Spravované zabezpečení

Spravované zabezpečení je základní síťová architektura. Nasadí Azure Databricks do vaší vlastní VNet, přičemž na classic compute je ve výchozím nastavení povolené SCC. Volitelně můžete přidat klasické Private Link pro připojení privátní roviny řízení.

Note

Na rozdíl od Zabezpečeného připojení a Izolovaného prostředí nevyžaduje spravované zabezpečení úroveň Premium služby Azure Databricks. Povolení volitelné klasické výpočetní roviny Private Link je jediná konfigurace, která tuto úroveň vyžaduje.

Azure Databricks prověřuje platformu pomocí každoročních penetračních testů prováděných nezávislými třetími stranami a veřejného programu odměn za nalezené chyby. Viz bezpečnostní dodatek Databricks.

Tato konfigurace má:

• Zabezpečení ve výchozím nastavení: Azure Databricks ve výchozím nastavení umožňuje SCC, šifrování přenášených dat a autentizovaný přístup k pracovnímu prostoru.
• Volitelné privátní připojení k řídicí rovině: Přidejte Private Link pro klasickou výpočetní rovinu, aby se klasický výpočetní provoz směroval do řídicí roviny služby Azure Databricks prostřednictvím privátní sítě. Vyžaduje Azure Databricks úrovně Premium.
• Síť spravovaná zákazníkem: Nasaďte ji do vlastní virtuální sítě pro kontrolu nad rozsahy IP adres, směrováním a skupinami zabezpečení.
• Bezserverové výpočetní prostředky: Pro poznámkové bloky a úlohy používejte bezserverové služby SQL Warehouse a bezserverové výpočetní prostředky.

Tuto konfiguraci použijte v těchto případech:

• Začínáme s Azure Databricks poprvé
• Spouštění neregulovaných úloh bez striktních požadavků na izolaci sítě
• Dáváte přednost provozní jednoduchosti před přizpůsobenými síťovými ovládacími prvky.
• Použití bezserverového výpočetního prostředí jako primární výpočetní možnosti

Požadované komponenty

Příchozí

Přístup k pracovnímu prostoru používá standardní identitu a ověřování. Jako další základní opatření nakonfigurujte zásady příchozího přístupu založené na kontextu, které omezí přístup k pracovnímu prostoru a rozhraní API pouze na sítě vaší organizace, například podnikové VPN, rozsahy kancelářských IP adres a identity. Tím se zvyšuje hloubková ochrana bez nutnosti privátního připojení.

Viz Řízení příchozího přenosu dat na základě kontextu.

Odchozí

Přístup k datům se řídí katalogem Unity. Viz téma Co je katalog Unity?. Pro další základní kontrolu můžete volitelně nasadit externí firewall pro inspekci odchozího provozu služby Classic Compute.

Externí brána firewall (volitelné)

Směrujte odchozí provoz služby Classic Compute přes externí firewall kvůli kontrole, protokolování a vynucování zásad. Požadováno v izolovaném prostředí; volitelné tady.

Mezi možnosti patří Azure Firewall nebo síťové virtuální zařízení (NVA) jiného výrobce.

Výstraha

Řídicí rovina Azure Databricks a připojení služby SCC relay používají protokol TLS s připínáním certifikátů. Nepovolujte kontrolu protokolu TLS (dešifrování a opětovné šifrování) provozu mezi clustery a řídicí rovinou Azure Databricks. Tím dojde k selhání clusteru. Požadované koncové body najdete v článku IP adresy a domény pro služby a prostředky Azure Databricks.

Klasické výpočetní prostředky

Pokud používáte klasické výpočetní prostředky, spravované zabezpečení ve výchozím nastavení používá následující ovládací prvky:

Zabezpečené připojení ke clusteru

Eliminuje veřejné IP adresy na uzlech clusteru. Ve výchozím nastavení je povolená bez další požadované konfigurace.

Viz Povolení zabezpečeného připojení ke clusteru.

Vložení do VNet

Nasaďte Azure Databricks do vlastní virtuální sítě pro kontrolu nad rozsahy IP adres, směrováním a skupinami zabezpečení sítě. Vyžaduje se pro klasické Private Link.

Viz Nasazení Azure Databricks ve virtuální síti Azure (injektáž virtuální sítě).

Následující ovládací prvek je volitelný:

Classic compute plane Private Link (volitelné)

Poskytuje privátní připojení mezi vaší virtuální sítí a řídicí rovinou Azure Databricks. Rozhraní REST API a provoz relé SCC mezi clustery a řídicí rovinou zůstávají neveřejné a nevyužívají veřejný internet. Vyžaduje Azure Databricks úrovně Premium a ve výchozím nastavení není povolená.

Viz Konfigurování privátního připojení klasické výpočetní roviny k Azure Databricks.

Informace o bezpečnostních prvcích nesouvisecích se sítí, včetně šifrování, najdete v tématu Zabezpečení a dodržování předpisů.

Cesty aktualizace

Cesta aktualizace	Kdy provést upgrade
Zabezpečené připojení	Pokud potřebujete řízení přístupu k pracovnímu prostoru založenému na PROTOKOLU IP, řízení výchozího přenosu dat bez serveru, koncové body VPC pro přístup ke cloudovým službám nebo volitelnou externí bránu firewall pro kontrolu výchozího přenosu dat.
Izolované prostředí	Pokud vyžadujete přístup do privátního pracovního prostoru (přes VPN nebo příchozí připojení přes Private Link) a vyžadovaný externí firewall pro úplnou izolaci sítě v celém rozsahu.