Benutzer/Benutzerinnen in Azure Databricks-Netzwerken

In diesem Handbuch werden Features zum Anpassen des Netzwerkzugriffs zwischen Benutzern und deren Azure Databricks Arbeitsbereichen und Ressourcen auf Kontoebene vorgestellt.

Standardmäßig können Benutzer und Anwendungen über eine beliebige IP-Adresse eine Verbindung mit Azure Databricks herstellen. Benutzer können mithilfe von Azure Databricks auf kritische Datenquellen zugreifen. Wenn die Anmeldeinformationen eines Benutzers durch Phishing oder einen ähnlichen Angriff kompromittiert werden, verringert die Sicherung des Netzwerkzugriffs erheblich das Risiko einer Kontoübernahme. Konfigurationen wie private Konnektivität, IP-Zugriffslisten und Firewalls tragen dazu bei, wichtige Daten sicher zu halten.

Sie können auch Authentifizierungs- und Zugriffssteuerungsfeatures konfigurieren, um die Anmeldeinformationen Ihrer Benutzer zu schützen, siehe Authentifizierung und Zugriffssteuerung.

Die Funktionen auf dieser Seite sichern, wie Benutzer und Anwendungen sich mit Azure Databricks verbinden, einem der drei Verbindungspunkte in der Azure Databricks-Netzwerkarchitektur.

Siehe Übersicht der Netzwerkreferenzarchitektur.

Anmerkung

Benutzer, die die sicheren Netzwerkfunktionen von Azure Databricks nutzen möchten, benötigen den Premium-Plan.

Private Konnektivität

Zwischen Azure Databricks-Benutzern und der Kontrollebene bietet Private Link starke Steuerelemente, die die Quelle für eingehende Anforderungen einschränken. Wenn Ihre Organisation Datenverkehr über eine Azure-Umgebung weiterleitet, können Sie den privaten Link verwenden, um sicherzustellen, dass die Kommunikation zwischen Benutzern und der Databricks-Kontrollebene keine öffentlichen IP-Adressen durchläuft. Siehe Eingehenden private Verbindung für Arbeitsbereiche konfigurieren.

Kontextbasierte Zugriffskontrolle

Die kontextbasierte Ingress-Steuerung verwendet auf Kontoebene konfigurierte Richtlinien, die Identität, Anfragetyp und Netzwerkquelle kombinieren, um zu bestimmen, wer auf Ihre Arbeitsbereiche und Ressourcen auf Kontoebene zugreifen kann. Workspace-Level-Richtlinien regeln den Zugriff auf Workspaces, und eine einzelne Account-Level-Policy (account-policy) regelt den Zugriff auf Account-Level-Ressourcen wie die Kontokonsole.

Für die Zugriffstypen, Netzwerkquellen und Identitäten, die Sie abgleichen können, sowie für Durchsetzungsmodi und wie der Eingang mit IP-Zugriffslisten und privater Verbindung interagiert, siehe Kontextbasierte Eingangskontrolle.

Informationen zum Konfigurieren von Richtlinien finden Sie unter Kontextbasierte Eingangsrichtlinien für Arbeitsbereiche verwalten und Kontextbasierte Eingangsrichtlinien für Konten verwalten.

IP-Zugriffslisten

Die Authentifizierung beweist die Benutzeridentität, erzwingt jedoch nicht den Netzwerkstandort des Benutzers. Der Zugriff auf einen Clouddienst aus einem ungesicherten Netzwerk stellt Sicherheitsrisiken dar, insbesondere wenn der Benutzer möglicherweise autorisierten Zugriff auf vertrauliche oder personenbezogene Daten hat. Mithilfe von IP-Zugriffslisten können Sie Azure Databricks-Arbeitsbereiche so konfigurieren, dass Benutzer nur über vorhandene Netzwerke mit einem sicheren Umkreis eine Verbindung mit dem Dienst herstellen.

Sie können auch IP-Zugriffslisten verwenden, um den Zugriff auf Ressourcen auf Kontoebene zu steuern.

Administratoren können die IP-Adressen angeben, die Zugriff auf Azure Databricks erlauben. Sie können auch IP-Adressen oder Subnetze angeben, die blockiert werden sollen. Ausführliche Informationen finden Sie unter Verwalten von IP-Zugriffslisten.

Sie können auch den privaten Link verwenden, um den gesamten öffentlichen Internetzugriff auf einen Azure Databricks-Arbeitsbereich zu blockieren.

Firewallregeln

Viele Organisationen verwenden Firewalls, um den Datenverkehr basierend auf Domänennamen zu blockieren. Sie müssen die Liste der Azure Databricks-Domänennamen zulassen, um den Zugriff auf Azure Databricks-Ressourcen sicherzustellen. Weitere Informationen finden Sie unter Konfigurieren von Firewallregeln für Domänennamen.

Azure Databricks führt auch die Hostheaderüberprüfung durch, um sicherzustellen, dass Anforderungen autorisierte Azure Databricks-Domänen wie .azuredatabricks.net verwenden. Anforderungen, die Domänen außerhalb des Azure Databricks-Netzwerks verwenden, werden blockiert. Diese Sicherheitsmaßnahme schützt vor potenziellen HTTP-Hostheaderangriffen.