Conectividade reforçada

A conectividade reforçada baseia-se na Segurança gerida para adicionar controlos de entrada e de saída em camadas: entrada baseada no contexto (CBI), pontos de extremidade da VPC, controlos de saída sem servidor e uma firewall externa opcional. O acesso ao espaço de trabalho mantém-se na internet pública, bloqueado pela CBI.

Esta arquitetura tem:

  • Entrada de espaço de trabalho baseada no contexto: Os utilizadores iniciam sessão através da internet, e as políticas do CBI restringem o acesso ao espaço de trabalho por fonte da rede, identidade, mecanismo de autenticação e âmbito de acesso. Isto representa uma concessão em termos de simplicidade, em comparação com arquiteturas cujo acesso é protegido por VPN.
  • Acesso a serviços privados na nuvem: Os endpoints VPC (AWS) ou endpoints de serviço (Azure) mantêm o tráfego de serviços na cloud fora da internet pública.
  • Controlo de saída sem servidor: As políticas de rede e os pontos de extremidade privados do NCC regulam o tráfego de saída da computação sem servidor.
  • Inspeção opcional de saída: Implante um firewall externo para inspecionar e registar a saída clássica de computação.
  • Sem necessidade de VPN: Acesso simplificado do utilizador sem dependência da rede corporativa.

Use esta arquitetura quando:

  • A segurança dos dados é a principal preocupação, não o controlo de acesso ao espaço de trabalho.
  • A complexidade das VPN é uma barreira à produtividade do utilizador.
  • Controlos de acesso baseados em IP são suficientes para a conformidade.
  • A sua organização prefere modelos de acesso com prioridade à cloud.

Pré-requisitos

  • Azure Azure Databricks nível Premium com um espaço de trabalho injetado por VNet.
  • Lista de intervalos de IP para controlo de acesso ao espaço de trabalho.

Descrição geral da arquitetura

A arquitetura de conectividade reforçada protege o tráfego de rede e simplifica o acesso do utilizador:

Tipo de tráfego Path
Acesso do usuário Utilizadores → Internet → política CBI → Área de trabalho
Computação clássica → controlo Compute → Classic Private Link → Azure Databricks plano de controlo
Computação clássica → cloud Computação → pontos finais de serviço ou UDRs → serviços do Azure
Serverless → os teus recursos Computação sem servidor → pontos finais privados NCC → os seus recursos do Azure
computação clássica → saída de dados Compute → Firewall externo (opcional) → Internet inspecionada

Note

O acesso ao espaço de trabalho não é privado nesta arquitetura. Os utilizadores ligam-se através da internet pública, restringida pelas políticas da CBI. Se a sua organização requer acesso a espaços de trabalho privados, utilize antes a arquitetura de ambiente isolado .

Componentes necessários

Inbound

Sem Private Link de entrada. O acesso público à internet é restringido por políticas de entrada baseadas no contexto e, opcionalmente, por listas de acesso IP. Siga o IAM padrão para autenticação. Consulte Autenticação e controlo de acesso.

Ícone do escudo do utilizador. Controlos de entrada do espaço de trabalho

Configure o acesso de entrada da área de trabalho através do acesso de entrada baseado no contexto (CBI), a estrutura de políticas de acesso de entrada recomendada. As regras CBI combinam a fonte da rede (intervalos de IP), identidade, mecanismo de autenticação e âmbito de acesso num único modelo de permitir/negar, de modo que o atributo fonte de rede cumpre o mesmo papel da funcionalidade autónoma de lista de acesso IP, e mais.

As listas de acesso IP continuam a ser suportadas e podem ser configuradas juntamente com o CBI. Quando ambos estão configurados, uma solicitação tem de ser autorizada por ambos os controlos.

Níveis de configuração:

Melhores práticas:

  • Começa de forma geral, refina com base no uso real.
  • Documente os intervalos de IP com finalidade e datas de validade.
  • Manter o acesso de administrador através de um intervalo de IP conhecido como bom.
  • Revise trimestralmente e remova os intervalos obsoletos.

Warning

Políticas de entrada e listas de acesso IP podem bloqueá-lo do seu espaço de trabalho se estiverem mal configurados. Mantenha sempre o acesso de administrador através de um intervalo de IP conhecido como bom.

Ícone de bloqueio da partilha. Controlo de acesso dos destinatários do OpenSharing

O OpenSharing utiliza as suas próprias listas de acesso IP configuradas em objetos destinatários. Isto é separado das listas de entrada baseadas no contexto e das listas de acesso IP ao espaço de trabalho. Aplica-se apenas à partilha Databricks-to-Open (destinatários que não sejam do Azure Databricks).

