Mengonfigurasi perimeter keamanan jaringan (NSP) Azure untuk sumber daya Azure

Komputasi tanpa server Azure Databricks terhubung ke sumber daya cloud Anda melalui infrastruktur jaringan terkelola. Jika firewall melindungi sumber daya cloud Anda, Anda harus mengizinkan lalu lintas dari komputasi tanpa server. Metode konfigurasi tergantung pada jenis sumber daya:

  • Akun penyimpanan Azure di wilayah ruang kerja Anda: Asosiasikan akun penyimpanan Anda dengan perimeter keamanan jaringan (NSP) dan izinkan tag layanan AzureDatabricksServerless.

Nota

Jika Anda memerlukan konektivitas khusus dan privat ke sumber daya Anda, gunakan koneksi Private Link outbound untuk mengakses sumber daya Anda alih-alih memasukkan alamat IP ke daftar yang diizinkan. Lihat Mengonfigurasi konektivitas privat ke sumber daya di VNet Anda.

Mengonfigurasi perimeter keamanan jaringan Azure untuk akun penyimpanan Azure

Perimeter keamanan jaringan (NSP) Azure adalah fitur Azure bawaan yang membuat batas isolasi logis untuk sumber daya platform-as-a-service (PaaS) Anda. Saat mengaitkan akun penyimpanan dengan NSP, Anda mengelola lalu lintas jaringan secara terpusat dengan seperangkat aturan yang disederhanakan alih-alih mempertahankan daftar kompleks alamat IP individual atau ID subnet. Bagian ini menjelaskan cara mengonfigurasi NSP untuk mengontrol akses komputasi tanpa server ke akun penyimpanan Azure Anda menggunakan portal Azure.

NSP mendukung akses dari gudang SQL tanpa server, pekerjaan, notebook, alur Lakeflow, dan model yang melayani titik akhir.

Penting

Pada 9 Juni 2026, akun penyimpanan Azure yang ada yang memungkinkan daftar Azure Databricks ID subnet tanpa server harus di-onboard ke perimeter keamanan jaringan dan harus mengizinkan tag layanan AzureDatabricksServerless.

Manfaat utama

Menggunakan NSP untuk lalu lintas keluar tanpa server Azure Databricks meningkatkan tingkat keamanan Anda sambil secara signifikan mengurangi overhead operasional.

Keuntungan Description
Penghematan biaya Lalu lintas yang dikirim melalui titik akhir layanan tetap berada di backbone Azure dan tidak dikenakan biaya pemrosesan data.
Manajemen yang semakin disederhanakan Azure Databricks merekomendasikan penggunaan tag layanan regional untuk membatasi akses ke wilayah tertentu, misalnya, AzureDatabricksServerless.EastUS2. Semua komunikasi dialihkan melalui jaringan backbone Azure. Jika ruang kerja di banyak wilayah memerlukan akses, Anda dapat menggunakan beberapa tag layanan regional. Untuk daftar lengkap wilayah Azure yang didukung, lihat Wilayah Azure Databricks.
Manajemen keamanan terpusat Mengelola kebijakan keamanan di beberapa jenis sumber daya—termasuk penyimpanan, brankas kunci, dan database—dalam satu profil NSP.

Layanan Azure yang didukung

Tag layanan AzureDatabricksServerless hanya didukung untuk aturan masuk NSP yang menargetkan Azure Storage (termasuk ADLS Gen2) di wilayah ruang kerja.

Requirements

Sebelum memulai, Anda harus memiliki persyaratan berikut:

  • Anda harus menjadi administrator akun Azure Databricks.
  • Anda harus memiliki izin Kontributor atau Pemilik pada sumber daya Azure yang ingin Anda konfigurasi.
  • Anda harus memiliki izin untuk membuat sumber daya perimeter keamanan jaringan di langganan Azure Anda.
  • Ruang kerja Azure Databricks dan sumber daya Azure Anda harus berada di wilayah Azure yang sama untuk performa optimal dan untuk menghindari biaya transfer data lintas wilayah.

Langkah 1: Buat perimeter keamanan jaringan dan catat ID profil

Untuk membuat perimeter dan mencatat ID profilnya, lakukan hal berikut:

  1. Masuk ke portal Azure.

  2. Dalam kotak pencarian di bagian atas, masukkan Perimeter keamanan jaringan dan pilih dari hasil.

  3. Klik + Buat.

  4. Di tab Dasar, masukkan informasi berikut:

    • Langganan: Pilih langganan Azure Anda.
    • Grup sumber daya: Pilih grup sumber daya yang sudah ada atau buat grup sumber daya.
    • Nama: Masukkan nama untuk NSP Anda (misalnya, databricks-nsp).
    • Wilayah: Pilih wilayah untuk NSP Anda. Wilayah harus cocok dengan wilayah ruang kerja Azure Databricks Anda dan wilayah akun penyimpanan Azure Anda.
    • Nama profil: Masukkan nama profil (misalnya, databricks-profile).

