Políticas de rede baseadas no contexto

As políticas baseadas em contexto Databricks fornecem uma estrutura de segurança unificada para gerenciar o tráfego de entrada e saída do seu espaço de trabalho. Com o ingresso baseado em contexto, os administradores podem restringir o acesso workspace com base em uma combinação de identidade, origem da rede e tipo de solicitação. As políticas de saída sem servidor estendem esse controle ao tráfego de saída, limitando as cargas de trabalho serverless a destinos autorizados. Em conjunto, essas políticas de rede ajudam a garantir que tanto o acesso do usuário quanto a movimentação de dados permaneçam dentro de limites confiáveis em toda a sua organização.

As políticas de rede baseadas no contexto complementam esses recursos de segurança existentes:

• Controle de entrada baseado em contexto:

  • listas de acesso IP do espaço de trabalho
  • listas de acesso IP de contas
  • Link privado de entrada
  • Link privado de saída

• Controle de saída sem servidor:

  • Configurações de conectividade de rede (NCCs)

Benefícios

As políticas de rede de entrada baseadas em contexto oferecem os seguintes benefícios para a segurança da sua rede:

• Segurança reforçada : Reduza os riscos de acesso não autorizado e exfiltração de dados.
• Controle baseado em identidade : Ofereça suporte a clientes SaaS sem intervalos de IP estáveis usando regras baseadas em identidade.
• Aplicação flexível : Aplique regras diferentes a diferentes tipos de requisição, origens e identidades.
• Gestão centralizada : configure uma única vez ao nível account e aplique em vários espaços de trabalho.
• Testes seguros : Utilize o modo de execução simulada para testar os impactos da política antes da sua aplicação completa.

Comparação de tipos de políticas

As políticas de rede baseadas em contexto incluem dois tipos: controle de entrada e controle de saída. A tabela a seguir resume as key diferenças:

Atributo	Controle de entrada	Controle de saída
O que ele controla	Solicitações de entrada para o endpoint workspace Databricks .	Conexões de saída de compute sem servidor para destinos externos.
Caso de uso principal	Restrinja quem pode acessar seu workspace, de onde e o que essas pessoas podem acessar.	Evite a exfiltração de dados controlando a quais recursos externos compute sem servidor podem se conectar.
Critérios de política	Identidade (múltiplos usuários ou múltiplas entidades de serviço) Fonte de rede (intervalo CIDR) Tipo de acesso (interface do usuário do espaço de trabalho, API, aplicativos, computação do Lakebase)	Locais permitidos FQDNs contêineres de armazenamento em nuvem
Registro de auditoria	system.access.inbound_network tabela do sistema	system.access.outbound_network tabela do sistema

Como funcionam as políticas baseadas no contexto

Com o controle de entrada, você pode:

• Impeça o acesso de redes não confiáveis exigindo credenciais válidas e uma fonte de rede confiável.
• Permita ferramentas de automação SaaS com IPs dinâmicos usando regras baseadas em identidade em vez de listas de permissão de IP.
• Restrinja operações sensíveis à interface do usuário workspace permitindo, ao mesmo tempo, um acesso mais amplo API .
• Limitar entidades de serviço de alto privilégio apenas a faixas de redes corporativas.

Com o controle de saída, você pode:

• Evite a exfiltração de dados restringindo quais APIs externas compute sem servidor pode acessar.
• Permitir conectividade apenas com buckets de armazenamento cloud e bancos de dados externos aprovados.
• Bloquear conexões de saída para destinos não autorizados, permitindo, ao mesmo tempo, as integrações necessárias.
• Garanta compliance limitando a movimentação de dados a regiões e serviços aprovados.

• • Configurar políticas de entrada
  • Configure regras de permissão e negação que combinem identidade, origem da rede e tipo de acesso para controlar as solicitações de entrada em seu workspace.
• • Configurar políticas de saída
  • Defina regras de conexão de saída para controlar quais destinos externos seu recurso compute sem servidor pode alcançar.

Modos de aplicação

As políticas baseadas no contexto têm dois modos diferentes de aplicação:

• Modo de aplicação : As regras são aplicadas ativamente. Solicitações que violem essas regras serão bloqueadas.
• Modo de execução a seco : as violações são registradas, mas não bloqueadas. Use este modo para testar os impactos da política antes da sua implementação.

Databricks recomenda começar com o modo de execução "dry" para evitar o encaminhamento de acessos não intencionais.

Registro de auditoria

Databricks logs todas as avaliações de políticas para compliance e monitorização:

• Entrada : faça login na tabela do sistema system.access.inbound_network .
• Saída : registro na tabela do sistema system.access.outbound_network .

Consulte esses logs para validar a eficácia da política e detectar tentativas de acesso não autorizado.

Como as políticas interagem com outros controles

• Listas de acesso IP : Tanto as listas de acesso IP quanto as políticas de entrada devem permitir uma solicitação. Se você desativar o acesso público nas suas configurações de acesso privado, o sistema negará todas as solicitações públicas, independentemente das regras da política de entrada.
• Conectividade privada : Funciona em conjunto com as políticas de entrada quando o acesso público está habilitado.
• Perfis de segurança : Políticas baseadas em contexto fornecem controles em nível de rede que complementam compute e a governança de dados.

Melhores práticas

• comece com o modo de execução seca para validar o comportamento da política antes da aplicação.
• Utilize regras baseadas em identidade para clientes SaaS com endereços IP dinâmicos.
• Aplique primeiro regras de negação a entidades de serviço de alto privilégio para limitar o risco.
• Monitore logs de auditoria regularmente para detectar padrões de acesso inesperados.
• Testar as políticas de saída para garantir que os recursos externos necessários permaneçam acessíveis.
• Use nomes descritivos para as políticas, visando a manutenção a longo prazo.