無伺服器輸出連線控制可管理無伺服器運算資源的對外網路連線。
如需輸入控制，請參閱 環境定義型輸入控制。
無伺服器輸出控制可讓您管理無伺服器工作負載的輸出連線，以減少數據外流的風險，藉此強化您的安全性狀態。
使用網路原則，您可以：
- 強制執行預設拒絕策略：啟用針對因特網、雲端儲存和 Databricks API 連線的預設拒絕政策，以精細控制輸出存取。
- 簡化管理：為多個無伺服器產品的所有無伺服器工作負載定義一致的出口控制策略。
- 輕鬆地大規模管理：集中管理您在多個工作區的姿態，並為您的 Databricks 帳戶強制執行預設政策。
- 安全實作原則：在完全強制執行之前，先評估任何新原則在試執行模式中的影響，以降低風險。
以下無伺服器產品支援無伺服器出口控制：筆記本、工作流程、SQL 倉庫、Lakeflow 管線、模型服務、資料品質監控，以及支援有限的 Databricks 應用程式。
呼叫外部模型的模型服務端點也受到無伺服器出口控制。 當工作空間使用受限存取時，將外部模型提供者的 DNS 名稱加入網路政策中允許的目的地，讓端點能夠存取該提供者。
MCP 服務同樣受到無伺服器出口控制。 呼叫外部 MCP 伺服器會透過工作區的無伺服器計算平面，因此當工作區使用受限存取時，將 MCP 伺服器的 DNS 名稱加入為允許的目的地。 這包括 Databricks 提供的 system.ai.* MCP 服務，每個服務都能到達自己的目的地。 請參閱 網路。
注意
在工作區上啟用輸出限制可防止 Databricks Apps 存取未經授權的資源。 不過，實作輸出限制可能會影響應用程式功能。
網路原則概觀
網路原則是在帳戶層級套用的組態物件。 雖然單一網路原則可以與多個工作區相關聯，但每個工作區一次只能連結至一個原則。
網路原則會定義相關聯工作區內無伺服器工作負載的網路存取模式。 主要模式有兩種：
- 完整存取：無伺服器工作負載對因特網和其他網路資源具有不受限制的輸出存取。
-
限制存取：外撥存取權限限制於：
- Unity 目錄外部位置：在可從工作區存取的 Unity 目錄中設定的外部位置。 Unity 目錄區域必須與 Azure 記憶體帳戶區域相同。
- 明確定義的目的地：FQDN 和 Azure 儲存帳戶列在網路政策中。
注意
完全存取 僅適用於外撥網路存取。 將政策設定為 完全存取 並不會賦予跨工作空間存取權：無伺服器工作負載仍只能存取其所執行工作區的工作空間 API。 跨工作空間存取由獨立控制，不受網路存取模式影響。
你也可以在網路政策中列出特定 Azure Databricks 工作區作為目的地。 這就是跨工作空間存取的出口端：只有當來源工作區的出口規則和目的工作區的入口規則都允許時，才會允許請求。 請參見 跨工作空間存取。
政策不僅管理和規範出站存取。 它們還可以包括輸入控制，以確定網路流量如何進入系統。 如需設定輸入控制的詳細資訊，請參閱 環境定義型輸入控制。
安全性狀態
當網路原則設定為受限制的存取模式時，會嚴格控制來自無伺服器工作負載的輸出網路連線。
| 行為 | 詳情 |
|---|---|
| 默認拒絕輸出連線 | 無伺服器工作負載只能存取下列專案：透過 Unity 目錄外部位置設定的目的地，預設會允許這些位置、原則中定義的 FQDN 或儲存位置，以及工作負載相同工作區的工作區 API。 Unity 目錄區域必須與 Azure 記憶體帳戶區域相同。 跨工作區存取遭到拒絕。 |
| 沒有直接記憶體存取權 | 禁止從 UDF 和筆記本中的用戶程式代碼直接存取。 請改用 Databricks 抽象概念，例如 Unity 目錄或 DBFS 掛接。 DBFS 掛接允許安全存取網路原則中列出的 Azure 記憶體帳戶中的數據。 |
| 默認允許的目的地 | 您一律可以存取與您的工作區、基本系統數據表和範例數據集相關聯的 Azure 記憶體帳戶（只讀）。 |
| 私人端點的政策執行 | 透過私人端點的輸出存取也會受限於網路原則中定義的規則。 目的地必須列在 Unity 資料目錄或規則內。 這可確保在所有網路存取方法之間一致的安全性強制執行。 |