Architektura ochrony przed eksfiltracją danych

Ujednolicone logowanie przy użyciu logowania jednokrotnego

Stosowanie logowania jednokrotnego (SSO) we wszystkich obszarach roboczych na koncie Azure Databricks przy użyciu ujednoliconego logowania. Dzięki temu użytkownicy uwierzytelniają się za pośrednictwem dostawcy tożsamości firmowej, a nie przy użyciu kont osobistych lub metod innych niż logowanie jednokrotne.

Włącz uwierzytelnianie wieloskładnikowe (MFA) u dostawcy tożsamości w celu uzyskania dodatkowej warstwy weryfikacji.

Zobacz Uwierzytelnianie i kontrola dostępu.

Zautomatyzowane zarządzanie tożsamościami

Zaimplementuj aprowizację SCIM, aby zautomatyzować zarządzanie cyklem życia użytkowników. Dzięki temu byli pracownicy zostaną automatycznie pozbawieni dostępu i nie będą mogli uzyskać dostępu do obszarów roboczych po odejściu z firmy.

Zobacz Synchronizuj użytkowników i grupy z Microsoft Entra ID za pomocą SCIM.

Kontrola dostępu do sieci

Ogranicz dostęp do obszaru roboczego i konsoli konta wyłącznie do zaufanych sieci:

• Listy dostępu do adresów IP na poziomie konta: kontrola dostępu do konsoli konta. Zobacz Konfigurowanie list dostępu do adresów IP dla konsoli konta.
• Listy dostępu do adresów IP na poziomie obszaru roboczego: kontrolowanie dostępu do poszczególnych obszarów roboczych. Zobacz Skonfiguruj listy dostępu IP dla przestrzeni roboczych.
• Łączność prywatna: użyj przychodzącego połączenia Private Link, aby całkowicie wyeliminować publiczny dostęp do obszaru roboczego. Zobacz Konfigurowanie przychodzącego połączenia Private Link w obszarach roboczych.

Standardowa kontrola dostępu

Użyj uprawnień Unity Catalog, aby ograniczyć, kto może odczytywać, zapisywać lub modyfikować każdy katalog, schemat, tabelę i wolumin. Przyznaj minimalne uprawnienia wymagane dla każdej roli i grupy.

Uprawnienia są dziedziczone hierarchicznie: uprawnienie nadane na poziomie katalogu obowiązuje dla wszystkich schematów i tabel w jego obrębie. Użyj tej opcji, aby wymusić szerokie wartości domyślne, a następnie zawęzić dostęp na niższych poziomach dla poufnych danych.

Zobacz Zarządzanie uprawnieniami w Unity Catalog.

Kontrola dostępu oparta na atrybutach (ABAC)

AbAC zarządza dostępem do danych na podstawie tagów dołączonych do obiektów danych, a nie tylko tożsamości obiektu. Użyj funkcji ABAC, aby wymusić zasady, takie jak "użytkownicy mogą wykonywać zapytania tylko o tabele oznakowane pii=false" lub "użytkownicy w grupie UE nie mogą odczytywać tabel oznaczonych tagami region=US".

ABAC lepiej się skaluje niż uprawnienia GRANT dla poszczególnych obiektów w dużych środowiskach, w których konwencje tagowania już obowiązują. Dobrze współpracuje również z filtrami wierszy i maskami kolumn (poniżej).

Zobacz Kontrola dostępu oparta na atrybutach w Unity Catalog.

Filtry wierszy i maski kolumn

Ogranicz, co użytkownicy widzą w tabeli:

• Filtry wierszy: Zastosuj funkcję SQL, która określa, do których wierszy użytkownik może wykonywać zapytania. Na przykład ogranicz tabelę sprzedaży tak, aby każdy menedżer regionalny widział tylko wiersze dotyczące swojego regionu.
• Maski kolumn: zastosuj funkcję SQL, która przekształca wartość kolumny przed powrotem do użytkownika. Na przykład zamaskuj numery kart kredytowych jako XXXX-XXXX-XXXX-1234 dla użytkowników spoza działu finansowego.

Filtry wierszy i maski kolumn są oceniane w czasie zapytania, dzięki czemu użytkownicy nie mogą ich pominąć za pomocą polecenia SELECT *.

Zobacz Filtry wierszy i maski kolumn.

Administracyjne ograniczenia Unity Catalog

Ogranicz tworzenie obiektów zabezpieczeń dostępu do danych wyłącznie do administratorów:

• Poświadczenia dostępu do magazynu: Zezwalaj tylko administratorom na tworzenie poświadczeń dostępu do magazynu. Zastosuj zasady dostępu do chmury o najniższych uprawnieniach (role IAM, tożsamości zarządzane) dla każdego poświadczenia. Zobacz Zarządzanie poświadczeniami magazynowymi.
• Lokalizacje zewnętrzne: zezwalaj tylko administratorom na tworzenie lokalizacji zewnętrznych odpowiadających ścieżkom magazynu w chmurze. Zobacz Zarządzanie lokalizacjami zewnętrznymi.
• Połączenia z bazą danych: Zezwalaj tylko administratorom na tworzenie połączeń z zewnętrznymi bazami danych za pośrednictwem Lakehouse Federation. Zobacz Zarządzanie połączeniami dla Federacji Lakehouse.
• Poświadczenia usługi: zezwalaj administratorom na tworzenie poświadczeń usługi dla zewnętrznych usług w chmurze. Zobacz Tworzenie poświadczeń usługi.