Veja Restringir o acesso do destinatário do Open Sharing através de listas de acesso IP (Databricks-to-Open Sharing).

Outbound

O tráfego de saída sem servidor é regido por políticas de rede e por pontos de extremidade privados do NCC. Use o Unity Catalog para a governação de dados do acesso a dados de saída. Veja O que é o Unity Catalog?.

Ícone de filtro. Controlo de saída sem servidor

Configure políticas de rede para controlar o tráfego de saída da computação sem servidor. Defina destinos permitidos usando intervalos IP ou FQDNs.

Consulte O que é o controle de saída sem servidor?.

Ícone de link. Serverless Private Link (pontos finais privados do NCC)

Fornece conectividade privada da computação sem servidor para os seus recursos através do Private Link. O tráfego de dados serverless mantém-se fora da internet pública.

Consulte Configurar conectividade privada para recursos do Azure.

Linha base clássica de computação

A linha de base clássica de processamento é herdada da Segurança gerida. Não são necessários componentes de base adicionais, mas pode, opcionalmente, adicionar um firewall externo para inspecionar a saída de computação clássica.

A base inclui injeção de VNet, Secure Cluster Connectivity (SCC) e o clássico Private Link.

Note

Esta arquitetura não utiliza Private Link de entrada. Os utilizadores acedem ao espaço de trabalho através da internet pública, controlada pelas políticas da CBI. Se a sua organização necessitar de acesso a espaços de trabalho privados, consulte a arquitetura Ambiente isolado, que adiciona acesso de entrada por Private Link ou acesso protegido por VPN.

Ícone de ligação. Plano de cálculo clássico Private Link

Fornece conectividade privada entre o seu VNet e o plano de controlo do Azure Databricks. A API REST e o tráfego de retransmissão SCC entre os clusters e o plano de controlo mantêm-se privados, em vez de utilizarem a Internet pública.

Veja Configurar a conectividade privada do plano de computação clássico ao Azure Databricks.

Setas conectam o ícone. Rotas definidas pelo utilizador

Configure o encaminhamento para acesso a serviços cloud para manter o tráfego privado e reduzir custos.

Configure UDRs com etiquetas de serviço para os serviços do Azure. Consulte Configurações de rota definidas pelo usuário para o Azure Databricks.

Ícone de escudo. Firewall externo para computação clássica (opcional)

Encaminhe o tráfego de saída da computação clássica através de um firewall externo para inspeção, registo e aplicação de políticas. Obrigatório em ambiente isolado; Opcional aqui.

As opções incluem Azure Firewall ou um dispositivo virtual de rede de terceiros (NVA).

Warning

O plano de controlo do Azure Databricks e as ligações de relé SCC usam TLS com associação de certificados. Não ative a inspeção TLS (desencriptação e reencriptação) no tráfego entre os seus clusters e o plano de controlo do Azure Databricks. Fazer isso provoca falhas no cluster. Consulte Endereços IP e domínios dos serviços e ativos do Azure Databricks para conhecer os pontos finais necessários.

Implementation

Comece com uma linha de base de segurança gerida implementada. As fases seguintes adicionam os controlos de entrada e saída que definem esta arquitetura.

Fase 1: Controlo de acesso de entrada

Configurar políticas de entrada baseadas no contexto

Configure políticas de entrada contextual (CBI) ao nível da conta para restringir o acesso ao espaço de trabalho por fonte da rede, identidade, mecanismo de autenticação e âmbito de acesso. Consulte Controlo de entrada baseado no contexto e Gestão de políticas de entrada baseadas no contexto.

Configurar listas de acesso IP ao nível do espaço de trabalho (opcional)

Opcionalmente, configure listas de acesso IP ao nível do espaço de trabalho juntamente com o CBI para compatibilidade retroactiva ou sobreposições por espaço de trabalho. Quando ambos estiverem configurados, um pedido tem de ser permitido por ambos. Consulte Configurar listas de acesso IP para espaços de trabalho.

Configurar listas de acesso IP ao nível da conta

Configure listas de acesso IP ao nível da conta para controlar o acesso à consola da conta. Consulte Configurar listas de acesso IP para o console da conta.

Configurar listas de acesso IP ao nível do destinatário

Se usar a partilha OpenSharing Databricks-to-Open, configure listas de acesso IP ao nível do destinatário em cada destinatário da partilha. Veja Restringir o acesso do destinatário do Open Sharing através de listas de acesso IP (Databricks-to-Open Sharing).

Intervalos de IP configurados para documentos

Manter a documentação de todos os intervalos IP configurados, incluindo justificação, tickets associados e datas de revisão planeadas.