  5. Klik Tinjau + buat, lalu Buat.

  6. Setelah NSP dibuat, buka di portal Azure.

  7. Di bar samping kiri, bukaProfil>.

  8. Buat atau pilih profil Anda (misalnya, databricks-profile).

  9. Salin ID Sumber Daya untuk profil. Anda memerlukan ID ini untuk mengaitkan sumber daya secara terprogram.

    Tip

    Simpan ID profil di lokasi yang aman. Anda harus memilikinya tersedia jika Anda ingin mengaitkan sumber daya menggunakan Azure CLI atau API alih-alih portal Azure.

Langkah 2: Kaitkan akun penyimpanan Anda dengan NSP dalam mode transisi

Anda harus mengaitkan setiap akun penyimpanan Azure yang ingin Anda akses dari komputasi tanpa server Azure Databricks dengan profil NSP Anda dengan mengikuti langkah-langkah di bawah ini:

  1. Buka perimeter keamanan jaringan Anda di portal Azure.
  2. Di bilah sisi kiri, buka Sumber daya terkait di bawah Pengaturan.
  3. Klik + Tambahkan>Kaitkan sumber daya dengan profil yang sudah ada.
  4. Pilih profil yang Anda buat di Langkah 1 (misalnya, databricks-profile).
  5. Klik Asosiasikan.
  6. Di panel pemilihan sumber daya, filter berdasarkan Microsoft.Storage/storageAccounts untuk mengasosiasikan akun Azure Data Lake Storage Gen2.
  7. Pilih akun penyimpanan Anda dari daftar.
  8. Klik Kaitkan di bagian bawah panel.

Verifikasi mode transisi:

  1. Di NSP, buka Pengaturan>Sumber daya terkait.
  2. Temukan akun penyimpanan Anda dalam daftar.
  3. Verifikasi bahwa kolom Mode Akses memperlihatkan Transisi. Transisi adalah mode default.

Nota

Tetap dalam mode transisi untuk mempertahankan kompatibilitas dengan penyiapan jaringan yang ada sambil mendapatkan manfaat dari manajemen aturan yang disederhanakan. Lihat Batasan perimeter keamanan jaringan.

Mode transisi mengevaluasi aturan NSP terlebih dahulu. Jika tidak ada aturan NSP yang cocok dengan permintaan masuk, sistem akan kembali ke aturan firewall sumber daya yang ada.

Langkah 3: Menambahkan aturan akses masuk untuk komputasi tanpa server Azure Databricks

Anda harus membuat aturan akses masuk di profil NSP Anda untuk mengizinkan lalu lintas dari komputasi tanpa server Azure Databricks ke sumber daya Azure Anda.

  1. Buka perimeter keamanan jaringan Anda di portal Azure.
  2. Di bar samping kiri, bukaProfil>.
  3. Pilih profil Anda (misalnya, databricks-profile).
  4. Di bawah Pengaturan klik Aturan akses masuk.
  5. Klik + Tambahkan.
  6. Konfigurasikan aturan:
    • Nama aturan: Masukkan nama deskriptif (misalnya, allow-databricks-serverless).
    • Jenis Sumber: Pilih Tag Layanan.
    • Sumber yang Diizinkan: Pilih AzureDatabricksServerless.[ your_workspace_region] (misalnya, AzureDatabricksServerless.EastUS2). Menggunakan tag regional membatasi akses ke IP Azure Databricks di wilayah ruang kerja Anda, yang mengurangi paparan dibandingkan dengan tag global.
  7. Klik Tambahkan.

Tip

Azure Databricks merekomendasikan penggunaan tag layanan regional (AzureDatabricksServerless.[your_workspace_region]) untuk keamanan yang lebih ketat. Menambahkan tag global AzureDatabricksServerless ke daftar yang diizinkan memungkinkan akses dari semua wilayah Azure Databricks. Jika ruang kerja di banyak wilayah memerlukan akses ke penyimpanan Anda, Anda dapat menggunakan beberapa tag layanan regional.

