Konfigurowanie rozszerzonych ustawień zabezpieczeń i zgodności

Na tej stronie opisano sposób konfigurowania rozszerzonych ustawień zabezpieczeń i zgodności w obszarze roboczym Azure Databricks.

Wymagania

• Obszar roboczy Azure Databricks znajduje się w warstwie cenowej Premium.
• Ulepszone ustawienia bezpieczeństwa i zgodności są dostępne w samoobsłudze, bez osobnego formularza zakupu czy zamówienia. Włączasz je dla każdego workspace osobno, nie na poziomie konta. Gdy włączasz ustawienie w przestrzeni roboczej, Azure Databricks dodaje dodatek Enhanced Security and Compliance do tego workspace i rozlicza go jako opłatę opartą na zużyciu.

• Użytkownik ponosi wyłączną odpowiedzialność za sprawdzenie, czy poufne informacje nigdy nie są wprowadzane w polach wejściowych zdefiniowanych przez klienta, takich jak nazwy obszarów roboczych, nazwy zasobów obliczeniowych, tagi, nazwy zadań, nazwy przebiegów zadań, nazwy sieci, nazwy poświadczeń, nazwy kont magazynu i identyfikatory lub adresy URL repozytorium Git. Te pola mogą być przechowywane, przetwarzane lub dostępne poza granicą zgodności.

Wymagania dotyczące profilu zabezpieczeń zgodności

Zanim włączysz profil bezpieczeństwa zgodności, musisz wdrożyć następujące wymagania. Jeśli tego nie zrobisz, klastry mogą nie uruchomić się.

• Musisz użyć typu wystąpienia maszyny wirtualnej obsługującego szyfrowanie Azure Virtual Network. Zobacz wymagania dotyczące szyfrowania Azure Virtual Network.
• Maszyny wirtualne oparte na GPU muszą również obsługiwać szyfrowanie Azure Virtual Network. Ten wymóg nie jest egzekwowany.
• Jeśli używasz standardu zgodności wymagającego szyfrowania FIPS, takiego jak FedRAMP, musisz użyć środowiska bazowego bezserwerowego wersji 5 lub wyższej. Zobacz Wybierz środowisko bazowe.

Od 1 czerwca 2027 roku Azure Databricks wymaga również szyfrowania Azure Virtual Network we wszystkich przestrzeniach roboczych korzystających z profilu zabezpieczeń zgodności, w tym w przestrzeniach roboczych, w których profil jest już włączony. Zobacz Co to jest szyfrowanie Azure Virtual Network?

Włączanie rozszerzonych funkcji zabezpieczeń i zgodności w obszarze roboczym

Obszar roboczy można utworzyć z rozszerzonymi funkcjami zabezpieczeń i zgodności przy użyciu portalu Azure, Azure CLI, programu PowerShell, szablonu usługi ARM lub narzędzia Terraform.

Użyj portalu Azure

1. W portalu Azure kliknij w sekcję Ustawienia > Zabezpieczenia i zgodność w istniejącym obszarze roboczym Azure Databricks lub na stronie tworzenia nowego obszaru roboczego Azure Databricks.

2. Aby włączyć profil zabezpieczeń zgodności, zaznacz pole wyboru obok Włącz profil zabezpieczeń zgodności. Z listy rozwijanej wybierz co najmniej jeden standard zgodności lub wybierz pozycję None. Lista rozwijana zawiera listę standardów zgodności dostępnych w regionie obszaru roboczego.

   

   Jeśli włączysz profil zabezpieczeń zgodności lub dodasz standardy zgodności, te opcje będą trwałe dla tego obszaru roboczego.

3. Aby włączyć rozszerzone monitorowanie zabezpieczeń, zaznacz pole wyboru Włącz rozszerzone monitorowanie zabezpieczeń.

4. Aby włączyć automatyczną aktualizację klastra, zaznacz pole wyboru Włącz automatyczną aktualizację klastra.

   Aby skonfigurować okno konserwacji i jego częstotliwość, sprawdź Automatyczna aktualizacja klastra

Use the Azure CLI

Obszar roboczy można utworzyć z rozszerzonymi funkcjami zabezpieczeń i zgodności przy użyciu Azure CLI. Możliwe standardy zgodności obejmują: HIPAA, , PCI_DSS, HITRUSTIRAP_PROTECTED, UK_CYBER_ESSENTIALS_PLUS, , CANADA_PROTECTED_Blub NONE. Możesz wybrać więcej niż jeden standard zgodności. Przykład:

az databricks workspace create --resource-group MyResourceGroup --name MyWorkspace --location westus --sku premium --enable-compliance-security-profile --compliance-standards='["HIPAA"]' --enable-automatic-cluster-update --enable-enhanced-security-monitoring

Użyj PowerShell

Obszar roboczy można utworzyć z rozszerzonymi funkcjami zabezpieczeń i zgodności przy użyciu programu PowerShell. Możliwe standardy zgodności obejmują: HIPAA, , PCI_DSS, HITRUSTIRAP_PROTECTED, UK_CYBER_ESSENTIALS_PLUS, , CANADA_PROTECTED_Blub NONE. Możesz wybrać więcej niż jeden standard zgodności. Przykład:

