLUS, CANADA_PROTECTED_B, of NONE. Voeg het enige matrixelement NONE toe als u het nalevingsbeveiligingsprofiel alleen gebruikt voor de beveiligingsvoordelen ervan, maar niet om gereguleerde gegevens te verwerken.
• enhancedSecurityMonitoring — Maakt verbeterde beveiligingsbewaking mogelijk. Als het beveiligingsprofiel voor naleving is ingeschakeld, moet u deze functie instellen op Enabled expliciet in de sjabloon.
• automaticClusterUpdate : hiermee wordt automatische clusterupdate ingeschakeld. Als het beveiligingsprofiel voor naleving is ingeschakeld, moet u deze functie instellen op Enabled expliciet in de sjabloon. Zie Automatische clusterupdateom het onderhoudsvenster en de frequentie ervan te configureren.

Als u een werkruimte wilt bijwerken met een of meer van deze functies, volgt u dezelfde instructies voor het implementeren van een aangepaste sjabloon als voor het maken van een nieuwe werkruimte met een sjabloon. Controleer echter of u de oorspronkelijke sjabloon gebruikt en kopieer vervolgens de velden uit de opgegeven voorbeeldsjabloon naar uw bestaande werkruimtesjabloon.

Werkruimtesjabloon met verbeterde beveiligings- en nalevingsfuncties

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "disablePublicIp": {
      "type": "bool",
      "defaultValue": false,
      "metadata": {
        "description": "Specifies whether to deploy Azure Databricks workspace with secure cluster connectivity (No Public IP) enabled."
      }
    },
    "workspaceName": {
      "type": "string",
      "metadata": {
        "description": "The name of the Azure Databricks workspace to create."
      }
    },
    "pricingTier": {
      "type": "string",
      "defaultValue": "premium",
      "allowedValues": ["standard", "premium"],
      "metadata": {
        "description": "The pricing tier of workspace."
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Location for all resources."
      }
    },
    "automaticClusterUpdate": {
      "type": "string",
      "defaultValue": "Disabled",
      "allowedValues": ["Disabled", "Enabled"],
      "metadata": {
        "description": "Enable/Disable automatic cluster update"
      }
    },
    "enhancedSecurityMonitoring": {
      "type": "string",
      "defaultValue": "Disabled",
      "allowedValues": ["Disabled", "Enabled"],
      "metadata": {
        "description": "Enable/Disable enhanced security monitoring"
      }
    },
    "complianceSecurityProfile": {
      "type": "string",
      "defaultValue": "Disabled",
      "allowedValues": ["Disabled", "Enabled"],
      "metadata": {
        "description": "Enable/Disable the Compliance Security Profile"
      }
    },
    "complianceStandards": {
      "type": "array",
      "defaultValue": [],
      "allowedValues": [
        [],
        ["NONE"],
        ["HIPAA"],
        ["PCI_DSS"],
        ["HITRUST"],
        ["IRAP_PROTECTED"],
        ["UK_CYBER_ESSENTIALS_PLUS"],
        ["CANADA_PROTECTED_B"]
      ],
      "metadata": {
        "description": "Specify the desired compliance standards for your compliance security profile"
      }
    }
  },
  "variables": {
    "managedResourceGroupName": "[format('databricks-rg-{0}-{1}', parameters('workspaceName'), uniqueString(parameters('workspaceName'), resourceGroup().id))]",
    "trimmedMRGName": "[substring(variables('managedResourceGroupName'), 0, min(length(variables('managedResourceGroupName')), 90))]",
    "managedResourceGroupId": "[format('{0}/resourceGroups/{1}', subscription().id, variables('trimmedMRGName'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Databricks/workspaces",
      "apiVersion": "2023-09-15-preview",
      "name": "[parameters('workspaceName')]",
      "location": "[parameters('location')]",
      "sku": {
        "name": "[parameters('pricingTier')]"
      },
      "properties": {
        "managedResourceGroupId": "[variables('managedResourceGroupId')]",
        "parameters": {
          "enableNoPublicIp": {
            "value": "[parameters('disablePublicIp')]"
          }
        },
        "enhancedSecurityCompliance": {
          "automaticClusterUpdate": {
            "value": "[parameters('automaticClusterUpdate')]"
          },
          "complianceSecurityProfile": {
            "value": "[parameters('complianceSecurityProfile')]",
            "complianceStandards": "[parameters('complianceStandards')]"
          },
          "enhancedSecurityMonitoring": {
            "value": "[parameters('enhancedSecurityMonitoring')]"
          }
        }
      }
    }
  ],
  "outputs": {
    "workspace": {
      "type": "object",
      "value": "[reference(resourceId('Microsoft.Databricks/workspaces', parameters('workspaceName')), '2023-09-15-preview', 'full')]"
    }
  }
}

