Az Azure Synapse Analytics biztonsági tanulmánya: Hálózati biztonság

Megjegyzés

Ez a cikk az Azure Synapse Analytics biztonsági tanulmánysorozatának része. A sorozat áttekintését az Azure Synapse Analytics biztonsági tanulmányában tekintheti meg.

Az Azure Synapse védelméhez számos hálózati biztonsági lehetőséget kell figyelembe venni.

Hálózati biztonsági terminológia

Ez a nyitó szakasz áttekintést és definíciókat tartalmaz a hálózatbiztonsághoz kapcsolódó néhány kulcsfontosságú Azure Synapse-kifejezésről. A cikk elolvasása során tartsa szem előtt ezeket a definíciókat.

Synapse-munkaterület

A Synapse-munkaterület az Azure Synapse által kínált összes szolgáltatás biztonságos logikai gyűjteménye. Dedikált SQL-készleteket (korábbi nevén SQL DW), kiszolgáló nélküli SQL-készleteket, Apache Spark-készleteket, folyamatokat és egyéb szolgáltatásokat tartalmaz. Bizonyos hálózati konfigurációs beállítások, például az IP-tűzfalszabályok, a felügyelt virtuális hálózat és a jóváhagyott bérlők a kiszűrési védelemhez, a munkaterület szintjén vannak konfigurálva és védve.

Synapse-munkaterület végpontjai

A végpont egy bejövő kapcsolat egy pontja egy szolgáltatás eléréséhez. Minden Synapse-munkaterület három különböző végpontot használ:

• Dedikált SQL-végpont dedikált SQL-készletek eléréséhez.
• Kiszolgáló nélküli SQL-végpont kiszolgáló nélküli SQL-készletek eléréséhez.
• Fejlesztési végpont az Apache Spark-készletek és a folyamaterőforrások eléréséhez a munkaterületen.

Ezek a végpontok automatikusan létrejönnek a Synapse-munkaterület létrehozásakor.

Synapse Studio

A Synapse Studio egy biztonságos webes előtérbeli fejlesztési környezet az Azure Synapse számára. Számos szerepkört támogat, többek között az adatmérnököt, az adattudóst, az adatfejlesztőt, az adatelemzőt és a Synapse-rendszergazdát.

A Synapse Studióval különböző adat- és felügyeleti műveleteket hajthat végre az Azure Synapse-ban, például:

• Csatlakozás dedikált SQL-készletekhez, kiszolgáló nélküli SQL-készletekhez és SQL-szkriptek futtatásához.
• Jegyzetfüzetek fejlesztése és futtatása Apache Spark-készleteken.
• Folyamatok fejlesztése és futtatása.
• Dedikált SQL-készletek, kiszolgáló nélküli SQL-készletek, Apache Spark-készletek és folyamatfeladatok monitorozása.
• A munkaterületelemek Synapse RBAC-engedélyeinek kezelése.
• Felügyelt privát végpontkapcsolatok létrehozása adatforrásokhoz és fogadókhoz.

A munkaterületvégpontokhoz a Synapse Studióval lehet kapcsolatot létesíteni. Emellett privát végpontokat is létrehozhat, amelyek biztosítják, hogy a munkaterület végpontjaival való kommunikáció privát legyen.

Nyilvános hálózati hozzáférési és tűzfalszabályok

Alapértelmezés szerint a munkaterület végpontjai nyilvános végpontok , amikor ki vannak építve. Ezeknek a munkaterület-végpontoknak a hozzáférése bármely nyilvános hálózatról engedélyezve van, beleértve az ügyfél szervezetén kívüli hálózatokat is, anélkül, hogy VPN-kapcsolatot vagy ExpressRoute-kapcsolatot kellene létesítenie az Azure-hoz.

Az összes Azure-szolgáltatás, beleértve a PaaS-szolgáltatásokat, például az Azure Synapse-t, alapvető DDoS-védelemmel van ellátva a rosszindulatú támadások (aktív forgalomfigyelés, mindig észlelés és automatikus támadáscsökkentés) érdekében.

A munkaterületi végpontok felé – akár nyilvános hálózatokon keresztül is – az összes forgalom átvitel közben titkosítva és védve van a Transport Level Security (TLS) protokoll használatával.

A bizalmas adatok védelme érdekében javasoljuk, hogy teljes egészében tiltsa le a munkaterület végpontjaihoz való nyilvános hozzáférést. Ezzel biztosítja, hogy a munkaterület összes végpontja csak privát végpontok használatával érhető el.

