セキュリティの概要
プレビュー
この機能は プライベート プレビュー段階です。ガバナンスハブのセキュリティ体制管理の有効化を参照してください。
ガバナンスハブの [セキュリティ] ページには、Databricksアカウントのセキュリティ体制が表示されます。毎日、Databricksのセキュリティのベストプラクティスに基づいてセキュリティ管理に対する各ワークスペースを評価し、検出結果を重大度順にランク付けし、失敗した各管理を修復ガイダンスにLinkします。アカウント管理者のみがセキュリティページにアクセスできます。
セキュリティページでできることは次のとおりです。
- ワークスペース全体で体制を追跡 ：アカウント全体で合格しているコントロールの割合と、最もリスクの高い検索結果を持つワークスペースを表示します。
- 障害の根本原因を特定する : 失敗したコントロールをドリルダウンして、影響を受けるワークスペース、失敗がいつ起動されたか、およびその理由を確認します。
- コントロールの調整 ：コントロールを無効化し、重大度を調整し、アカウントレベルまたはワークスペースレベルでthresholdを設定します。
「セキュリティ」ページには、次のタイルが含まれています。
タイル | 説明 |
|---|---|
セキュリティ検出事項 | 範囲内の合格および不合格の検出結果の合計数（重大度別）。検出結果とは、1つのワークスペースに対して評価される1つのセキュリティコントロールの結果のことです。 |
対応が必要なワークスペース | 高リスクの調査結果の数によってランク付けされた、スコープ内のワークスペース。 |
カテゴリタイル（ データ保護 、 ID とアクセス 、 ネットワークセキュリティ 、 プラットフォームの衛生管理 ） | 重大度およびカテゴリ別に、範囲内の合格および不合格の検出結果の割合。 |
右側の「 セキュリティの推奨事項 」パネルは、アカウント全体のセキュリティ体制を向上させるためのアクションを提案します。
セキュリティ制御の仕組み
コントロールは4つのカテゴリと10のサブカテゴリに分類されています。
カテゴリー | サブカテゴリー | 制御がチェックするもの |
|---|---|---|
IDとアクセス | 認証 | Single Sign On (SSO)、危険な個人用アクセストークン、古いDatabricks Service Principalシークレット、および緊急アクセス設定。 |
IDとアクセス | IDガバナンス | アイデンティティのライフサイクル管理と権限が過剰な管理者。 |
データ保護 | 暗号化 | カスタマーマネージドキーとローカルディスクの暗号化。 |
データ保護 | データの書き出し | ノートブック、クエリー結果、およびファイルエクスポートのコントロール。 |
データ保護 | UCの準備状況 | メタストアの割り当て、リスクのあるストレージ資格情報の使用、レガシーDBFSの無効化。 |
ネットワークセキュリティ | イングレス制御 | コンテキストベースのIngressおよびIPアクセス制御、フロントエンドプライベート接続、バックエンドプライベート接続、およびセキュアクラスター接続。 |
ネットワークセキュリティ | エグレス制御 | Serverless出力制御とServerlessプライベート接続。 |
プラットフォームの健全性 | コンピュートの強化 | 非推奨のランタイム、長時間稼働中のクラスター、およびユーザー分離のないクラスター。 |
プラットフォームの健全性 | ソフトウェアサプライチェーン | Gitリポジトリの制御、グローバルクラスターライブラリ、およびグローバルinitスクリプト。 |
プラットフォームの健全性 | プラットフォームベースライン | レガシー機能の無効化、コンプライアンスセキュリティプロファイル、および強化されたセキュリティモニタリング。 |
各コントロールには、High、Medium、Low、Informationalのdefaultの重大度があり、どの検出結果に最初に対処する必要があるかを示します。全リストについては、「セキュリティコントロールのリファレンス」を参照してください。
スコープの変更
ガバナンスハブに表示されるデータは、右上の隅で選択できる スコープ によって異なります。アカウント管理者の場合、これはdefaultで 
アカウント に設定されています。個別のワークスペースなど、異なるスコープを選択して、ダッシュボードを更新してそのスコープを反映させます。各スコープを表示できるユーザーの情報については、「アクセス権と権限」を参照してください。
問題を調査して詳細に掘り下げる
ダッシュボードから、カテゴリ、重大度、またはワークスペースでフィルタリングして、関連するコントロールとそれらがパスしているか失敗しているかを確認します。
コントロールを選択して影響を受けるワークスペースを確認し、失敗しているワークスペースを選択して、そのコントロールがいつ失敗し始めたか、なぜ失敗したかなど、根本原因を理解します。例えば、ワークスペースに有効期間の長い個人用アクセストークンがある場合、トークンID、所有者、有効期限を表示して修復を開始できます。
失敗した各コントロールは、問題に対処する方法を説明する修復ガイダンスにLinkしています。ガイダンスには、構成が重要である理由、変更の潜在的な影響、および環境を中断せずに修復する方法が含まれています。
セキュリティ要件に合わせてコントロールをカスタマイズする
組織のポリシーとリスク許容度に合わせてセキュリティコントロールを調整します：
-
コントロールの無効化 : 開発ワークスペースやサンドボックスワークスペースなど、特定の環境に適用されないアカウントレベルまたはワークスペースレベルのコントロールを無効化します。
-
重大度レベルの調整 ：組織の優先順位を反映するように、コントロールの重大度を変更します。
-
Tune thresholds : ポリシーに一致するthresholdを設定します。例えば、Databricks Service Principalシークレットにフラグを設定するまでの最大許容有効期間を選択します。
-
プラットフォームレベルに基づいてノイズを減らす : Enterpriseレベルまたは拡張セキュリティおよびコンプライアンスアドオンに依存する制御は、これらの機能が利用できないPremiumレベルのアカウントではdefaultで無効になっています。
無効なコントロールもスキャンされるため、調査と監査のための検索結果の完全な履歴が保持されます。ただし、無効なコントロールはダッシュボードで合格または不合格として表示されません。
Governance Hub セキュリティ体制管理を有効にする
Governance Hubのセキュリティ ポスチャ管理を有効にするには、アカウント管理者がアカウント コンソールの 「プレビュー」 ページから 「Governance Hub」 プレビューと 「Governance Hub: Security Posture Management」 プレビューの両方をオンにします。アカウントレベルのプレビューを管理するを参照してください。
ガバナンスハブ：セキュリティポスチャ管理 はプライベートプレビュー版です。 プレビュー ページに表示されない場合は、アカウントチームに問い合わせて登録してください。
プレビューを有効にすると、セキュリティ制御はすべてのワークスペースで毎日評価されます。最初の結果が表示されるまで最大1日かかる場合があります。