Стратегии получения доступа к данным

  • Статья

Область применения:Фабрика данных Azure Azure Synapse Analytics

Совет

Попробуйте использовать фабрику данных в Microsoft Fabric, решение для аналитики с одним интерфейсом для предприятий. Microsoft Fabric охватывает все, от перемещения данных до обработки и анализа данных в режиме реального времени, бизнес-аналитики и отчетности. Узнайте, как бесплатно запустить новую пробную версию !

Важнейшей целью обеспечения безопасности организаций является защита хранилищ данных от случайного доступа через Интернет, являются ли они локальными или облачными хранилищами данных SaaS.

Как правило, облачное хранилище данных управляет доступом с помощью следующих механизмов:

  • Приватный канал из виртуальной сети в источники данных с поддержкой частных конечных точек
  • правил брандмауэра, которые ограничивают подключения по IP-адресу;
  • механизмов проверки подлинности, требующих подтверждения удостоверений пользователей;
  • механизмов авторизации, позволяющих предоставить пользователям доступ только к определенным действиям и данным.

Совет

С появлением диапазона статических IP-адресов можно разрешать определенные диапазоны IP-адресов для конкретного региона среды выполнения интеграции Azure. Это избавляет от необходимости разрешать все IP-адреса Azure в облачных хранилищах данных. Таким образом, можно ограничить IP-адреса, которым разрешен доступ к хранилищам данных.

Примечание.

Диапазоны IP-адресов заблокированы для Azure Integration Runtime и сейчас используются только для перемещения данных, конвейера и внешних действий. Потоки данных и Azure Integration Runtime, которые позволяют управляемой виртуальной сети, сейчас не используют эти диапазоны IP-адресов.

Это должно работать во многих сценариях, и мы понимаем, что для каждой среды выполнения интеграции желательно использовать уникальный статический IP-адрес, но сейчас это невозможно при использовании Azure Integration Runtime, так как она является бессерверной. При необходимости вы всегда можете настроить локальную среду выполнения интеграции и использовать ее со статическим IP-адресом.

Стратегии доступа к данным с помощью Фабрики данных Azure

  • Приватный канал. Вы можете создать Azure Integration Runtime в виртуальной сети, управляемой фабрикой данных Azure, и использовать частные конечные точки для безопасного подключения к поддерживаемым хранилищам данных. Трафик между управляемой виртуальной сетью и источниками данных перемещается в магистральную сеть Майкрософт и не доступен общедоступной сети.
  • Доверенная служба — служба хранилища Azure (большие двоичные объекты, ADLS 2-го поколения) позволяет выбрать доверенные службы платформы Azure для безопасного доступа к учетной записи хранения. Доверенные службы обеспечивают проверку подлинности с помощью управляемых удостоверений. Это гарантирует, что другие фабрики данных не смогут подключаться к этому хранилищу, если они не разрешено делать это с использованием управляемого удостоверения. Дополнительные сведения см. в этом блоге. Этот метод вполне безопасен и рекомендуется.
  • Уникальный статический IP — вам потребуется настроить локальную среду выполнения интеграции, чтобы получить статический IP-адрес для соединителей фабрики данных. Этот механизм позволяет блокировать доступ со всех других IP-адресов.
  • Диапазон статических IP-адресов — вы можете использовать IP-адреса Azure Integration Runtime, чтобы разрешить список адресов в своем хранилище (например, S3, Salesforce и т. д.). Он, безусловно, ограничит IP-адреса, которые могут подключаться к хранилищам данных, но также полагается на правила проверки подлинности и авторизации.
  • Тег службы — тег службы представляет группу префиксов IP-адресов из определенной службы Azure (например, Фабрики данных Azure). Корпорация Майкрософт управляет префиксами адресов, входящих в тег службы, и автоматически обновляет этот тег при изменении адресов, сводя к минимуму сложность частых обновлений правил сетевой безопасности. Это полезно при фильтрации доступа к данным в хранилищах данных, размещенных в IaaS в виртуальной сети.
  • Разрешение служб Azure — некоторые службы позволяют разрешить подключение всем службам Azure в случае выбора этого параметра.

Дополнительные сведения о поддерживаемых механизмах безопасности сети для хранилищ данных Azure Integration Runtime и локальных сред выполнения интеграции см. в двух таблицах ниже.

  • Azure Integration Runtime

    Хранилища данных Поддерживаемый механизм сетевой безопасности в хранилищах данных Приватный канал Доверенная служба Диапазон статических IP-адресов Теги служб Разрешить службы Azure
    Хранилища данных PaaS Azure Azure Cosmos DB Да - Да - Да
    Azure Data Explorer - - Да* Да* -
    Azure Data Lake 1-го поколения - - Да - Да
    База данных Azure для MariaDB, MySQL и PostgreSQL - - Да - Да
    Файлы Azure Да - Да - .
    Хранилище BLOB-объектов Azure и Azure Data Lake Storage 2-го поколения Да Да (только проверка подлинности MSI) Да - .
    Azure SQL DB, Azure Synapse Analytics, SQL ML Да (только для базы данных Azure SQL DB или DW) - Да - Да
    Azure Key Vault (для получения секретов или строки подключения) yes Да Да - -
    Другие хранилища данных PaaS/SaaS AWS S3, SalesForce, Google Cloud Storage и т. д. - - Да - -
    Снежинка Да - Да - -
    Azure IaaS SQL Server, Oracle и т. д. - - Да Да -
    IaaS в локальной среде SQL Server, Oracle и т. д. - - Да - -

    *Применяется только в том случае, если Azure Data Explorer внедрен в виртуальную сеть, а диапазон IP-адресов может применен в группе безопасности сети/на брандмауэре.

  • Локальная среда выполнения интеграции (в виртуальной сети/локальная)

    Хранилища данных Поддерживаемый механизм сетевой безопасности в хранилищах данных Статический IP-адрес Доверенные службы
    Хранилища данных PaaS Azure Azure Cosmos DB Да -
    Azure Data Explorer - -
    Azure Data Lake 1-го поколения Да -
    База данных Azure для MariaDB, MySQL и PostgreSQL Да -
    Файлы Azure Да -
    Хранилище BLOB-объектов Azure и Azure Data Lake Storage 2-го поколения Да Да (только проверка подлинности MSI)
    Azure SQL DB, Azure Synapse Analytics, SQL ML Да -
    Azure Key Vault (для получения секретов или строки подключения) Да Да
    Другие хранилища данных PaaS/SaaS AWS S3, SalesForce, Google Cloud Storage и т. д. Да -
    Azure laaS SQL Server, Oracle и т. д. Да -
    Локальный laaS SQL Server, Oracle и т. д. Да -

Связанный контент

Дополнительные сведения см. в следующих тематически связанных статьях: