Règles réseau de trafic sortant utilisant Azure Policy (préversion)

La liste verte du trafic sortant des noms de domaine complets (FQDN) est une pratique de sécurité réseau qui permet aux organisations de contrôler et de restreindre le trafic sortant de leurs réseaux vers des noms de domaine approuvés spécifiques.

Vue d’ensemble

Les règles de trafic sortant dans Azure Data Factory sont un moyen efficace pour les utilisateurs de limiter le trafic sortant en spécifiant des noms de domaine complets (FQDN) ou des points de terminaison réseau autorisés. Cette fonctionnalité critique offre aux administrateurs de la sécurité réseau un meilleur contrôle, en améliorant la gouvernance et en empêchant l’exfiltration des données. Azure Policy est utilisé pour appliquer ces règles .

Ces règles de trafic sortant s’appliquent à différentes activités de pipeline. Ceci inclut les activités Copie, Flux de données, Web, Webhook et Azure Function ainsi que des scénarios de création comme la prévisualisation des données et la connexion de test. En plus du réseau virtuel managé, ces règles de trafic sortant vous aident à créer une solution d’intégration des données sécurisée et empêchant l’exfiltration.

Notes

Actuellement, cette fonctionnalité est uniquement disponible en tant que version préliminaire.

Prérequis

Pour appliquer une stratégie Azure Policy à Azure Data Factory, l’utilisateur doit disposer de l’autorisation Contributeur de la stratégie de ressource. Ce rôle peut être attribué à la personne responsable de la configuration des stratégies pour Data Factory.

Étapes pour activer Azure Policy pour les règles de trafic sortant

Pour appliquer des stratégies à une instance Azure Data Factory, effectuez les étapes suivantes.

1. Accédez à un groupe de ressources qui contient l’instance Azure Data Factory.

   

2. Sélectionnez l’onglet Stratégies à gauche, puis accédez aux définitions de stratégie intégrées publiées par Microsoft. Sélectionnez ADF_Dataplane_Policies - Microsoft Azure.

   

3. Attribuez la stratégie.

4. Sous l’onglet Paramètres, spécifiez la liste des noms de domaine approuvés, puis sélectionnez Enregistrer.

   Notes

   Il s’agit d’un tableau JSON qui doit être fourni comme montré dans l’image, avec chaque domaine entre guillemets, séparé par des virgules, la liste entière étant entourée de crochets.

   

5. Vérifiez et créez la stratégie.

6. Accédez à Azure Data Factory Studio et activez la fonctionnalité des règles de trafic sortant en sélectionnant l’onglet Gérer à gauche, puis Règles de trafic sortant.

   

   Remarque

   Pour mettre à jour la liste verte pour y ajouter de nouvelles URL, modifiez les paramètres de stratégie.

Limitations connues

• Les règles de stratégie de trafic sortant ne sont pas appliquées pour les scénarios Airflow et SSIS.
• Lors de la configuration des noms de domaine, vous devez fournir des noms de domaine complets. Les modèles avec caractères génériques/regex ne sont pas pris en charge dans les noms de domaine. Si vous souhaitez spécifier que les deux microsoft.com, et www.microsoft.com en tant que domaines approuvés, les deux doivent être spécifiés lors de la configuration de la stratégie. Par exemple : [“microsoft.com”, “www.microsoft.com”].
• Limites de limitation appliquées dans Azure Policy pendant la préversion :
  • Pour une instance Azure Data factory individuelle : 1 000 demandes / 5 minutes. Seules 1 000 exécutions d’activité peuvent être exécutées sur une période de 5 minutes. Les demandes d’exécution suivantes échouent une fois cette limite atteinte.
  • Pour un abonnement : 50 000 demandes / 5 minutes. Seules 50 000 exécutions d’activité peuvent être exécutées sur une période de 5 minutes par abonnement. Les demandes d’exécution suivantes échouent une fois cette limite atteinte.

Contenu connexe

Consultez l’article suivant pour en savoir plus sur la base de référence de sécurité Azure :

Base de référence de sécurité Azure