Jika Anda menggunakan tag layanan yang tercakup di wilayah, perhatikan bahwa beberapa titik akhir wilayah mungkin berada di wilayah Azure yang berbeda dari titik akhir penyimpanan utama. Misalnya, ruang kerja di Jepang Timur memiliki penyimpanan artefak sekunder di Jepang Barat. Dalam hal ini, Anda juga harus menambahkan tag layanan untuk wilayah sekunder. Untuk meninjau FQDN untuk wilayah ruang kerja Anda, lihat Metastore, penyimpanan Blob artefak, penyimpanan tabel sistem, penyimpanan Blob log, dan alamat IP titik akhir Event Hubs.

Langkah 4: Verifikasi konfigurasi

Setelah mengonfigurasi NSP Anda, verifikasi bahwa komputasi tanpa server Azure Databricks dapat mengakses penyimpanan Anda dan memantau aktivitas NSP.

Menguji akses dari komputasi tanpa server

  1. Buka sumber daya Azure Anda di portal Azure.

  2. Buka Keamanan + Jaringan>Jaringan.

  3. Verifikasi bahwa sumber daya menunjukkan asosiasi dengan perimeter keamanan jaringan Anda.

  4. Verifikasi bahwa status menunjukkan mode Transisi.

  5. Lihat aturan masuk yang terkait dengan profil Anda untuk mengonfirmasi bahwa AzureDatabricksServerless aturan tersebut tercantum (baik regional atau global).

  6. Di ruang kerja Azure Databricks Anda, gunakan komputasi tanpa server untuk menjalankan kueri pengujian terhadap sumber daya Anda. Komputasi tanpa server mengakses penyimpanan cloud melalui lokasi eksternal Unity Catalog, bukan melalui kredensial penyimpanan yang diatur dalam properti Spark. Pastikan bahwa lokasi eksternal mencakup path tersebut dan bahwa Anda memiliki privilese READ FILES pada lokasi tersebut. Contoh berikut mencantumkan jalur ADLS Gen2:

    LIST 'abfss://container@storageaccount.dfs.core.windows.net/path/to/data';

    Jika perintah berhasil, NSP Anda memungkinkan komputasi tanpa server untuk mencapai sumber daya. Untuk petunjuk tentang membuat lokasi eksternal, lihat Menyambungkan ke lokasi eksternal Azure Data Lake Storage Gen2 (ADLS Gen2).

Memantau aktivitas NSP

Untuk memantau upaya koneksi yang diizinkan atau ditolak aturan NSP, konfigurasikan pengaturan diagnostik pada perimeter keamanan jaringan Anda, bukan pada sumber daya individual. Log sumber daya, seperti Azure Storage StorageRead dan StorageWrite kategori, merekam akses data tetapi tidak merekam evaluasi aturan NSP.

  1. Di portal Azure, buka perimeter keamanan jaringan Anda.
  2. Buka Memantau>Pengaturan Diagnostik.
  3. Klik + Tambah pengaturan diagnostik.
  4. Pilih kategori log perimeter keamanan jaringan yang ingin Anda pantau, seperti log akses masuk dan keluar publik yang diizinkan dan ditolak.
  5. Pilih tujuan:
    • ruang kerja Log Analytics (disarankan untuk kueri dan analisis)
    • Akun penyimpanan (untuk arsip jangka panjang)
    • Event Hub (untuk streaming ke sistem eksternal)
  6. Kliklah Simpan.

Tip

Log diagnostik perimeter keamanan jaringan menunjukkan permintaan mana yang diizinkan atau ditolak oleh setiap aturan NSP. Dalam mode transisi, log menunjukkan apakah setiap permintaan diizinkan oleh aturan NSP atau jatuh kembali ke firewall sumber daya. Untuk daftar lengkap kategori log dan skemanya, lihat Azure log diagnostik perimeter keamanan jaringan.

Memahami mode akses NSP

NSP mendukung dua mode akses: mode transisi dan mode yang diberlakukan. Azure Databricks merekomendasikan untuk tetap dalam mode transisi tanpa batas waktu untuk sebagian besar kasus penggunaan.

Mode transisi (disarankan):

  • Mengevaluasi aturan NSP terlebih dahulu, lalu kembali ke aturan firewall sumber daya jika tidak ada aturan NSP yang cocok.
  • Memungkinkan Anda menggunakan NSP bersama konfigurasi jaringan yang ada.
  • Kompatibel dengan titik akhir layanan, konfigurasi komputasi klasik, dan pola lalu lintas jaringan publik.

