Поделиться через

Что такое бессерверный элемент управления исходящего трафика?

  • Статья

Внимание

Эта функция предоставляется в режиме общедоступной предварительной версии.

В этой статье объясняется, как контроль исходящего трафика в бессерверной среде позволяет управлять исходящими сетевыми соединениями connections из ресурсов бессерверных вычислительных систем.

Управление бессерверным исходящим трафиком повышает уровень безопасности, позволяя управлять исходящими connections из бессерверных рабочих нагрузок, уменьшая риск кражи данных.

С помощью политик сети можно:

  • принудительно применять denyпо умолчанию. Управление исходящим доступом с детализацией путем включения политики denyпо умолчанию для Интернета, облачного хранилища и API Databricks connections.
  • Упростите управление: Определите единый подход к контролю исходящего трафика для всех ваших бессерверных нагрузок в различных бессерверных продуктах.
  • Удобное управление на большом масштабе: централизованно управлять поведением в нескольких рабочих областях и применять стандартную политику для учетной записи Databricks.
  • политики безопасного развертывания. Устранение рисков путем оценки последствий любой новой политики в режиме только для входа перед полным применением.

Эта предварительная версия поддерживает следующие бессерверные продукты: записные книжки, рабочие процессы, склады SQL, конвейеры Delta Live Tables, обслуживание модели ИИ Мозаики, мониторинг Lakehouse и приложения Databricks с ограниченной поддержкой.

Заметка

Включение ограничений исходящего трафика для рабочей области запрещает Databricks Apps получать доступ к несанкционированным ресурсам. Однако реализация ограничений исходящего трафика может повлиять на функциональные возможности приложений.

Общие сведения о политике сети

Политика сети — это объект конфигурации, применяемый на уровне учетной записи Azure Databricks. Хотя одна сетевая политика может быть связана с несколькими рабочими областями Azure Databricks, каждая рабочая область может быть связана только с одной политикой одновременно.

Политики сети определяют режим доступа к сети для бессерверных рабочих нагрузок в связанных рабочих областях. Существует два основных режима:

  • Полный доступ. Бессерверные рабочие нагрузки имеют неограниченный исходящий доступ к Интернету и другим сетевым ресурсам.
  • Ограниченный доступ: исходящий доступ ограничен:
    • Пункты назначения Unity Catalog: расположения и connections, настроенные в Unity Catalog, доступные из рабочей области.
    • Явно определенные назначения: FQDN и учетная запись хранения Azure перечислены в политике сети.

Состояние безопасности

Когда политика сети set установлена на режим ограниченного доступа, исходящие сетевые connections из бессерверных рабочих нагрузок тщательно контролируются.

Поведение Подробности
Deny исходящее подключение по умолчанию Бессерверные рабочие нагрузки имеют доступ только к следующим: назначениям, настроенным через Unity Catalog, расположениям или connections, которые разрешены по умолчанию, полным доменным именам (FQDN) или расположениям хранилища, определенным в политике, и API рабочей области той же рабочей области, что и рабочая нагрузка. Доступ между рабочими областями запрещен.
Нет прямого доступа к хранилищу Прямой доступ из пользовательского кода в определяемых пользователем файлах и записных книжках запрещен. Вместо этого используйте абстракции Databricks, такие как Unity Catalog или монтирование DBFS. Подключения DBFS позволяют обеспечить безопасный доступ к данным в учетной записи хранения Azure, указанной в политике сети.
Неявно разрешенные назначения Вы всегда можете получить доступ к учетной записи хранения Azure, связанной с вашей рабочей областью, основной системе tablesи примерам наборов данных (только для чтения).
Принудительное применение политик для частных конечных точек Исходящий доступ через частные конечные точки также распространяется на правила, определенные в политике сети. Назначение должно быть указано либо в Unity Catalog, либо в политике. Это обеспечивает согласованное применение безопасности во всех методах сетевого доступа.