O que é o controle de saída sem servidor?
Importante
Esta funcionalidade está em Pré-visualização Pública.
Este artigo explica como o controle de saída sem servidor permite gerenciar connections de rede de saída a partir de seus recursos de computação sem servidor.
O controle de saída sem servidor fortalece sua postura de segurança, permitindo que você gerencie connections de saída de suas cargas de trabalho sem servidor, reduzindo o risco de exfiltração de dados.
Usando diretivas de rede, você pode:
- Impor denypostura padrão: Controle o acesso de saída com precisão granular habilitando uma política de denypor padrão para Internet, armazenamento em nuvem e API Databricks connections.
- Simplifique ade gerenciamento: defina uma postura consistente de controle de saída para todas as suas cargas de trabalho sem servidor em vários produtos sem servidor.
- Gerencie facilmente em escala: gerencie centralmente sua postura em vários espaços de trabalho e imponha uma política padrão para sua conta Databricks.
- Políticas de lançamento com segurança: Reduza o risco avaliando os efeitos de qualquer nova política no modo apenas de registo antes da execução completa.
Esta visualização suporta os seguintes produtos sem servidor: notebooks, fluxos de trabalho, armazéns SQL, pipelines Delta Live Tables, Mosaic AI Model Serving, Lakehouse Monitoring e Databricks Apps com suporte limitado.
Observação
Habilitar restrições de saída em um espaço de trabalho impede que os aplicativos Databricks acessem recursos não autorizados. No entanto, a implementação de restrições de saída pode afetar a funcionalidade do aplicativo.
Visão geral da política de rede
Uma política de rede é um objeto de configuração aplicado no nível da conta do Azure Databricks. Embora uma única política de rede possa ser associada a vários espaços de trabalho do Azure Databricks, cada espaço de trabalho só pode ser vinculado a uma política de cada vez.
As diretivas de rede definem o modo de acesso à rede para cargas de trabalho sem servidor nos espaços de trabalho associados. Existem dois modos principais:
- Acesso total: as cargas de trabalho sem servidor têm acesso de saída irrestrito à Internet e a outros recursos de rede.
-
Acesso Restrito: O acesso de saída está limitado a:
- Unity Catalog destinos: os locais e connections configurados no Unity Catalog que são acessíveis a partir do espaço de trabalho.
- Destinos explicitamente definidos: FQDNs e conta de armazenamento do Azure são listados na política de rede.
Postura de segurança
Quando uma diretiva de rede é set para o modo de acesso restrito, os connections de rede de saída de cargas de trabalho sem servidor são rigorosamente controlados.
| Comportamento | Detalhes |
|---|---|
| Deny por padrão conectividade de saída | As cargas de trabalho sem servidor têm acesso apenas ao seguinte: destinos configurados através de locais Unity Catalog ou connections permitidos por padrão, FQDNs ou locais de armazenamento definidos na política, e APIs de espaço de trabalho do mesmo espaço de trabalho que a carga de trabalho. O acesso entre espaços de trabalho é negado. |
| Sem acesso direto ao armazenamento | O acesso direto do código do usuário em UDFs e notebooks é proibido. Em vez disso, use abstrações do Databricks, como Unity Catalog ou montagens DBFS. As montagens DBFS permitem acesso seguro aos dados na conta de armazenamento do Azure listada na política de rede. |
| Destinos permitidos implicitamente | Pode-se sempre acessar a conta de armazenamento do Azure associada ao seu espaço de trabalho, sistema essencial tables, e conjuntos de dados de exemplo disponíveis apenas para leitura. |
| Aplicação de políticas para pontos finais privados | O acesso de saída através de pontos de extremidade privados também está sujeito às regras definidas na política de rede. O destino deve ser listado no Unity Catalog ou dentro da política. Isso garante uma aplicação de segurança consistente em todos os métodos de acesso à rede. |