Verificar comportamento de acesso

Verifique o comportamento de acesso testando o início de sessão a partir de intervalos de IP aprovados e confirmando que as ligações de intervalos de IP não aprovados estão bloqueadas.

Fase 2: Endpoints de serviços cloud

Configurar rotas definidas pelo utilizador

Configure rotas definidas pelo utilizador (UDRs) usando etiquetas de serviço do Azure para que o tráfego para os serviços Azure siga os caminhos de saída privados ou controlados que deseja. Consulte Configurações de rota definidas pelo usuário para o Azure Databricks.

Configurar endpoints de serviço ou privados para armazenamento

Configure pontos finais de serviço ou pontos finais privados para contas de armazenamento do Azure geridas pelo cliente, conforme necessário.

Fase 3: Controlos de saída sem servidor

Configurar políticas de rede serverless

Configure as políticas de rede serverless para restringir o tráfego de saída da computação serverless a destinos aprovados, utilizando intervalos de IP ou FQDNs. Consulte O que é o controle de saída sem servidor?.

Configurar os pontos finais privados do NCC

Configure pontos finais privados do NCC para conectividade privada da computação sem servidor para os seus recursos do Azure. Consulte Configurar conectividade privada para recursos do Azure.

Testar a saída serverless

Teste se as cargas de trabalho serverless podem aceder a destinos aprovados e têm o acesso a destinos não aprovados bloqueado.

Fase 4 (opcional): Firewall externo para computação clássica

Implantar um firewall externo

Implemente o Azure Firewall ou um dispositivo virtual de rede de terceiros (NVA) numa VNet de hub e emparelhe-o com a VNet da área de trabalho.

Encaminhar o tráfego de saída pelo firewall com UDRs

Configure UDRs nas sub-redes do espaço de trabalho com uma rota predefinida para a firewall.

Configurar regras de firewall sem interceção de TLS

Configure as regras de firewall para permitir os pontos finais necessários do Azure Databricks sem interceção de TLS no tráfego do plano de controlo e de retransmissão SCC.

O Azure Databricks Terraform SRA fornece templates Infrastructure-as-Code que automatizam esta implementação.

Validação

Depois de implementar a arquitetura, execute as seguintes verificações para confirmar que o tráfego clássico do plano de cálculo permanece privado e que a sua lista de acesso IP restringe o acesso ao workspace conforme configurado.

Cheque Resultado esperado
Espaço de trabalho acessível a partir de IPs permitidos Yes
Espaço de trabalho bloqueado para IPs não autorizados Yes
Lançamento de clusters com o SCC Sim, nada de IPs públicos
Acesso a dados através de ligações privadas Yes
Instalação de pacotes a partir de repositórios privados de artefactos Yes

Troubleshooting

Se uma verificação de validação falhar ou uma carga de trabalho se comportar de forma inesperada, use a tabela seguinte para diagnosticar problemas comuns.

Issue Motivo Resolução
Não consigo aceder ao espaço de trabalho IP não consta da lista de acesso Adicionar IP à lista de espaços de trabalho
O cluster não inicia Roteamento ou má configuração do endpoint Verifique tabelas de rotas e conectividade de endpoints privados
Falha no acesso ao S3/ADLS Problema de endpoint ou encaminhamento da VPC Verificar a configuração dos endpoints e os grupos de segurança
Falha na instalação do pacote Repositório privado de artefactos inacessível Verifique a configuração do endpoint VNet e a resolução DNS do seu repositório de artefactos
Problemas de acesso intermitente Endereços IP Dinâmicos Use VPN com IP de saída estática ou alarge os intervalos de IP

Manutenção contínua

  • Gestão de listas de acesso IP: Revise mensalmente, adicione novas localizações, remova intervalos obsoletos.
  • Monitorização de pontos finais: Acompanhar o estado de funcionamento dos pontos finais privados e os custos de transferência de dados.
  • Gestão de repositórios de artefactos: Manter espelhos privados de pacotes e monitorizar a disponibilidade.
  • Suporte ao utilizador: Manter o processo para problemas de acesso IP.

Passos anteriores e seguintes

Architecture Quando escolher
Segurança gerida Passo anterior. Se os controlos de acesso baseados em IP, os pontos finais de VPC e os controlos de saída sem servidor forem mais do que o necessário para as suas cargas de trabalho. A base inclui VNet e SCC geridos pelo cliente, com o Private Link clássico opcional.
Ambiente isolado Próximo passo. Se o controlo de acesso baseado em IP se revelar insuficiente, as regulamentações exigem acesso a espaços de trabalho privados, ou a conformidade exige a prevenção da exfiltração de dados.
  • Last updated on