Mode Penegakan (tidak disarankan untuk sebagian besar pelanggan):

  • Melewati aturan firewall sumber daya, memblokir semua lalu lintas yang tidak cocok dengan aturan NSP. Mode yang diberlakukan tidak hanya memengaruhi Azure Databricks tetapi juga layanan lain yang telah Anda izinkan melalui firewall sumber daya Anda—layanan tersebut harus telah di-onboard ke NSP untuk terus bekerja.
  • Tetap dalam mode transisi jika Anda menggunakan titik akhir layanan untuk menyambungkan ke penyimpanan dari ruang kerja Azure Databricks apa pun.

Nota

Setelah Anda mengaitkan sumber daya dengan perimeter keamanan jaringan, pertahankan pengaturan Akses jaringan publik sumber daya pada Diaktifkan dari jaringan yang dipilih. Jangan setel ke Secured by Perimeter, meskipun Azure merekomendasikan Secured by Perimeter untuk sumber daya di dalam perimeter.

Dengan Secured by Perimeter, komputasi serverless tidak dapat mengakses lokasi eksternal yang didukung resource tersebut, dan permintaan akan gagal dengan error PERMISSION_DENIED, seperti Request for user delegation key is not authorized. Mempertahankan resource pada Enabled from selected networks saat perimeter berada dalam mode transisi akan mempertahankan akses serverless sementara perimeter mengevaluasi lalu lintas.

Konfigurasikan akses ke sumber daya lain menggunakan alamat IP outbound

Penting

Mulai pertengahan Februari 2026, Azure Databricks menerbitkan alamat IP keluar dalam format JSON di endpoint publik, yang merupakan metode yang didukung untuk mendapatkan alamat IP ini.

Jika Anda menggunakan IP stabil dari Pratinjau Umum atau menyalinnya dari konfigurasi konektivitas jaringan (NCC) di konsol akun, Anda harus bermigrasi ke metode baru sebelum 25 Mei 2026. Setelah 25 Mei 2026, daftar IP warisan akan dinonaktifkan, dan migrasi yang tidak lengkap dapat mengakibatkan gangguan beban kerja.

Untuk sumber daya selain Azure akun penyimpanan di wilayah yang sama dengan ruang kerja Anda, komputasi tanpa server menggunakan alamat IP publik untuk menjangkau sumber daya Anda.

Untuk mengizinkan serverless mengakses sumber daya yang dilindungi firewall, Anda harus menambahkan blok CIDR yang dipublikasikan oleh Azure Databricks ke daftar yang diizinkan Anda. Untuk informasi selengkapnya tentang IP keluar yang dipublikasikan, lihat IP keluar untuk pratinjau firewall komputasi nirserver.

Menemukan alamat IP keluar untuk lingkungan Anda

  1. Unduh ip-ranges.json.
  2. Filter JSON ke entri yang berlaku untuk ruang kerja Anda. Simpan hanya entri di mana:
    • service adalah Databricks
    • type adalah outbound
    • region cocok dengan wilayah ruang kerja Anda
    • platform cocok dengan azure
  3. Tambahkan ipv4Prefixes (blok CIDR) dari entri yang cocok ke daftar yang diizinkan di firewall sumber daya Anda.

Mengotomatiskan pembaruan untuk menjaga daftar izin Anda tetap terkini

Anda harus mengotomatiskan pembaruan ke daftar yang diizinkan. Azure Databricks mengubah alamat IP ini dari waktu ke waktu, sehingga salinan statis yang dibuat satu kali pada akhirnya menyebabkan konektivitas serverless tidak berfungsi. Pembaruan diterbitkan sesering sekali setiap 30 hari, IP baru menjadi aktif segera setelah 60 hari setelah publikasi, dan wilayah baru ditambahkan secara berkala. Untuk menjaga daftar izin Anda tetap terkini:

  1. Ambil ip-ranges.json secara terjadwal (misalnya, setiap 30 hari).
  2. Bandingkan bidangnya timestampSeconds dengan salinan tersimpan Anda untuk mendeteksi perubahan.
  3. Jika berubah, periksa apakah IP untuk Anda platform dan region berubah.
  4. Perbarui daftar izin firewall Anda dengan IP baru apa pun.
  5. Simpan file untuk perbandingan berikutnya.

Considerations

Tinjau pertimbangan berikut sebelum Anda mengonfigurasi firewall untuk komputasi tanpa server:

  • Mengonfigurasi firewall juga memengaruhi konektivitas dari sumber daya komputasi klasik. Anda juga harus memperbarui aturan akses sumber daya untuk mengizinkan IP untuk koneksi dari sumber daya komputasi klasik.
  • Izinkan waktu untuk penyebaran aturan firewall sebelum menguji konektivitas dari komputasi tanpa server.

Langkah berikutnya

  • Last updated on