Migracja list dostępu do przestrzeni roboczej do wejścia opartego na kontekście

Listy dostępu do IP w przestrzeni roboczej ograniczają dostęp wyłącznie na podstawie adresów IP źródłowych. Kontekstowa kontrola ruchu przychodzącego pozwala administratorom kont tworzyć reguły zezwalania i odmowy na podstawie wielu warunków, w tym tożsamości użytkownika, typu żądania i źródła. Daje to bardziej szczegółową kontrolę nad tym, kto może dotrzeć do Twojego miejsca pracy i skąd.

Databricks zaleca użycie wejścia opartego na kontekście jako głównej kontroli wejścia do przestrzeni roboczej. Aby uzyskać przegląd tego, jak wejścia oparte na kontekście oceniają żądania, zobacz Kontrola wejścia oparta na kontekście.

Możesz użyć narzędzia wiersza polecenia Databricks Labs migrate-ip-acls, aby zmigrować istniejące listy dostępu IP obszaru roboczego do zasad ruchu przychodzącego opartych na kontekście.

Requirements

• Musisz być administratorem obszaru roboczego obszaru roboczego, który migrujesz. Odczytywanie list dostępu do IP do przestrzeni roboczej wymaga uprawnień administratora przestrzeni roboczej.
• Musisz być administratorem konta. Tworzenie i dołączanie polityk sieciowych wymaga uprawnień administratora konta.

• Wejście w oparciu o kontekst wymaga poziomu Premium.

Przed rozpoczęciem przejrzyj ograniczenia narzędzia migracji , ponieważ narzędzie nie może migrować wszystkich przestrzeni roboczych.

Jak działa narzędzie migracji

Narzędzie migracji wykonuje następujące kroki:

1. Uwierzytelnia w wybranym obszarze roboczym przy użyciu uprawnień administratora obszaru roboczego oraz na koncie Azure Databricks przy użyciu uprawnień administratora konta.
2. Przeprowadza kontrole przed migracją, aby ustalić, czy przestrzeń robocza może być bezpiecznie przeniesiona.
3. Prosi o podanie nazwy wygenerowanej polityki sieciowej.
4. Odczytuje włączone listy dostępu IP obszaru roboczego.
   1. Każda włączona lista zezwoleń jest konwertowana na kontekstową regułę wejścia w wygenerowanej polityce sieciowej.
   2. Każda włączona lista bloków jest konwertowana na kontekstową regułę odmowy wejścia w wygenerowanej polityce sieciowej.
   3. Istniejące etykiety z listy dostępu IP są zachowywane.
   4. Listy osób niepełnosprawnych nie są migrowane i są zgłaszane do przeglądu.
   5. Jeśli w obszarze roboczym są tylko listy blokowania, narzędzie dodaje regułę zezwalającą obejmującą wszystkie przypadki, dzięki czemu wygenerowana oparta na kontekście polityka ruchu przychodzącego zachowuje dotychczasowe działanie listy dostępu IP.
5. Kopiuje konfigurację egress z polityki sieciowej aktualnie przypisanej do przestrzeni roboczej do wygenerowanej polityki sieciowej. Jeśli przestrzeń robocza nie ma jawnie przypisanej polityki, narzędzie korzysta z wartości bazowej konta default-policy.
6. Wyświetla wygenerowaną politykę sieciową do przeglądu.
7. Jeśli jest skonfigurowane z --export, narzędzie zapisuje reprezentacje proponowanej polityki w JSON i Terraform.
8. Jeśli --create-policy jest włączony, narzędzie tworzy nową politykę sieciową.
9. Jeśli --auto-assign jest włączony, narzędzie przypisuje wygenerowaną politykę do wybranego workspace. Ponieważ obszar roboczy może mieć tylko jedno przypisanie zasad sieciowych, to działanie zastępuje poprzednie przypisanie zasad sieciowych tego obszaru roboczego.
10. Jeśli --disable-existing-ip-acls zostanie to określone, narzędzie wyłącza egzekwowanie listy dostępu do IP w przestrzeni roboczej po pomyślnym utworzeniu i dołączeniu nowej egzekwowanej polityki. Istniejące listy dostępu do IP są zachowane, ale nie są już egzekwowane.

--auto-assign jest domyślnie włączona. --disable-existing-ip-acls jest domyślnie wyłączona.

Dopóki listy dostępu IP obszaru roboczego pozostają włączone, nadal są uwzględniane razem z opartym na kontekście ruchem przychodzącym. Żądanie musi spełniać oba mechanizmy kontroli.

