Kontextbaserade nätverksprinciper

Azure Databricks kontextbaserade nätverkspolicys erbjuder en enhetlig säkerhetsram för att hantera både inkommande och utgående trafik till dina arbetsytor och kontonivåresurser (till exempel kontokonsolen och kontonivåns Genie One).

Azure Databricks stöder två typer av kontextbaserad styrning:

• Kontextbaserad ingresskontroll: Begränsar vem som kan nå dina resurser, varifrån och vad de kan nå, baserat på en kombination av identitet, nätverkskälla och begäran.
• Serverless egress control: Begränsar var dina serverlösa arbetsbelastningar kan skicka data genom att begränsa utgående anslutningar till auktoriserade destinationer.

Översikt av kontextbaserade nätverkspolicys

Kontextbaserade nätverkspolicys låter kontoadministratörer sätta tillåt och neka regler som kombinerar vem som ringer, varifrån de ringer och vad de kan nå, samt kontrollera vilka externa destinationer serverless arbetsbelastningar kan ansluta till. Detta hjälper dig att uppfylla säkerhets- och efterlevnadskrav och minskar risken för obehörig åtkomst och dataexfiltration.

Policyer på arbetsytenivå konfigureras under Policyer på arbetsytenivå, och en standardpolicy på arbetsytenivå tilldelas alla arbetsytor utan en uttrycklig tilldelning. Principen på kontonivå konfigureras separat under Princip på kontonivå. dess princip-ID är account-policy.

Med kontextbaserade nätverkspolicys kan du:

• Stoppa åtkomst från icke-betrodda nätverk genom att kräva en betrodd nätverkskälla utöver inloggningsuppgifter.
• Tillåt åtkomst för software as a service (SaaS)-klienter utan stabila utgångs-IP-adresser genom att ange identitet istället för IP-intervall.
• Begränsa åtkomsten genom att tillåta mindre betrodda källor att endast använda vissa områden, såsom Azure Databricks API:er eller arbetsytans gränssnitt.
• Upprätthåll en deny-by-default-position för utgående anslutningar från serverlösa arbetsbelastningar.
• Granska effektivt genom att fånga detaljerade avslagsloggar i Unity Catalog-systemtabeller.

Kontextbaserade nätverksprinciper kompletterar dessa befintliga säkerhetsfunktioner:

• Kontextbaserad ingresskontroll:
  • IP-åtkomstlistor för arbetsyta
  • Konto-IP-åtkomstlistor
  • Inkommande Private Link (med inställningar för privat åtkomst)
• Serverlös utgående kontroll:
  • Utgående Private Link (med konfigurationer för nätverksanslutning)

Jämförelse av principtyper

Kontextbaserade nätverksprinciper innehåller två typer: ingångskontroll och utgående kontroll. I följande tabell sammanfattas de viktigaste skillnaderna:

Kontextbaserad ingresskontroll

Kontextbaserad ingångskontroll låter kontoadministratörer ställa in tillåt och avslå regler som kombinerar identitet, nätverkskälla och begäransökatyp, så att endast betrodda kombinationer kan nå dina resurser.

Arbetsytsnivåpolicyer styr åtkomst till arbetsytor, och en enda kontonivåpolicy (account-policy) styr kontonivåresurser såsom kontokonsolen och kontonivåns Genie One. Varje konto har en standardpolicy på arbetsytsnivå som gäller för alla berättigade arbetsytor utan en explicit tilldelning.

För nätverkskällor, åtkomsttyper, identiteter, regelutvärdering, tillsynsmetoder, granskning och hur ingångar interagerar med andra nätverkskontroller, se Kontextbaserad ingångskontroll.

Serverlös utgående kontroll

Serverless egress control hanterar utgående nätverksanslutningar från dina serverlösa beräkningsresurser, vilket minskar risken för dataexfiltration. En nätverkspolicy är ett objekt på kontonivå, kopplat till en eller flera arbetsytor, som sätter utgående åtkomstläge för serverlösa arbetsbelastningar:

• Full åtkomst: Serverlösa arbetsbelastningar har obegränsad utgående åtkomst till internet och andra nätverksresurser.
• Begränsad åtkomst: Utgående åtkomst är begränsad till externa platser i Unity-katalogen samt de FQDN:er och Azure-lagringskonton som du uttryckligen anger i policyn.

För säkerhetsläget för begränsad åtkomst, stödda serverlösa produkter och konfigurationssteg, se Vad serverless egress control är?.

Verkställningslägen

Både ingångs- och utgångspolicys stödjer Enforced-läge , där regler tillämpas och överträdelser blockeras, samt Dry run-läge , där överträdelser loggas men inte blockeras. Databricks rekommenderar att man börjar i torrkörningsläge för att undvika oavsiktliga åtkomststörningar.

Granskningsloggning

Azure Databricks loggar utvärderingar av principer för efterlevnad och övervakning: nekad inkommande trafik i system.access.inbound_network och utgående händelser i system.access.outbound_network. Fråga dessa loggar för att verifiera principens effektivitet och identifiera obehöriga åtkomstförsök.

Hur principer interagerar med andra kontroller

Kontextbaserade ingresspolicyer samverkar med IP-åtkomstlistor och privat anslutning på frontendsidan, och utgående styrning för serverlösa tjänster samverkar med utgående privat anslutning (med konfigurationer för nätverksanslutning). För hur ingress interagerar med var och en av dessa kontroller, inklusive per-molns privata anslutningsbeteende, se Relation med andra kontroller.