Toegangsbeheer op basis van context

Opmerking

Voor deze functie is de Premium-laag vereist.

Belangrijk

De volgende functies van contextgebaseerde ingang zijn in bèta:

• Contextgebaseerde toegangsregels voor je account: Pas toegangsbeleid toe op de accountconsole, accountniveau Genie One en account-API's.
• Partnerplatforms als netwerkbron: Acceptatielijst van IP-adressen die apps van derden (Power BI, Tableau Cloud en dbt-platform) gebruiken om verbinding te maken met Azure Databricks. Azure Databricks beheert en werkt deze IP-lijsten automatisch bij.
• Beleidsweigeringen op accountniveau worden nog niet gelogd.

Deze pagina biedt een overzicht van toegangsbeheer op basis van context. Zie Wat is serverloos uitgaand verkeer?

Zie Beleid voor context-gebaseerd inkomend verkeer beheren om beleid voor inkomend verkeer te configureren.

Overzicht van toegangsbeheer op basis van context

Contextafhankelijke controle van inkomend verkeer werkt samen met IP-toegangslijsten en front-endprivéconnectiviteit om accountbeheerders in staat te stellen toestaan- en weigerregels in te stellen waarin wordt gecombineerd wie er aanroept, van waaruit dat gebeurt en wat ze kunnen bereiken in Azure Databricks. Dit zorgt ervoor dat alleen vertrouwde combinaties van identiteit, aanvraagtype en netwerkbron uw werkruimte kunnen bereiken. Het beheer voor inkomend verkeer op basis van context wordt geconfigureerd op accountniveau. Eén beleid kan meerdere werkruimten beheren.

Met behulp van context-gebaseerde toegang kunt u het volgende doen:

• Stop de toegang vanaf niet-vertrouwde netwerken door een tweede factor, een vertrouwde netwerkbron, naast referenties te vereisen.
• Sta SaaS-clients zonder vaste uitgaande IP-adressen toegang toe door dit op identiteit te baseren in plaats van op IP-bereiken.
• Beperk de toegang door minder vertrouwde bronnen alleen bepaalde machtigingen toe te staan, zoals Azure Databricks API’s of de gebruikersinterface van de werkruimte.
• Beschermde automatisering beveiligen: alleen service-principals met hoge waarde beperken tot netwerken met hoge vertrouwensrelatie.
• Effectief controleren: gedetailleerde denial-logboeken vastleggen in systeemtabellen van Unity Catalog om geblokkeerde aanvragen te bewaken.

Basisconcepten voor context-based toegangscontrole

Netwerkbronnen

Een netwerkbron definieert de oorsprong van aanvragen. Ondersteunde typen zijn onder andere:

Beleid voor openbare toegang:

• Alle openbare IP-adressen: elke openbare internetbron.
• Geselecteerde IP-adressen: specifieke IPv4-adressen of CIDR-bereiken.

Beleid voor privétoegang:

• Alle geregistreerde privé-eindpunten: elk geregistreerd privé-eindpunt in het account.
• Geselecteerde privé-eindpunten: specifieke geregistreerde privé-eindpunten in het account.

Toegangstypen

Regels zijn van toepassing op verschillende binnenkomende aanvraagbereiken. Elk bereik vertegenwoordigt een categorie binnenkomende aanvragen die u kunt toestaan of weigeren:

Toegangstypen voor beleid op werkruimteniveau:

• Werkruimte-ui: browsertoegang tot de werkruimte.
• API: Programmatische toegang via Azure Databricks API's, waaronder SQL-eindpunten (JDBC/ODBC). U kunt zich richten op alle API's of op een specifiek API-bereik, zoals apps, dashboard of modelserving.
• Apps-runtime: Toegang tot Databricks Apps-implementaties toestaan of weigeren. Zie Databricks-apps. Alleen de identiteitsoptie Alle gebruikers en service-principals wordt ondersteund voor dit toegangstype.

• Lakebase-runtime: Verbindingen met Lakebase-database-exemplaren. Zie Lakebase-exemplaren. Alleen de identiteitsoptie Alle gebruikers en service-principals wordt ondersteund voor dit toegangstype.

Beleidstoegangstypen op accountniveau:

• Accountinterface: Toegang via de browser tot bronnen op accountniveau (bijvoorbeeld de accountconsole en Genie One op accountniveau).
• Account-API: Programmatische toegang via Azure Databricks account-API's.