Az előfizetésben vagy erőforráscsoportban lévő összes Synapse-munkaterület nyilvános hozzáférésének letiltása egy Azure Policy hozzárendelésével történik. A nyilvános hálózati hozzáférést munkaterületenként is letilthatja a munkaterület által feldolgozott adatok bizalmassága alapján.

Ha azonban engedélyezni kell a nyilvános hozzáférést, erősen ajánlott úgy konfigurálni az IP-tűzfalszabályokat, hogy csak a nyilvános IP-címek megadott listájából engedélyezze a bejövő kapcsolatokat.

Fontolja meg a nyilvános hozzáférés engedélyezését, ha a helyszíni környezet nem rendelkezik VPN-hozzáféréssel vagy ExpressRoute-okkal az Azure-hoz, és hozzáférést igényel a munkaterület végpontjaihoz. Ebben az esetben adja meg a helyszíni adatközpontok és átjárók nyilvános IP-címeinek listáját az IP-tűzfalszabályokban.

Privát végpontok

Az Azure-beli privát végpontok olyan virtuális hálózati adapterek, amelyek az ügyfél saját Azure Virtual Network (VNet) alhálózatán létrehozott privát IP-címmel rendelkeznek. Privát végpont hozható létre minden olyan Azure-szolgáltatáshoz, amely támogatja a privát végpontokat, például az Azure Synapse-t, a dedikált SQL-készleteket (korábbi nevén SQL DW-t), az Azure SQL Database-eket, az Azure Storage-t vagy az Azure Private Link szolgáltatás által üzemeltetett azure-beli szolgáltatásokat.

Mind a három Synapse-munkaterületi végponthoz létrehozhat privát végpontokat a virtuális hálózaton, egyenként. Így létrehozhat három privát végpontot egy Synapse-munkaterület három végpontja számára: egyet dedikált SQL-készlethez, egyet kiszolgáló nélküli SQL-készlethez, egyet pedig a fejlesztési végponthoz.

A privát végpontok számos biztonsági előnnyel rendelkeznek a nyilvános végpontokhoz képest. Azure-beli virtuális hálózatok privát végpontjai csak belülről érhetők el.

• Ugyanaz a virtuális hálózat, amely ezt a privát végpontot tartalmazza.
• Regionális vagy globálisan társviszonyban található Azure-beli virtuális hálózatok.
• Az Azure-hoz VPN Gatewayen vagy ExpressRoute-on keresztül csatlakozó helyszíni hálózatok.

A privát végpontok fő előnye, hogy már nem szükséges munkaterületi végpontokat elérhetővé tenni a nyilvános interneten. Minél kevesebb a kitettség, annál jobb.

Az alábbi ábra a privát végpontokat ábrázolja.

A fenti diagram a következő főbb pontokat ábrázolja:

Elem	Leírás
	Az ügyfél virtuális hálózatán belüli munkaállomások hozzáférnek az Azure Synapse privát végpontjaihoz.
	Társviszony létesítése az ügyfél virtuális hálózata és egy másik virtuális hálózat között.
	A társhálózatról származó munkaállomás hozzáfér az Azure Synapse privát végpontjaihoz.
	A helyszíni hálózat VPN-en vagy ExpressRoute-on keresztül éri el az Azure Synapse privát végpontjait.
	A munkaterület-végpontok privát végpontokon keresztül vannak leképezve az ügyfél virtuális hálózatára az Azure Private Link szolgáltatással.
	A Synapse-munkaterületen a nyilvános hozzáférés le van tiltva.

Az alábbi ábrán a rendszer a teljes szolgáltatás helyett egy PaaS-erőforrás egy példányára képez le egy privát végpontot. A hálózaton belüli biztonsági incidens esetén csak a leképezett erőforráspéldány jelenik meg, minimalizálva az adatszivárgás és a kiszivárgás veszélyét.

A fenti diagram a következő főbb pontokat ábrázolja:

Elem	Leírás
	Az ügyfél virtuális hálózatának privát végpontja egyetlen dedikált SQL-készlet (korábban SQL DW) végpontra van leképezve az A munkaterületen.
	A többi munkaterület más SQL-készletvégpontjai (B és C) nem érhetők el ezen a privát végponton keresztül, így minimalizálva az expozíciót.

