Proteção contra a transferência de dados não autorizada nas áreas de trabalho do Azure Synapse Analytics
Este artigo explicará a proteção contra exfiltração de dados no Azure Synapse Analytics
Protegendo a saída de dados dos espaços de trabalho do Synapse
A área de trabalho do Azure Synapse Analytics suporta a ativação da proteção contra a transferência de dados não autorizada na área de trabalho. Com a proteção contra a transferência de dados não autorizada, pode evitar que infiltrados maliciosos acedam aos recursos do Azure e transfiram dados confidenciais para localizações fora do âmbito da sua organização. No momento em que cria a área de trabalho, pode optar por configurá-la com uma rede virtual gerida e com proteção adicional contra a transferência de dados não autorizada. Quando um espaço de trabalho é criado com uma rede virtual gerenciada, a integração de dados e os recursos do Spark são implantados na rede virtual gerenciada. Os pools SQL dedicados do espaço de trabalho e os pools SQL sem servidor têm recursos multilocatários e, como tal, precisam existir fora da rede virtual gerenciada. Para espaços de trabalho com proteção contra exfiltração de dados, os recursos dentro da rede virtual gerenciada sempre se comunicam por meio de pontos de extremidade privados gerenciados. Quando a proteção de exfiltração de dados está habilitada, os recursos SQL do Synapse podem se conectar e consultar qualquer Armazenamento do Azure autorizado usando OPENROWSETS ou EXTERNAL TABLE, uma vez que o tráfego de entrada não é controlado pela proteção de exfiltração de dados. No entanto, o tráfego de saída via CREATE EXTERNAL TABLE AS SELECT será controlado pela proteção de exfiltração de dados.
Nota
Não é possível alterar a configuração do espaço de trabalho para a rede virtual gerenciada e a proteção contra exfiltração de dados após a criação do espaço de trabalho.
Gerenciando a saída de dados do espaço de trabalho Synapse para alvos aprovados
Depois que o espaço de trabalho é criado com a proteção contra exfiltração de dados habilitada, os proprietários do recurso de espaço de trabalho podem gerenciar a lista de locatários aprovados do Microsoft Entra para o espaço de trabalho. Os usuários com as permissões certas no espaço de trabalho podem usar o Synapse Studio para criar solicitações de conexão de ponto de extremidade privado gerenciado para recursos nos locatários aprovados do Microsoft Entra do espaço de trabalho. A criação de ponto de extremidade privado gerenciado será bloqueada se o usuário tentar criar uma conexão de ponto de extremidade privado com um recurso em um locatário não aprovado.
Exemplo de área de trabalho com a proteção contra a transferência de dados não autorizada ativada
Vamos usar um exemplo para ilustrar a proteção contra exfiltração de dados para espaços de trabalho Sinapse. A Contoso tem recursos do Azure no Locatário A e no Locatário B e há uma necessidade desses recursos para se conectar com segurança. Um espaço de trabalho Synapse foi criado no Locatário A com o Locatário B adicionado como um locatário aprovado do Microsoft Entra. O diagrama mostra conexões de ponto de extremidade privadas com contas de Armazenamento do Azure no Locatário A e no Locatário B que foram aprovadas pelos proprietários da conta de Armazenamento. O diagrama também mostra a criação do ponto final privado bloqueado. A criação desse ponto de extremidade privado foi bloqueada porque tinha como alvo uma conta de Armazenamento do Azure no locatário do Microsoft Entra da Fabrikam, que não é um locatário aprovado do Microsoft Entra para o espaço de trabalho da Contoso.
Importante
Os recursos em locatários diferentes do locatário do espaço de trabalho não devem ter regras de firewall de bloqueio em vigor para que os pools SQL se conectem a eles. Os recursos dentro da rede virtual gerida da área de trabalho, como os clusters do Apache Spark, podem ligar-se através de ligações privadas geridas aos recursos protegidos pela firewall.
Passos Seguintes
Saiba como criar um espaço de trabalho com a proteção contra exfiltração de dados ativada
Saiba mais sobre a Rede Virtual do espaço de trabalho gerenciado
Saiba mais sobre endpoints privados gerenciados
Criar pontos de extremidade privados gerenciados para suas fontes de dados