New-AzDatabricksWorkspace -Name MyWorkspace -ResourceGroupName MyResourceGroup -Location westus -Sku "Premium" -EnhancedSecurityMonitoring 'Enabled' -AutomaticClusterUpdate 'Enabled' -EnhancedSecurityCompliance 'Enabled' -ComplianceStandard @("HIPAA","PCI_DSS")

Użyj szablonu ARM

Możesz skonfigurować funkcje dodatku Enhanced Security and Compliance za pomocą szablonu ARM, który udostępnia Azure Databricks. Zawiera dodatkowe parametry, które można ustawić na Enabled lub Disabled. Jeśli chcesz dodać je do istniejącego szablonu w celu zaktualizowania obszaru roboczego, możesz to zrobić. Funkcje można ustawić niezależnie, z wyjątkiem wskazanych:

• complianceSecurityProfile: Włącza profil bezpieczeństwa zgodności. Po jej włączeniu ta funkcja jest na stałe włączona w obszarze roboczym.
• complianceStandards: Konfiguruje szereg standardów zgodności do wykorzystania z profilem bezpieczeństwa zgodności.
  • Jeśli element complianceSecurityProfile jest ustawiony na Disabled, przekaż pustą tablicę.
  • Jeśli complianceSecurityProfile jest ustawiona na Enabled, należy przekazać tablicę zawierającą jeden lub więcej ciągów znaków, które określają, jakie standardy zgodności chcesz stosować w swoim obszarze roboczym, jeśli są takie wymagane. Możliwe opcje to HIPAA, , PCI_DSS, HITRUSTIRAP_PROTECTED, UK_CYBER_ESSENTIALS_PLUS, , CANADA_PROTECTED_Blub NONE. Dodaj pojedynczy element tablicy NONE, jeśli używasz profilu zabezpieczeń zgodności tylko dla jego korzyści związanych z bezpieczeństwem, a nie do przetwarzania żadnych danych regulowanych.
• enhancedSecurityMonitoring — Umożliwia zwiększone monitorowanie bezpieczeństwa. Jeśli profil zabezpieczeń zgodności jest włączony, należy ustawić tę funkcję na Enabled jawnie w szablonie.
• automaticClusterUpdate — Włącza automatyczną aktualizację klastra. Jeśli profil zabezpieczeń zgodności jest włączony, należy ustawić tę funkcję na Enabled jawnie w szablonie. Aby skonfigurować okno konserwacji i jego częstotliwość, zobacz Automatyczna aktualizacja klastra.

Aby zaktualizować obszar roboczy przy użyciu co najmniej jednej z tych funkcji, postępuj zgodnie z tymi samymi instrukcjami dotyczącymi wdrażania szablonu niestandardowego, co w przypadku tworzenia nowego obszaru roboczego przy użyciu szablonu. Sprawdź jednak, czy używasz oryginalnego szablonu, a następnie skopiuj pola z podanego przykładowego szablonu do istniejącego szablonu obszaru roboczego.

Szablon obszaru roboczego z rozszerzonymi funkcjami zabezpieczeń i zgodności

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "disablePublicIp": {
      "type": "bool",
      "defaultValue": false,
      "metadata": {
        "description": "Specifies whether to deploy Azure Databricks workspace with secure cluster connectivity (No Public IP) enabled."
      }
    },
    "workspaceName": {
      "type": "string",
      "metadata": {
        "description": "The name of the Azure Databricks workspace to create."
      }
    },
    "pricingTier": {
      "type": "string",
      "defaultValue": "premium",
      "allowedValues": ["standard", "premium"],
      "metadata": {
        "description": "The pricing tier of workspace."
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Location for all resources."
      }
    },
    "automaticClusterUpdate": {
      "type": "string",
      "defaultValue": "Disabled",
      "allowedValues": ["Disabled", "Enabled"],
      "metadata": {
        "description": "Enable/Disable automatic cluster update"
      }
    },
    "enhancedSecurityMonitoring": {
      "type": "string",
      "defaultValue": "Disabled",
      "allowedValues": ["Disabled", "Enabled"],
      "metadata": {
        "description": "Enable/Disable enhanced security monitoring"
      }
    },
    "complianceSecurityProfile": {
      "type": "string",
      "defaultValue": "Disabled",
      "allowedValues": ["Disabled", "Enabled"],
      "metadata": {
        "description": "Enable/Disable the Compliance Security Profile"
      }
    },
    "complianceStandards": {
      "type": "array",
      "defaultValue": [],
      "allowedValues": [
        [],
        ["NONE"],
        ["HIPAA"],
        ["PCI_DSS"],
        ["HITRUST"],
        ["IRAP_PROTECTED"],
        ["UK_CYBER_ESSENTIALS_PLUS"],
        ["CANADA_PROTECTED_B"]
      ],
      "metadata": {
        "description": "Specify the desired compliance standards for your compliance security profile"
      }
    }
  },
  "variables": {
    "managedResourceGroupName": "[format('databricks-rg-{0}-{1}', parameters('workspaceName'), uniqueString(parameters('workspaceName'), resourceGroup().id))]",
    "trimmedMRGName": "[substring(variables('managedResourceGroupName'), 0, min(length(variables('managedResourceGroupName')), 90))]",
    "managedResourceGroupId": "[format('{0}/resourceGroups/{1}', subscription().id, variables('trimmedMRGName'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Databricks/workspaces",
      "apiVersion": "2023-09-15-preview",
      "name": "[parameters('workspaceName')]",
      "location": "[parameters('location')]",
      "sku": {
        "name": "[parameters('pricingTier')]"
      },
      "properties": {
        "managedResourceGroupId": "[variables('managedResourceGroupId')]",
        "parameters": {
          "enableNoPublicIp": {
            "value": "[parameters('disablePublicIp')]"
          }
        },
        "enhancedSecurityCompliance": {
          "automaticClusterUpdate": {
            "value": "[parameters('automaticClusterUpdate')]"
          },
          "complianceSecurityProfile": {
            "value": "[parameters('complianceSecurityProfile')]",
            "complianceStandards": "[parameters('complianceStandards')]"
          },
          "enhancedSecurityMonitoring": {
            "value": "[parameters('enhancedSecurityMonitoring')]"
          }
        }
      }
    }
  ],
  "outputs": {
    "workspace": {
      "type": "object",
      "value": "[reference(resourceId('Microsoft.Databricks/workspaces', parameters('workspaceName')), '2023-09-15-preview', 'full')]"
    }
  }
}

