Políticas de rede baseadas no contexto

As políticas baseadas em contexto do Azure Databrick fornecem uma estrutura de segurança unificada para gerir tanto o tráfego de entrada como de saída para os seus espaços de trabalho. Com a entrada baseada no contexto, os administradores podem restringir o acesso ao espaço de trabalho com base numa combinação de identidade, fonte de rede e tipo de pedido. As políticas de saída serverless estendem este controlo ao tráfego de saída, limitando as cargas de trabalho serverless apenas a destinos autorizados. Em conjunto, estas políticas de rede ajudam a garantir que tanto o acesso dos utilizadores como a movimentação de dados permaneçam dentro de limites de confiança em toda a sua organização.

As políticas de rede baseadas no contexto complementam estas características de segurança existentes:

  • Controlo de entrada baseado no contexto:
    • Listas de acesso IP ao espaço de trabalho
    • Listas de acesso a IP de contas
    • Ligação Privada Entrante
    • Ligação Privada de Saída
  • Controlo de saída sem servidor:
    • Configurações de conectividade de rede (NCCs)

Benefícios

As políticas de entrada baseadas no contexto proporcionam os seguintes benefícios à segurança da sua rede:

  • Segurança reforçada: Mitigar os riscos de acesso não autorizado e exfiltração de dados.
  • Controlo consciente da identidade: Suporta clientes SaaS sem intervalos de IP estáveis usando regras baseadas em identidade.
  • Aplicação flexível: Aplicar regras diferentes a diferentes tipos de pedidos, fontes e identidades.
  • Gestão centralizada: Configura uma vez ao nível da conta, aplica em vários espaços de trabalho.
  • Testes seguros: Use o modo de simulação para testar os impactos das políticas antes da aplicação total das políticas.

Tipos de apólices comparados

As políticas de rede baseadas no contexto incluem dois tipos: controlo de entrada e controlo de saída. A tabela a seguir resume as principais diferenças:

Attribute Controlo de entrada Controlo de saída
O que controla Pedidos de entrada destinados aos endpoints do workspace do Azure Databricks. As ligações de saída de Serverless computam para destinos externos.
Caso de uso primário Restringa quem pode aceder ao seu espaço de trabalho, de onde e o que pode alcançar. Previna a exfiltração de dados controlando quais os recursos externos a que a computação serverless pode ligar.
Critérios de política Identidade (múltiplos utilizadores ou múltiplas entidades de serviço)
Fonte de rede (intervalo CIDR)
Tipo de acesso (UI do Workspace, API, Apps, Lakebase Compute)		 Localizações permitidas
FQDNs (Nomes de Domínio Totalmente Qualificados)
Contentores de armazenamento na nuvem
Registo de auditoria system.access.inbound_network Tabela do sistema system.access.outbound_network Tabela do sistema

Como funcionam as políticas baseadas no contexto

Com controlo de acesso, pode:

  • Bloqueie o acesso a redes não confiáveis exigindo tanto credenciais válidas como uma fonte de rede de confiança.
  • Permitir ferramentas de automação SaaS com IPs dinâmicos usando regras baseadas em identidade em vez de listas de permissões de IP.
  • Restringa operações sensíveis à interface do espaço de trabalho, permitindo ao mesmo tempo um acesso mais amplo à API.
  • Limite as entidades de serviço de alto privilégio apenas aos intervalos da rede corporativa.

Com controlo de saída, pode:

  • Prevenir a exfiltração de dados restringindo quais APIs externas o Serverless Compute pode alcançar.
  • Permitir conectividade apenas a buckets de armazenamento na cloud aprovados e bases de dados externas.
  • Bloqueie ligações de saída para destinos não autorizados, permitindo as integrações necessárias.
  • Impor a conformidade limitando a movimentação de dados para regiões e serviços aprovados.
Guia de configuração Description
Configurar políticas de Ingress Define regras de permitir e negar que combinem identidade, fonte de rede e tipo de acesso para controlar os pedidos de entrada para o teu espaço de trabalho.
Configurar políticas de saída Defina regras de ligação de saída para controlar quais os destinos externos que os seus recursos de computação serverless podem alcançar.

Modos de imposição

As políticas baseadas no contexto têm dois modos diferentes de aplicação:

  • Modo imposto: As regras são aplicadas ativamente. Pedidos que violam as regras são bloqueados.
  • Modo de ensaio a seco: As infrações são registadas mas não bloqueadas. Use este modo para testar os impactos das políticas antes da aplicação.

A Databricks recomenda começar com o modo de teste para evitar interrupções de acesso indesejadas.

Registo de auditoria

O Azure Databricks regista todas as avaliações de políticas para conformidade e monitorização:

Consulte estes registos para validar a eficácia da política e detetar tentativas de acesso não autorizadas.

Como as políticas interagem com outros controlos

  • Listas de acesso IP: Tanto as listas de acesso IP como as políticas de entrada devem permitir um pedido. Se desativar o acesso público nas suas definições de acesso privado, o sistema recusa todos os pedidos públicos independentemente das regras da política de entrada.
  • Conectividade privada: Funciona em conjunto com as políticas de entrada quando o acesso público está habilitado.
  • Perfis de segurança: As políticas baseadas no contexto fornecem controlos ao nível da rede que complementam a computação e a governação de dados.

Melhores práticas

  • Comece com o modo de ensaio para validar o comportamento das políticas antes da aplicação.
  • Use regras baseadas em identidade para clientes SaaS com endereços IP dinâmicos.
  • Aplique primeiro regras de negação aos principais de serviços com privilégios elevados para limitar o risco.
  • Monitorize regularmente os registos de auditoria para detetar padrões de acesso inesperados.
  • Teste as políticas de saída para garantir que os recursos externos necessários permaneçam acessíveis.
  • Use nomes descritivos de apólices para maior manutenção a longo prazo.
  • Last updated on