Vad är serverlös egresskontroll?

Not

Den här funktionen kräver Premium-nivån.

I Azure China är serverlös utgående trafikstyrning endast tillgänglig i regionen China North 3. Din arbetsyta måste finnas i China North 3.

Den här sidan förklarar hur serverlös utgående kontroll gör att du kan hantera utgående nätverksanslutningar från dina serverlösa beräkningsresurser.

Information om ingresskontroll finns i Sammanhangsbaserad ingresskontroll.

Serverlös utgående kontroll stärker din säkerhetsstatus genom att du kan hantera utgående anslutningar från dina serverlösa arbetsbelastningar, vilket minskar risken för dataexfiltrering.

Med hjälp av nätverksprinciper kan du:

  • Framtvinga status neka som standard: Kontrollera utgående åtkomst med detaljerad precision genom att aktivera en princip som nekar som standard för Internet-, molnlagrings- och Databricks API-anslutningar.
  • Förenkla hanteringen: Definiera en konsekvent utgående kontrollstrategi för alla dina serverlösa arbetsbelastningar över flera produkter.
  • Hantera enkelt i stor skala: Hantera din hållning centralt över flera arbetsytor och tillämpa en standardprincip för ditt Databricks-konto.
  • Implementera principer på ett säkert sätt: Minska risken genom att utvärdera effekterna av en ny princip först i torrkörningsläge innan fullständig tillämpning.

Kontroll av utgående trafik i serverlösa miljöer stöds för följande serverlösa produkter: anteckningsböcker, arbetsflöden, SQL-datalager, Lakeflow-pipelines, modellservering, datakvalitetsövervakning samt Databricks-appar, med begränsat stöd.

Model Serving-slutpunkter som anropar externa modeller omfattas också av serverlös kontroll av utgående trafik. När en arbetsyta använder begränsad åtkomst lägger du till den externa modellproviderns DNS-namn som tillåtna mål i nätverksprincipen så att slutpunkten kan nå providern.

Not

Om du aktiverar utgående begränsningar på en arbetsyta hindras Databricks-appar från att komma åt obehöriga resurser. Implementering av utgående begränsningar kan dock påverka applikationens funktionalitet.

Översikt över nätverksprincip

En nätverksprincip är ett konfigurationsobjekt som tillämpas på kontonivå. En enskild nätverksprincip kan associeras med flera arbetsytor, men varje arbetsyta kan bara länkas till en princip i taget.

Nätverksprinciper definierar nätverksåtkomstläget för serverlösa arbetsbelastningar på de associerade arbetsytorna. Det finns två primära lägen:

  • Fullständig åtkomst: Serverlösa arbetsbelastningar har obegränsad utgående åtkomst till Internet och andra nätverksresurser.
  • Begränsad åtkomst: Utgående åtkomst är begränsad till:
    • Externa platser i Unity Catalog: Externa platser som konfigurerats i Unity Catalog och som är tillgängliga från arbetsytan. Unity Catalog-regionen måste vara samma som Azure Storage-kontoregionen.
    • Destinationer som är explicit definierade: FQDN:er och Azure-lagringskonton anges i nätverkspolicyn.

Not

Fullständig åtkomst styr endast utgående nätverksåtkomst. Att ställa in en princip på Fullständig åtkomst ger inte åtkomst mellan arbetsytor: serverlösa arbetsbelastningar kan fortfarande bara nå arbetsytans API:er för den arbetsyta som de kör i. Åtkomst mellan arbetsytor styrs separat och påverkas inte av nätverksåtkomstläget.

Principer styr inte bara utgående åtkomst. De kan också innehålla ingresskontroller som avgör hur nätverkstrafiken kommer in i systemet. Mer information om hur du konfigurerar ingresskontroller finns i Sammanhangsbaserad ingresskontroll.

Säkerhetsstatus

När en nätverksprincip är inställd på begränsat åtkomstläge kontrolleras utgående nätverksanslutningar från serverlösa arbetsbelastningar noggrant.

Uppförande Detaljer
Neka utgående anslutning som standardinställning Serverlösa arbetsbelastningar har bara åtkomst till följande: mål som konfigureras via externa platser i Unity Catalog, som är tillåtna som standard, FQDNs eller lagringsplatser som definieras i policyn och arbetsyta-API:er för samma arbetsyta som arbetsbelastningen. Unity Catalog-regionen måste vara samma som Azure Storage-kontoregionen. Åtkomst mellan arbetsytor nekas.
Ingen direkt lagringsåtkomst Direktåtkomst från användarkod i UDF:er och notebook-filer är förbjuden. Använd i stället Databricks-abstraktioner som Unity Catalog eller DBFS-monteringar. DBFS-monteringar ger säker åtkomst till data i Azure-lagringskontot som anges i nätverkspolicyn.
Implicit tillåtna destinationer Du kan alltid komma åt azure-lagringskontot som är associerat med din arbetsyta, viktiga systemtabeller och exempeldatauppsättningar (skrivskyddade).
Policytillämpning för privata slutpunkter Utgående åtkomst via privata slutpunkter omfattas också av de regler som definieras i nätverksprincipen. Destinationen måste anges antingen i Unity-katalogen eller inom policyn. Detta säkerställer konsekvent säkerhet för alla metoder för nätverksåtkomst.
  • Last updated on