A privát végpont a Microsoft Entra-bérlők és -régiók között működik, így privát végpontkapcsolatok hozhatók létre a Synapse-munkaterületekhez a bérlők és régiók között. Ebben az esetben a privát végpont kapcsolat-jóváhagyási munkafolyamatán megy keresztül. Az erőforrás tulajdonosa szabályozza, hogy mely privát végpontkapcsolatok legyenek jóváhagyva vagy megtagadva. Az erőforrás tulajdonosa teljes mértékben ellenőrzi, hogy ki csatlakozhat a munkaterületekhez.

Az alábbi ábra egy privát végpontkapcsolat-jóváhagyási munkafolyamatot ábrázol.

A fenti diagram a következő főbb pontokat ábrázolja:

Elem	Leírás
	Az A bérlő A munkaterületének dedikált SQL-készletét (korábbi nevén SQL DW) egy privát végpont éri el az A bérlő ügyfél virtuális hálózatában.
	Az A bérlő A munkaterületének dedikált SQL-készletét (korábbi nevén SQL DW) egy privát végpont éri el a B bérlői ügyfél virtuális hálózatában egy kapcsolat-jóváhagyási munkafolyamaton keresztül.

Felügyelt virtuális hálózat

A Synapse felügyelt virtuális hálózat funkciója teljes körűen felügyelt hálózati elkülönítést biztosít az Apache Spark-készlethez és a synapse-munkaterületek közötti folyamatszámítási erőforrásokhoz. A munkaterület létrehozásakor konfigurálható. Emellett hálózatelkülönítést is biztosít az azonos munkaterületen belüli Spark-fürtök számára. Minden munkaterület saját virtuális hálózattal rendelkezik, amelyet a Synapse teljes mértékben felügyel. A felügyelt virtuális hálózat nem látható a felhasználók számára a módosítások elvégzéséhez. Az Azure Synapse által egy Felügyelt VNet-ben elindított bármilyen pipeline vagy Apache Spark készlet számítási erőforrásait a rendszer a saját VNet-jén belül biztosítja. Így teljes hálózatelkülönítést biztosít a többi munkaterülettől.

Ez a konfiguráció szükségtelenné teszi az Apache Spark-készlethez és a folyamaterőforrásokhoz tartozó virtuális hálózatok és hálózati biztonsági csoportok létrehozását és kezelését, ahogyan az általában a VNet-injektálással történik.

Így a Synapse-munkaterület több-bérlős szolgáltatásai, például a dedikált SQL-készletek és a kiszolgáló nélküli SQL-készletek nem lesznek kiépítve a felügyelt virtuális hálózaton belül.

Az alábbi ábra az A és B munkaterületek két felügyelt virtuális hálózata közötti hálózati elkülönítést mutatja be apache Spark-készletekkel és folyamaterőforrásokkal a felügyelt virtuális hálózatokon belül.

Felügyelt privát végpontkapcsolat

A felügyelt privát végpontkapcsolat lehetővé teszi a kapcsolódást bármely Azure PaaS-szolgáltatáshoz (amely támogatja a Private Linket) biztonságosan és zökkenőmentesen, anélkül, hogy az ügyfél VNet-jéből privát végpontot kellene létrehozni a szolgáltatás számára. A Synapse automatikusan létrehozza és kezeli a privát végpontot. Ezeket a kapcsolatokat a Synapse felügyelt virtuális hálózaton belül kiépített számítási erőforrások, például az Apache Spark-készletek és a folyamaterőforrások használják az Azure PaaS-szolgáltatásokhoz való privát csatlakozáshoz.

Ha például privát módon szeretne csatlakozni az Azure Storage-fiókjához a folyamatból, a szokásos módszer egy privát végpont létrehozása a tárfiókhoz, és egy saját üzemeltetésű integrációs modul használata a privát tárolóvégponthoz való csatlakozáshoz. A Synapse felügyelt virtuális hálózataival privát módon csatlakozhat a tárfiókhoz az Azure-integrációs modul használatával egyszerűen úgy, hogy közvetlenül a tárfiókhoz hoz létre felügyelt privát végpontkapcsolatot. Ez a megközelítés szükségtelenné teszi, hogy saját üzemeltetésű integrációs futtatókörnyezetet használjon az Azure PaaS-szolgáltatásokhoz való privát csatlakozáshoz.

Így a Synapse-munkaterület több-bérlős szolgáltatásai, például a dedikált SQL-készletek és a kiszolgáló nélküli SQL-készletek nem lesznek kiépítve a felügyelt virtuális hálózaton belül. Ezért nem használják a munkaterületen létrehozott felügyelt privát végpontkapcsolatokat a kimenő kapcsolatukhoz.