Przyznaj użytkownikom uprawnienia do korzystania z zatwierdzonych zabezpieczonych obiektów zamiast do tworzenia nowych. Uniemożliwia to użytkownikom kierowanie zasobów obliczeniowych do niezaufanej pamięci masowej lub punktów końcowych.

Powiązania obszaru roboczego dla katalogów

Powiąż katalogi Unity Catalog z określonymi obszarami roboczymi, aby zapobiec dostępowi do danych między środowiskami. Na przykład uniemożliwiaj programistycznym obszarom roboczym odczytywanie danych produkcyjnych.

Zobacz Powiązanie katalogu obszarów roboczych.

Zasady konta magazynu

Skonfiguruj reguły zapory lub zasady dostępu dla kont magazynu, aby zezwalały na ruch tylko z zatwierdzonych źródeł:

• Skonfiguruj zapory Azure Storage tak, aby zezwalały na dostęp tylko z autoryzowanych sieci wirtualnych, prywatnych punktów końcowych lub punktów końcowych usługi.
• Używaj tożsamości zarządzanych z przypisaniami ról zgodnymi z zasadą najmniejszych uprawnień.

Tabele systemowe na potrzeby monitorowania inspekcji

Użyj Azure Databricks Monitorowanie kosztów przy użyciu tabel systemowych do monitorowania wzorców dostępu do danych. Informacje referencyjne dotyczące tabeli systemowej dziennika audytu rejestrują zdarzenia obszaru roboczego, w tym:

• Próby uwierzytelniania i dostępu użytkownika.
• Operacje odczytu i zapisu danych.
• Zmiany konfiguracji administracyjnej.
• Użycie poświadczeń i dostęp do lokalizacji zewnętrznej.

Skonfiguruj alerty dotyczące podejrzanych działań, takich jak nietypowe woluminy danych, dostęp z nieoczekiwanych lokalizacji lub próby uzyskania dostępu do nieautoryzowanych zasobów.

Integracja dzienników natywnych dla chmury

Pozyskiwanie dzienników specyficznych dla chmury w celu uzupełnienia tabel systemu Azure Databricks:

• Skonfiguruj usługę Azure Monitor i dziennik aktywności, aby rejestrować zdarzenia dostępu do usługi Storage, użycie tożsamości zarządzanej i dzienniki przepływu sieci.

Skoreluj dzienniki natywne dla chmury z dziennikami inspekcji usługi Azure Databricks, aby uzyskać pełną widoczność przepływu danych w całym środowisku.

Izolacja sieci

Wdróż usługę Azure Databricks z włączoną bezpieczną łącznością klastra (SCC) w sieci wirtualnej, korzystając z opcji Wdrażanie usługi Azure Databricks w sieci wirtualnej platformy Azure (osadzanie w sieci wirtualnej). Można wdrożyć rozwiązanie w topologii hub-and-spoke ze scentralizowaną zaporą albo w izolowanej topologii sieci (wyspowej), bez centralnego węzła. Ta konfiguracja:

• Eliminuje publiczne adresy IP w węzłach klastra.
• Wymaga dedykowanych par podsieci na obszar roboczy (jedna prywatna, publiczna).
• Trasy kierują ruch płaszczyzny sterowania przez prywatne punkty końcowe.

Łączność prywatna

Skonfiguruj punkty końcowe usługi Private Link dla kont usługi Azure Storage zarządzanych przez klienta w dedykowanej podsieci:

• Cały dostęp do danych odbywa się za pośrednictwem sieci szkieletowej Azure.
• Prywatne punkty końcowe można wdrożyć w sieci wirtualnej Azure Databricks lub równorzędnej sieci wirtualnej.
• Alternatywą dla kont magazynu zarządzanych przez klienta jest użycie Konfigurowanie zasad punktu końcowego usługi sieci wirtualnej Azure w celu uzyskania dostępu do magazynu z klasycznego środowiska obliczeniowego (bez dodatkowych kosztów).

Skonfiguruj przychodzące połączenie Private Link dla obszarów roboczych na potrzeby dostępu użytkowników i uwierzytelniania w przeglądarce (SSO).

Kontrola ruchu wychodzącego

Wdróż Azure Firewall (lub wirtualne urządzenie sieciowe innej firmy) w centralnej sieci wirtualnej:

• Zasady aplikacji: Zdefiniuj nazwy FQDN dostępne za pośrednictwem zapory (płaszczyzny sterowania, aplikacji internetowej i przekaźnika SCC, jeśli nie skonfigurowano klasycznej płaszczyzny obliczeniowej Private Link).
• Reguły sieci: Zdefiniuj adres IP, port i protokół dla punktów końcowych, które nie mogą używać nazw FQDN.
• Trasy zdefiniowane przez użytkownika (UDR): Kierowanie ruchu nielokacyjnego z podsieci Azure Databricks przez zaporę przy użyciu trasy domyślnej (0.0.0.0/0).

Punkty końcowe usługi pomijają zaporę dla magazynu systemu Azure Databricks, zmniejszając koszty transferu danych i unikając ograniczania przepustowości. Samo przechowywanie artefaktów może stanowić nawet 11 GB danych pobieranych na każdy węzeł klastra.

Zabezpieczenia bezserwerowe

Skonfiguruj Czym jest bezserwerowa kontrola ruchu wychodzącego?, aby kontrolować ruch wychodzący. Użyj sieci płaszczyzny obliczeń bezserwerowych, aby ustanowić połączenia prywatne między obliczeniami bezserwerowymi a kontami magazynu Azure (ADLS Gen2).