Kontextové zásady sítě

Kontextové zásady Azure Databricks poskytují jednotný rámec zabezpečení pro správu příchozího i odchozího provozu do vašich pracovních prostorů a prostředků na úrovni účtu (například konzole účtu a Genie One na úrovni účtu). Zásady na úrovni pracovního prostoru se konfigurují v rámci zásad na úrovni pracovního prostoru s výchozí zásadou na úrovni pracovního prostoru přiřazenou všem pracovním prostorům bez explicitního přiřazení. Zásady na úrovni účtu se konfiguruje samostatně v rámci zásad na úrovni účtu. id zásady je account-policy.

Díky kontextově podmíněnému přístupu můžou správci omezit přístup k pracovnímu prostoru i účtu na základě kombinace identity, zdroje připojení a typu požadavku. Zásady odchozího přenosu dat bez serveru rozšiřují toto řízení na odchozí provoz omezením bezserverových úloh na autorizované cíle. Tyto zásady sítě společně pomáhají zajistit, aby přístup uživatelů i přesun dat zůstaly v rámci důvěryhodných hranic ve vaší organizaci.

Kontextové zásady sítě doplňují tyto stávající funkce zabezpečení:

• Kontextové řízení příchozího přístupu
  • Přístupové seznamy IP adres pracovního prostoru
  • Seznamy přístupu k IP adresě účtu
  • Příchozí Private Link (s využitím nastavení privátního přístupu)
• Řízení výchozího přenosu dat bez serveru:
  • Odchozí Private Link (s využitím konfigurací připojení k síti)

Výhody

Zásady sítě příchozího přenosu dat založené na kontextu poskytují pro zabezpečení sítě následující výhody:

• Vylepšené zabezpečení: Zmírnění rizik neoprávněného přístupu a exfiltrace dat
• Řízení s podporou identit: Podpora klientů SaaS bez stabilních rozsahů IP adres pomocí pravidel založených na identitách.
• Flexibilní vynucování: Použití různých pravidel u různých typů požadavků, zdrojů a identit
• Centralizovaná správa: Konfigurujte jednou na úrovni účtu a platí pro více pracovních prostorů.
• Bezpečné testování: Pomocí režimu suchého spuštění otestujte dopady zásad před úplným vynucováním.

Porovnání typů zásad

Zásady sítě založené na kontextu zahrnují dva typy: řízení příchozího přenosu dat a řízení výchozího přenosu dat. Následující tabulka shrnuje klíčové rozdíly:

Vlastnost	Řízení příchozího provozu	Řízení výchozího přenosu dat
Co to řídí	Příchozí požadavky na pracovní prostor Azure Databricks a koncové body na úrovni účtu.	Odchozí připojení z bezserverového výpočetního prostředí k externím cílům
Primární případ použití	Omezte, kdo může přistupovat k vašemu pracovnímu prostoru a prostředkům na úrovni účtu, odkud k nim může přistupovat a k čemu může získat přístup.	Zabránit exfiltraci dat tím, že určuje, ke kterým externím prostředkům se může připojit bezserverové výpočetní prostředí.
Kritéria zásad	Identita (více uživatelů nebo více instančních objektů) Zdroj sítě (rozsah CIDR, registrované privátní koncové body) Typ přístupu: pro pracovní prostory (uživatelské rozhraní pracovních prostorů, rozhraní API pracovních prostorů, běhové prostředí aplikací, běhové prostředí Lakebase); pro účet (uživatelské rozhraní účtu, rozhraní API účtu)	Povolené lokality Plně kvalifikované názvy domén Kontejnery cloudového úložiště
Protokolování auditu	system.access.inbound_network systémová tabulka	system.access.outbound_network systémová tabulka

Jak fungují kontextové zásady

S řízením přístupu můžete:

• Zastavte přístup z nedůvěryhodných sítí tím, že vyžaduje platné přihlašovací údaje i důvěryhodný zdroj sítě.
• Povolte nástroje pro automatizaci SaaS s dynamickými IP adresami pomocí pravidel založených na identitě místo seznamů povolených IP adres.
• Omezte citlivé operace na uživatelské rozhraní a zároveň povolte širší přístup k rozhraní API.
• Omezte servisní principály s vysokými přístupovými právy jenom na rozsahy podnikové sítě.