Az alábbi ábra egy felügyelt privát végpontot ábrázol, amely egy Azure-tárfiókhoz csatlakozik egy felügyelt virtuális hálózatról az A munkaterületen.

Speciális Spark-biztonság

A felügyelt virtuális hálózatok további előnyöket is biztosítanak az Apache Spark-készlet felhasználói számára. Nincs szükség arra, hogy aggódjon a rögzített alhálózati címtér konfigurálása miatt, mint ahogyan azt a VNet integráció esetén tenné. Az Azure Synapse automatikusan gondoskodik a címterek dinamikus kiosztásáról a számítási feladatokhoz.

Emellett a Spark-készletek feladatfürtként is működnek. Ez azt jelenti, hogy minden felhasználó saját Spark-fürtöt kap a munkaterülettel való interakció során. A Spark-készlet munkaterületen belüli létrehozása metaadat-információ arra vonatkozóan, hogy mi lesz hozzárendelve a felhasználóhoz a Spark-számítási feladatok végrehajtásakor. Ez azt jelenti, hogy minden felhasználó saját Spark-fürtöt kap egy dedikált alhálózatban a felügyelt virtuális hálózaton belül a számítási feladatok végrehajtásához. Ugyanazon felhasználó sparkkészlet-munkamenetei ugyanazon számítási erőforrásokon futnak. Ennek a funkciónak a biztosításával három fő előnye van:

• Nagyobb biztonság a számítási feladatok felhasználón alapuló elkülönítése miatt.
• A zajos szomszédok csökkentése.
• Nagyobb teljesítmény.

Adatkiszivárgás elleni védelem

A felügyelt virtuális hálózattal rendelkező Synapse-munkaterületek további, adatkiszivárgás elleni védelemnek nevezett biztonsági funkcióval rendelkeznek. Az Azure Synapse-ból kimenő összes kimenő forgalmat védi az összes szolgáltatástól, beleértve a dedikált SQL-készleteket, a kiszolgáló nélküli SQL-készleteket, az Apache Spark-készleteket és a folyamatokat. Úgy van konfigurálva, hogy engedélyezi az adatkiszivárgás elleni védelmet a munkaterület szintjén (a munkaterület létrehozásakor), hogy a kimenő kapcsolatokat a Microsoft Entra-bérlők engedélyezett listájára korlátozza. Alapértelmezés szerint csak a munkaterület otthoni bérlője lesz hozzáadva a listához, de bármikor felveheti vagy módosíthatja a Microsoft Entra-bérlők listáját a munkaterület létrehozása után. További bérlők hozzáadása magas jogosultsági szintű művelet, amelyhez a Synapse-rendszergazda emelt szintű szerepköre szükséges. Hatékonyan szabályozza az Azure Synapse-ból más szervezetekre és bérlőkre irányuló adatok kiszivárgását anélkül, hogy bonyolult hálózati biztonsági szabályzatokat kellene életbe léptetnie.

Az adatkiszivárgás elleni védelemmel rendelkező munkaterületek esetében a Synapse-folyamatoknak és az Apache Spark-készleteknek felügyelt privát végpontkapcsolatokat kell használniuk az összes kimenő kapcsolatukhoz.

A dedikált SQL-készlet és a kiszolgáló nélküli SQL-készlet nem használ felügyelt privát végpontokat a kimenő kapcsolatukhoz; Az SQL-készletekből érkező kimenő kapcsolatok azonban csak a jóváhagyott célokkal létesíthetők, amelyek a felügyelt privát végpontkapcsolatok céljai.

Privát kapcsolatközpontok a Synapse Studióhoz

A Synapse Private Link Hubs lehetővé teszi a Synapse Studióhoz való biztonságos csatlakozást az ügyfél virtuális hálózatáról az Azure Private Link használatával. Ez a funkció olyan ügyfelek számára hasznos, akik a Synapse Studióval szeretnének hozzáférni a Synapse-munkaterülethez egy szabályozott és korlátozott környezetből, ahol a kimenő internetes forgalom korlátozott Számú Azure-szolgáltatásra korlátozódik.

Ezt úgy érheti el, hogy létrehoz egy privát kapcsolatközpont-erőforrást és egy privát végpontot ehhez a központhoz a virtuális hálózatról. Ez a privát végpont ezután a teljes tartománynév (FQDN) használatával éri el a stúdiót , web.azuresynapse.net egy privát IP-címmel a virtuális hálózatról. A privát kapcsolat központ erőforrása letölti a Synapse Studio statikus tartalmát az Azure Private Linken keresztül a felhasználó munkaállomására. Emellett külön privát végpontokat kell létrehozni az egyes munkaterület-végpontok számára annak biztosítása érdekében, hogy a munkaterület végpontjaival való kommunikáció privát legyen.