Użyj narzędzia Terraform

Rozszerzone zabezpieczenia i zgodność można również włączyć w obszarze roboczym Azure Databricks przy użyciu wtyczki azurerm Terraform dla usługi Databricks. W przypadku korzystania z programu Terraform można dodać tylko HIPAAPCI_DSS, lub NONE jako standardy zgodności. Inne standardy zgodności należy skonfigurować za pośrednictwem portalu Azure, Azure CLI, programu PowerShell lub szablonów usługi ARM.

Aby uzyskać więcej informacji na temat wtyczki azurerm Terraform, zobacz azurerm_databricks_workspace.

Aby na przykład utworzyć obszar roboczy Azure Databricks z włączonymi mechanizmami kontroli zgodności, użyj następujących elementów:

resource "azurerm_databricks_workspace" "this" {
  name                        = "${local.prefix}-workspace"
  resource_group_name         = azurerm_resource_group.this.name
  location                    = azurerm_resource_group.this.location
  sku                         = "premium"
  managed_resource_group_name = "${local.prefix}-workspace-rg"
  tags                        = local.tags

  enhanced_security_compliance {
  automatic_cluster_update_enabled    = true
  compliance_security_profile_enabled   = true
  compliance_security_profile_standards = ["HIPAA", "PCI_DSS", "NONE"]
  enhanced_security_monitoring_enabled  = true
  }
}

Potwierdź, że profil bezpieczeństwa zgodności jest włączony dla przestrzeni roboczej

Możesz potwierdzić, że obszar roboczy korzysta z profilu zabezpieczeń zgodności na karcie Zabezpieczenia i zgodność na stronie obszaru roboczego w konsoli konta.

Obszar roboczy również posiada logo tarczy wyświetlane w interfejsie użytkownika obszaru roboczego. Logo tarczy pojawia się w prawym górnym rogu strony, po prawej stronie nazwy obszaru roboczego. Kliknij nazwę obszaru roboczego, aby wyświetlić listę obszarów roboczych, do których masz dostęp. Obszary robocze, które umożliwiają profil zabezpieczeń zgodności, mają ikonę osłony.

Jeśli brakuje ikon osłony dla obszaru roboczego z włączonym profilem zabezpieczeń zgodności, skontaktuj się z zespołem ds. kont Azure Databricks.

Wyłącz profil bezpieczeństwa zgodności

Włączenie profilu zgodności zabezpieczeń jest zamierzone jako zmiana trwała. Sposób wyłączenia zależy od tego, czy przestrzeń robocza kiedykolwiek przetwarzała dane regulowane:

• Obszar roboczy nigdy nie przetwarzał danych regulowanych: Skontaktuj się z pomocą techniczną, aby poprosić o wyłączenie profilu bezpieczeństwa zgodności.
• Przestrzeń robocza przetworzyła dane regulowane: Nie możesz wyłączyć profilu bezpieczeństwa zgodności. Aby przestać z niego korzystać, musisz usunąć przestrzeń roboczą i utworzyć nową, bez włączonego profilu bezpieczeństwa zgodności.

Te same zasady obowiązują przy usuwaniu jednego lub więcej standardów zgodności, które zostały wcześniej wybrane. Możesz usunąć wybrany standard zgodności z konfiguracji profilu bezpieczeństwa zgodności tylko wtedy, gdy przestrzeń robocza nigdy nie przetwarzała danych regulowanych według tego standardu.