Restringir o acesso do destinatário do OpenSharing usando listas de acesso IP (compartilhamento do Databricks para Abrir)

Este artigo descreve como os provedores de dados podem atribuir listas de acesso IP para controlar o acesso dos destinatários aos dados compartilhados.

Se você, como provedor de dados, estiver usando o protocolo de compartilhamento Databricks-to-Open, poderá limitar um destinatário a um conjunto restrito de endereços IP quando eles acessarem os dados que você compartilha. Essa lista é independente das listas de acesso de IP do workspace. Há suporte apenas para listas de permissões.

A lista de acesso de IP afeta o seguinte:

  • Acesso à API REST do protocolo OSS OpenSharing
  • Acesso à URL de ativação do OpenSharing
  • Download de arquivo de credencial do OpenSharing

Note

Quando o provedor tem o SecureConnect habilitado, a lista de acesso ip também impõe acesso ao armazenamento de dados compartilhado. Sem o SecureConnect, as URLs de armazenamento são acessíveis de qualquer IP do cliente, independentemente da lista de acesso a IP.

Cada destinatário dá suporte a um máximo de 100 valores de IP/CIDR, em que uma CIDR conta como um único valor. Há suporte somente para endereços IPv4.

Atribuir uma lista de acesso de IP a um destinatário

Você pode atribuir uma lista de acesso de IP a um destinatário usando o Explorador de Catálogos ou a CLI do Catálogo do Unity do Databricks.

Permissões necessárias: se você estiver atribuindo uma lista de acesso IP ao criar um destinatário, deverá ter o CREATE RECIPIENT privilégio. Se você estiver atribuindo uma lista de acesso de IP a um destinatário existente, precisará ser o proprietário do objeto do destinatário.

Gerenciador de Catálogos

  1. No workspace Azure Databricks, clique em Data icon.Catalog.

  2. Na parte superior do painel Catálogo , clique no ícone Engrenagem. Ícone de engrenagem e selecione OpenSharing.

    Como alternativa, no canto superior direito, clique em Compartilhar > OpenSharing.

  3. Na guia Compartilhado por mim, clique em Destinatários e selecione o destinatário.

  4. Na guia lista de acesso de IP, clique em Adicionar endereços IP/CIDRs para cada endereço IP (no formato de endereço IP único, como 8.8.8.8) ou intervalo de endereços IP (no formato CIDR, como 8.8.8.4/10).

CLI

Para adicionar uma lista de acesso de IP ao criar um destinatário, execute o comando a seguir usando a CLI do Databricks, substituindo <recipient-name> e os valores de endereço IP.

databricks recipients create \
--json=-'{
  "name": "<recipient-name>",
  "authentication_type": "<authentication-type>",
  "ip_access_list": {
    "allowed_ip_addresses": [
      "8.8.8.8",
      "8.8.8.4/10"
    ]
  }
}'

Para adicionar uma lista de acesso de IP a um destinatário existente, execute o comando a seguir, substituindo <recipient-name> e os valores de endereço IP.

databricks recipients update \
--json='{
  "name": "<recipient-name>",
  "ip_access_list": {
    "allowed_ip_addresses": [
      "8.8.8.8",
      "8.8.8.4/10"
    ]
  }
}'

Remover uma lista de acesso de IP

Você pode remover a lista de acesso IP de um destinatário usando o Gerenciador de Catálogos ou a CLI do Catálogo do Databricks Unity. Se você remover todos os endereços IP da lista, o destinatário poderá acessar os dados compartilhados de qualquer lugar.

Permissões necessárias: proprietário do objeto destinatário.

Gerenciador de Catálogos

  1. No workspace Azure Databricks, clique em Data icon.Catalog.

  2. Na parte superior do painel Catálogo , clique no ícone Engrenagem. Ícone de engrenagem e selecione OpenSharing.

    Como alternativa, no canto superior direito, clique em Compartilhar > OpenSharing.

  3. Na guia Compartilhado por mim, clique em Destinatários e selecione o destinatário.

  4. Na guia lista de acesso de IP, clique no ícone de lixeira ao lado do endereço IP que você deseja excluir.

CLI

Use a CLI do Databricks para passar qualquer lista de acesso de IP vazia:

databricks recipients update \
--json='{
  "name": "<recipient-name>",
  "ip_access_list": {}
}'

Exibir a lista de acesso ip de um destinatário

Você pode exibir a lista de acesso de IP de um destinatário usando o Explorador de Catálogos, a CLI do Catálogo do Unity do Databricks ou o comando SQL DESCRIBE RECIPIENT em um notebook ou uma consulta SQL do Databricks.

Permissões necessárias: Administrador do metastore, usuário com o privilégio USE RECIPIENT ou o proprietário do objeto do destinatário.

Gerenciador de Catálogos

  1. No workspace Azure Databricks, clique em Data icon.Catalog.

  2. Na parte superior do painel Catálogo , clique no ícone Engrenagem. Ícone de engrenagem e selecione OpenSharing.

    Como alternativa, no canto superior direito, clique em Compartilhar > OpenSharing.

  3. Na guia Compartilhado por mim, clique em Destinatários e selecione o destinatário.

  4. Exiba os endereços IP permitidos na guia lista de acesso de IP.

CLI

Execute o comando a seguir usando a CLI do Databricks.

databricks recipients get <recipient-name>

SQL

Execute o comando a seguir em um notebook ou no editor de SQL do Databricks.

DESCRIBE RECIPIENT <recipient-name>;

Registro de auditoria para listas de acesso IP do OpenSharing

As seguintes operações disparam logs de auditoria relacionados a listas de acesso de IP:

  • Operações de gerenciamento de destinatários: criar, atualizar
  • Negação de acesso a qualquer uma das chamadas à API REST do Protocolo OSS openSharing
  • Negação do acesso à URL de ativação do OpenSharing (somente para compartilhamento de Databricks para Open Sharing)
  • Acesso negado ao download do arquivo de credenciais do OpenSharing (somente compartilhamento de Databricks para Open)

Para saber mais sobre como habilitar e ler logs de auditoria para OpenSharing, consulte Auditar e monitorar o compartilhamento de dados.

  • Last updated on