Terraform gebruiken

Verbeterde beveiliging en naleving kunnen ook worden ingeschakeld voor een Azure Databricks werkruimte met behulp van de invoegtoepassing azurerm Terraform voor Databricks. Wanneer u Terraform gebruikt, alleen HIPAA, PCI_DSSof NONE als nalevingsstandaarden kan worden toegevoegd. Andere nalevingsstandaarden moeten worden geconfigureerd via de Azure-portal, Azure CLI, PowerShell of ARM-sjablonen.

Zie azurermvoor meer informatie over de invoegtoepassing Terraform.

Als u bijvoorbeeld een Azure Databricks werkruimte wilt maken waarvoor nalevingsbesturingselementen zijn ingeschakeld, gebruikt u het volgende:

resource "azurerm_databricks_workspace" "this" {
  name                        = "${local.prefix}-workspace"
  resource_group_name         = azurerm_resource_group.this.name
  location                    = azurerm_resource_group.this.location
  sku                         = "premium"
  managed_resource_group_name = "${local.prefix}-workspace-rg"
  tags                        = local.tags

  enhanced_security_compliance {
  automatic_cluster_update_enabled    = true
  compliance_security_profile_enabled   = true
  compliance_security_profile_standards = ["HIPAA", "PCI_DSS", "NONE"]
  enhanced_security_monitoring_enabled  = true
  }
}

Controleer of het beveiligingsprofiel voor naleving is ingeschakeld voor een werkruimte

U kunt bevestigen dat een werkruimte het nalevingsbeveiligingsprofiel gebruikt op het tabblad Beveiliging en naleving op de werkruimtepagina in de accountconsole.

De werkruimte heeft ook een schildlogo dat wordt weergegeven in de gebruikersinterface van de werkruimte. Rechtsboven op de pagina wordt een schildlogo weergegeven, rechts van de naam van de werkruimte. Klik op de naam van de werkruimte om een lijst weer te geven met de werkruimten waartoe u toegang hebt. De werkruimten die het nalevingsbeveiligingsprofiel inschakelen, hebben een schildpictogram.

Als de schildpictogrammen ontbreken voor een werkruimte waarvoor het nalevingsbeveiligingsprofiel is ingeschakeld, neemt u contact op met uw Azure Databricks accountteam.

Schakel het compliance-beveiligingsprofiel uit

Het inschakelen van het compliance-beveiligingsprofiel is bedoeld als een permanente verandering. Hoe je het kunt uitschakelen hangt af van of de werkruimte ooit gereguleerde data heeft verwerkt:

• De werkruimte heeft nooit gereguleerde gegevens verwerkt: Neem contact op met support om te verzoeken het compliance-beveiligingsprofiel uit te schakelen.
• De werkruimte heeft gereguleerde data verwerkt: je kunt het compliance-beveiligingsprofiel niet uitschakelen. Om het niet meer te gebruiken, moet je de werkruimte verwijderen en een nieuwe aanmaken waarbij het beveiligingsprofiel voor compliance niet is ingeschakeld.

Dezelfde regels gelden voor het verwijderen van een of meer nalevingsnormen die eerder zijn geselecteerd. Je kunt een geselecteerde compliance-standaard alleen uit de configuratie van het compliancebeveiligingsprofiel verwijderen als de werkruimte nooit gereguleerde data onder die standaard heeft verwerkt.