Konfigurace přístupových seznamů IP adres pro pracovní prostory

Tato stránka popisuje, jak nakonfigurovat seznamy přístupu IP pro pracovní prostory Azure Databricks. Tento článek popisuje nejběžnější úlohy, které můžete provádět pomocí rozhraní příkazového řádku Databricks.

Můžete také použít rozhraní API seznamů IP adres.

Poznámka:

Seznamy přístupu IP adres pracovního prostoru a řízení příchozího přenosu dat na úrovni účtu se vynucují společně. Aby bylo možné úspěšně provést požadavek, musí být oba ovládací prvky povolené.

Kontextové ovládací prvky příchozího přenosu dat poskytují jemně odstupňované zabezpečení kombinováním identity, typu požadavku a podmínek zdroje sítě. Konfiguruje se na úrovni účtu a jedna zásada může řídit více pracovních prostorů a zajistit konzistentní vynucování ve vaší organizaci. Databricks doporučuje používat kontextové řízení přístupu jako primární metodu pro správu přístupu. Viz Řízení příchozího přenosu dat na základě kontextu.

Seznamy přístupu IP adres pracovního prostoru se stále dají použít k přidání další vrstvy omezení na základě IP adresy, ale nemůžou rozšířit přístup nad rámec toho, co umožňuje příchozí přenos dat založený na kontextu.

Požadavky

  • Tato funkce vyžaduje plán Premium.
  • Seznamy přístupu IP podporují pouze adresy protokolu IPv4 (Internet Protocol verze 4).

  • Pokud povolíte zabezpečené připojení ke clusteru v pracovním prostoru, musí být všechny veřejné IP adresy, které výpočetní rovina používá pro přístup k řídicí rovině, buď přidány do seznamu povolených, nebo musíte nakonfigurovat back-end Private Link. Jinak se klasické výpočetní prostředky nedají spustit.

    Pokud například povolíte zabezpečené připojení clusteru v pracovním prostoru, který používá injektáž virtuální sítě, databricks doporučuje, aby váš pracovní prostor má stabilní veřejnou IP adresu pro výchozí přenos dat. Tato veřejná IP adresa a všechny ostatní musí být v seznamu povolených. Viz Nasazení Azure Databricks ve virtuální síti Azure (injektáž virtuální sítě). Případně pokud používáte virtuální síť spravovanou službou Azure Databricks a nakonfigurujete spravovanou bránu NAT pro přístup k veřejným IP adresám, musí být tyto IP adresy uvedené v seznamu povolených adres. Další informace najdete v příspěvku komunity Databricks.

Zkontrolujte, jestli má váš pracovní prostor povolenou funkci přístupového seznamu IP adres.

Pokud chcete zkontrolovat, jestli má váš pracovní prostor povolenou funkci přístupového seznamu IP adres:

databricks workspace-conf get-status enableIpAccessLists

Povolení nebo zakázání funkce přístupového seznamu IP adres pro pracovní prostor

V textu požadavku JSON zadejte enableIpAccessLists jako true (povoleno) nebo false (zakázáno).

databricks workspace-conf set-status --json '{
  "enableIpAccessLists": "true"
}'

Přidání přístupového seznamu IP adres

Pokud je povolená funkce přístupových seznamů IP adres a pro pracovní prostor nejsou žádné seznamy povolených nebo blokovaných seznamů, jsou povoleny všechny IP adresy. Přidání IP adres do seznamu povolených blokuje všechny IP adresy, které nejsou v seznamu. Pečlivě zkontrolujte změny, abyste se vyhnuli nezamýšleným omezením přístupu.

Všechny veřejné IP adresy, které výpočetní rovina používá pro přístup k řídicí rovině, by se měly přidat do seznamu povolených.

Přístupové seznamy IP adres mají popisek, což je název seznamu a typ seznamu. Typ seznamu je buď ALLOW (seznam povolených), nebo BLOCK (seznam blokovaných položek, což znamená vyloučení i v seznamu povolených položek).

Pokud například chcete přidat seznam povolených položek:

databricks ip-access-lists create --json '{
  "label": "office",
  "list_type": "ALLOW",
  "ip_addresses": [
    "1.1.1.0/24",
    "2.2.2.2/32"
  ]
}'

Výpis přístupových seznamů IP adres

databricks ip-access-lists list

Aktualizace přístupového seznamu IP adres

Zadejte alespoň jednu z následujících hodnot, které chcete aktualizovat:

  • label — Popisek pro tento seznam.
  • list_type — Buď ALLOW (seznam povolených), nebo BLOCK (seznam blokovaných položek, což znamená vyloučení, i když je v seznamu povolených).
  • ip_addresses – Pole JSON s IP adresami a rozsahy CIDR jako řetězcové hodnoty.
  • enabled — Určuje, zda je tento seznam povolený. Předat true nebo false.

Odpověď je kopie objektu, který jste předali s dalšími poli pro ID a data změny.

Pokud chcete například zakázat seznam:

databricks  ip-access-lists update <list-id> --json '{
  "enabled": false
}'

Odstranění přístupového seznamu IP adres

Odstranění přístupu k IP adrese:

databricks  ip-access-lists delete <list-id>

Další kroky

  • Last updated on