Identiteiten

Regels kunnen zich richten op verschillende identiteitstypen. Voor de toegangstypen Apps-runtime en Lakebase-runtime is de enige ondersteunde optie Alle gebruikers en service-principals.

In het beleid op accountniveau is de enige ondersteunde optie Alle gebruikers en service-principals.

• Alle gebruikers en service-principals: zowel menselijke gebruikers als automatisering.
• Alle gebruikers: alleen menselijke gebruikers.
• Alle service-principals: alleen Automation-identiteiten.
• Geselecteerde identiteiten: specifieke gebruikers of service-principals.

Evaluatie van regels

• Standaard weigeren: in de beperkte modus wordt de toegang geweigerd, tenzij dit expliciet is toegestaan.
• Weigeren voordat toestaan: met regels voor weigeren kunt u uitzonderingen voor uw regels voor toestaan definiëren.
• Standaardbeleid op werkruimteniveau: elk account heeft een standaardbeleid voor inkomend verkeer op werkruimteniveau toegepast op alle in aanmerking komende werkruimten zonder expliciete beleidstoewijzing.

Handhavingsmodi

Met contextgebaseerd ingangsbeleid zijn twee modi mogelijk:

• Afgedwongen voor alle producten: Azure Databricks past actief regels toe en blokkeert aanvragen die in strijd zijn met deze regels.
• Dry-uitvoeringsmodus voor alle producten: Azure Databricks registreert schendingen, maar blokkeert geen aanvragen. Gebruik deze modus om beleidsimpact te evalueren voordat u deze afdwingt.

Opmerking

Een netwerkbeleid ondersteunt slechts één afdwingingsmodus tegelijk.

Auditing

Geweigerde of drooguitvoeringsaanvragen worden vastgelegd in de system.access.inbound_network systeemtabel. Als u geen toegang hebt tot systeemtabellen, kan een metastore-beheerder u machtigingen verlenen. Zie Verleen toegang tot systeemtabellen.

Elke logboekvermelding omvat:

• Gebeurtenistijd
• Werkruimte-id
• Regellabel (van de regel die de aanvraag heeft geweigerd)
• Aanvraagtype
• Identiteit
• Netwerkbron
• Toegangstype (GEWEIGERD of DRY_RUN_DENIAL)

Voer een query uit op deze logboeken om te controleren of uw regels werken zoals verwacht en om onverwachte toegangspogingen te ondervangen.

Relatie met andere besturingselementen

• Ip-toegangslijsten voor werkruimten: geëvalueerd samen met het contextgebaseerde toegangsbeleid voor inkomend verkeer met behulp van een logische AND, zonder strikte reeks tussen de twee. Een aanvraag is alleen toegestaan als zowel de IP-toegangslijst als het toegangsbeleid voor inkomend verkeer dit toestaat. IP-toegangslijsten voor werkruimten kunnen de toegang verder beperken, maar kunnen deze niet breder maken.
• Serverloze egress-controle: vormt een aanvulling op binnenkomende beleidsmaatregelen door het uitgaande netwerkverkeer van serverloze computing te beheren. Zie Netwerkbeleid beheren.

Tip

Om de complexiteit te verminderen, raadt Databricks aan om het beleid voor inkomend verkeer op basis van context te gebruiken als uw enige beleidsengine in plaats van ook IP-toegangslijsten te onderhouden.

• Front-end privéconnectiviteit: afgedwongen naast toegangsbeleid voor inkomend verkeer wanneer openbare netwerktoegang is ingeschakeld. Als Openbare netwerktoegang toestaan is uitgeschakeld, wordt al het openbare inkomend verkeer geblokkeerd en worden inkomendverkeer-beleid niet geëvalueerd. Zie Inkomende privékoppeling configureren.
• Schakeloptie Voor openbare netwerktoegang toestaan: wanneer openbare netwerktoegang is ingeschakeld, worden IP-toegangslijsten voor werkruimten geëvalueerd. Anders wordt al het openbare inkomende verkeer geblokkeerd en worden de beleidsregels voor openbaar inkomend verkeer van de werkruimte niet geëvalueerd.

Beste praktijken

• Begin met de droogloopmodus om gevolgen te observeren zonder de toegang te verbreken.
• Gebruik waar mogelijk identiteitsgebaseerde regels voor SaaS-clients die van IP-adres wisselen.
• Pas eerst regels voor weigeren toe op bevoegde service-principals om het betrokken gebied te beperken.
• Houd beleidsnamen helder en consistent.

Opmerking

Toegangsbeheer op basis van context is niet beschikbaar in de regio Azure - west India.