S řízením odchozího provozu můžete:

• Zabraňte exfiltraci dat omezením, ke kterým externím rozhraním API může bezserverová technologie přistupovat.
• Povolte připojení pouze ke schváleným kontejnerům cloudového úložiště a externím databázím.
• Zablokujte odchozí připojení k nepovoleným cílům, zatímco povolujete požadované integrace.
• Vynucujte dodržování předpisů omezením přesunu dat na schválené oblasti a služby.

Průvodce konfigurací	Description
Konfigurace ingresních politik	Nastavte pravidla povolení a zamítnutí, která kombinují identitu, zdroj sítě a typ přístupu pro řízení příchozích požadavků do vašeho pracovního prostoru.
Konfigurace zásad výchozího přenosu dat	Definujte pravidla odchozího připojení pro řízení, ke kterým externím cílům se můžou připojit výpočetní prostředky bez serveru.

Režimy vynucení

Kontextové zásady mají dva různé režimy vynucení:

• Vynucený režim: Pravidla se aktivně používají. Porušující požadavky jsou zablokovány.
• Suchý režim spuštění: Porušení jsou protokolována, ale nejsou blokována. Tento režim použijte k otestování dopadů zásad před vynucením.

Databricks doporučuje začít s suchým režimem spuštění, aby nedocházelo k neúmyslným přerušením přístupu.

Protokolování auditu

Azure Databricks protokoluje všechna vyhodnocení zásad pro dodržování předpisů a monitorování:

• Ingress: Zaznamenán v systémové tabulce system.access.inbound_network.
• Výchozí přenos dat: Zaprotokolováno v system.access.outbound_network systémové tabulce.

Dotazem na tyto protokoly ověřte efektivitu zásad a detekujte pokusy o neoprávněný přístup.

Interakce zásad s jinými ovládacími prvky

• Přístupové seznamy IP adres: Přístupové seznamy IP adres i zásady příchozího přenosu dat založené na kontextu veřejného přístupu musí požadavek povolit. Pokud v nastavení privátního přístupu zakážete veřejný přístup, systém odmítne všechny veřejné požadavky bez ohledu na pravidla zásad příchozího přenosu dat.

• Soukromé připojení:
  • Pro pracovní prostředí a daný registrovaný koncový bod jsou povoleny koncové body povolené buď v kontextovém vstupu, nebo v soukromém koncovém bodě databricks_ui_api . Pokud však zásady příchozího přístupu pracovního prostoru založené na kontextu obsahují pravidlo, které zakazuje všechny koncové body databricks_ui_api, pak žádný koncový bod databricks_ui_api nemůže přistupovat ke službě Azure Databricks.
  • Pro politiku na úrovni účtu je kontextově založený vstup jediným zdrojem pravdy pro politiku soukromého přístupu.

• Profily zabezpečení: Kontextové zásady poskytují ovládací prvky na úrovni sítě, které doplňují zásady správného řízení výpočetních prostředků a dat.

Note

Obecně je dostupný kontextový vstup (GA). Některé související funkce jsou v beta verzi:

• Kontextové vstupní politiky pro váš účet: Aplikujte přístupová pravidla na konzoli účtu, Genie One na úrovni účtu a API účtu. Odepření těchto zásad se nezaznamenávají.
• Partnerské platformy jako zdroj sítě: Umožňuje přidat IP adresy, které aplikace třetích stran (Power BI, Tableau Cloud a dbt) používají pro připojení k Azure Databricks. Azure Databricks automaticky spravuje a aktualizuje tyto seznamy IP adres.

Osvědčené postupy

• Začněte s testovacím režimem, abyste před vynucováním ověřili chování politiky.
• Používejte pravidla založená na identitě pro klienty SaaS s dynamickými IP adresami.
• Nejprve použijte pravidla odepření u služebních principálů s vysokými oprávněními, abyste omezili riziko.
• Pravidelně monitorujte protokoly auditu a detekujte neočekávané vzory přístupu.
• Otestujte zásady výchozího přenosu dat, abyste zajistili, že požadované externí prostředky zůstanou přístupné.
• Pro dlouhodobou udržovatelnost používejte popisné názvy zásad.