Użyj narzędzia migracji

Postępuj zgodnie z tymi krokami, aby wygenerować politykę wejścia opartą na kontekście z list dostępu do IP przestrzeni roboczej i, opcjonalnie, utworzyć i dołączyć ją.

Sklonuj narzędzie do migracji

Sklonuj repozytorium narzędzi migracyjnych Databricks Labs:

git clone https://github.com/databrickslabs/migrate-ip-acls.git
cd migrate-ip-acls

Zainstaluj zależności narzędzia:

uv sync

Uwierzytelnij się w obszarze roboczym jako administrator obszaru roboczego

Odczytywanie i modyfikowanie list dostępu do IP przestrzeni roboczej wymaga uprawnień administratora przestrzeni roboczej.

Uwierzytelnij się do przestrzeni roboczej, wykonując następujące polecenie:

databricks auth login \
   --host https://adb-<WORKSPACE_URL>.azuredatabricks.net/

Polecenie uwierzytelniania tworzy profil Azure Databricks CLI dla przestrzeni roboczej. Używasz tego profilu podczas uruchamiania narzędzia migracji.

Uwierzytelnij się do konta jako administrator konta

Tworzenie i przypisywanie polityk sieciowych wymaga uprawnień administratora konta.

Uwierzytelnij się do konta, uruchamiając następujące polecenie:

databricks auth login \
   --host https://accounts.azuredatabricks.net \
   --account-id <ACCOUNT_ID>

Użyj konta, które zawiera przestrzeń roboczą, którą migrujesz.

Uruchom narzędzie migracji

Rozpocznij narzędzie migracji, uruchamiając następujące polecenie:

uv run dbx-migrate-ip-acls --profile <my-workspace-profile-name> --account-id <acct-id> --export .

Wprowadź parametry

Narzędzie odrzuca kombinacje parametrów, które mogłyby spowodować, że po migracji obszar roboczy będzie miał inne zasady ruchu przychodzącego. Na przykład --disable-existing-ip-acls nie można użyć, chyba że narzędzie również tworzy i dołączawymuszaną politykę sieciową. Odrzuca także bezsensowne kombinacje, takie jak --no-create-policy --auto-assign.

Inspekcja i zatwierdzenie wyników

Przed utworzeniem, dołączeniem lub egzekwowaniem wygenerowanej polityki narzędzie drukuje wygenerowaną politykę sieciową do inspekcji i walidacji. Po zatwierdzeniu narzędzie stosuje te zmiany zgodnie z wprowadzonymi przez Ciebie parametrami.

Zastosuj wygenerowany skrypt Terraform

Jeśli określisz --export, narzędzie tworzy reprezentację JSON generowanej polityki oraz odpowiadającą jej konfiguracji Terraform.

Przejrzyj wygenerowany kod Terraform przed dodaniem go do konfiguracji infrastruktury jako kodu lub uruchomieniem terraform apply. Wyjście Terraform jest przeznaczone jako punkt wyjścia do zarządzania generowaną polityką z infrastrukturą jako kodem.

Weryfikowanie migracji

Po utworzeniu i dołączeniu polisy przez narzędzie poupewnij się, że zachowuje się zgodnie z oczekiwaniami, zanim na niej polegasz:

1. W konsoli konta kliknij Workspaces, wybierz workspace i potwierdź, że wygenerowana polityka jest wymieniona w sekcji Polityka sieciowa.
2. Jeśli utworzyłeś politykę w trybie testowym, wygeneruj typowy ruch w obszarze roboczym, a następnie przejrzyj dzienniki odmów dostępu, aby potwierdzić, że skonwertowane reguły odpowiadają zamierzonemu modelowi dostępu. Gdy zasady są poprawne, przełącz politykę na tryb wymuszony. Zobacz Ustaw tryb egzekwowania.

Dzienniki odmowy są przechowywane w tabeli system.access.inbound_network w Unity Catalog. Odmowy w trybie testowym pojawiają się z wartością DRY_RUN_DENIAL w kolumnie access_type, a odmowy wymuszone jako DROP. Zobacz Sprawdź dzienniki odmów.

Ograniczenia narzędzi migracyjnych

Narzędzie migracji nie obsługuje następujących konfiguracji:

• Istniejąca restrykcyjna polityka wejścia oparta na kontekście jest już przypisana do przestrzeni roboczej. Jeśli narzędzie jest skonfigurowane do tworzenia i przypisywania nowej polityki, przerywa działanie, jeśli przestrzeń robocza ma już przypisaną politykę zawierającą wymuszone lub testowe reguły wejścia. Bazowa polityka zezwalająca na wszystko nie powoduje uruchomienia tego sprawdzenia.

Następne kroki