Az alábbi ábra a Synapse Studio privát kapcsolatközpontjait mutatja be.

A fenti diagram a következő főbb pontokat ábrázolja:

Elem	Leírás
	A korlátozott ügyféloldali virtuális hálózatban lévő munkaállomás webböngészővel fér hozzá a Synapse Studióhoz.
	A privát kapcsolatközpontok erőforrásához létrehozott privát végpont a statikus studio tartalmának letöltésére szolgál az Azure Private Link használatával.
	A Synapse-munkaterületvégpontokhoz létrehozott privát végpontok biztonságosan érik el a munkaterület erőforrásait az Azure Private Links használatával.
	A korlátozott ügyféloldali virtuális hálózaton a hálózati biztonsági csoport szabályai lehetővé teszik a kimenő forgalmat a 443-as porton keresztül egy korlátozott készletnyi Azure-szolgáltatáshoz, például az Azure Resource Managerhez, az Azure Front Doorhoz és a Microsoft Entra ID-hez.
	A korlátozott ügyfél virtuális hálózatában lévő hálózati biztonsági csoport szabályai megtagadják a virtuális hálózatról érkező összes többi kimenő forgalmat.
	A Synapse-munkaterületen a nyilvános hozzáférés le van tiltva.

Dedikált SQL-készlet (korábban SQL DW)

Az Azure Synapse-ajánlat előtt egy SQL DW nevű Azure SQL-adattárház-terméket kínáltak. Mostantól dedikált SQL-készletként (korábban SQL DW) nevezik át.

A dedikált SQL-készlet (korábbi nevén SQL DW) egy logikai Azure SQL-kiszolgálón belül jön létre. Ez egy biztonságos logikai szerkezet, amely központi felügyeleti pontként szolgál adatbázisok gyűjteményéhez, beleértve az SQL DW-t és más Azure SQL-adatbázisokat.

A jelen cikk előző szakaszaiban az Azure Synapse-hez kapcsolódó alapvető hálózati biztonsági funkciók többsége a dedikált SQL-készletre (korábbi nevén SQL DW) is alkalmazható. Ezek közé tartoznak a következők:

• IP-tűzfalszabályok
• Nyilvános hálózati hozzáférés letiltása
• Privát végpontok
• Adatkiszivárgás elleni védelem kimenő tűzfalszabályokon keresztül

Mivel a dedikált SQL-készlet (korábbi nevén SQL DW) egy több-bérlős szolgáltatás, nincs egy felügyelt virtuális hálózaton belül kiépítve. Ez azt jelenti, hogy néhány funkció, például a felügyelt virtuális hálózat és a felügyelt privát végpontkapcsolatok nem alkalmazhatók rá.

Hálózati biztonsági funkciómátrix

Az alábbi összehasonlító táblázat magas szintű áttekintést nyújt az Azure Synapse-ajánlatokban támogatott hálózati biztonsági funkciókról:

Funkció	Azure Synapse: Apache Spark-készlet	Azure Synapse: Dedikált SQL-készlet	Azure Synapse: Kiszolgáló nélküli SQL-készlet	Dedikált SQL-készlet (korábban SQL DW)
IP-tűzfalszabályok	Igen	Igen	Igen	Igen
Nyilvános hozzáférés letiltása	Igen	Igen	Igen	Igen
Privát végpontok	Igen	Igen	Igen	Igen
Adatkiszivárgás elleni védelem	Igen	Igen	Igen	Igen
Biztonságos hozzáférés a Synapse Studióval	Igen	Igen	Igen	Nem
Hozzáférés korlátozott hálózatról a Synapse privát kapcsolati központ használatával	Igen	Igen	Igen	Nem
Felügyelt virtuális hálózat és munkaterületszintű hálózatelkülönítés	Igen	n/a	n/a	n/a
Felügyelt privát végpontkapcsolatok kimenő kapcsolatokhoz	Igen	n/a	n/a	n/a
Felhasználói szintű hálózatelkülönítés	Igen	n/a	n/a	n/a

Következő lépések

Ebben a tanulmánysorozatban a következő cikkben megismerheti a veszélyforrások elleni védelmet.