Políticas de rede baseadas no contexto

info

Visualização

A política de entrada baseada em contexto de nível de account está em Beta.

As políticas baseadas em contexto da Databricks fornecem uma estrutura de segurança unificada para gerenciar o tráfego de entrada e saída para seus workspaces e recursos em nível de account (por exemplo, o console da account e o Genie em nível de account). As políticas de workspace são configuradas em **políticas no nível do workspace**, com uma política de workspace default atribuída a todos os workspaces sem atribuição explícita. A política em nível de account é configurada separadamente usando o account-policy único.

Com ingresso baseado em contexto, os administradores podem restringir o acesso no nível do workspace e da account com base em uma combinação de identidade, origem da rede e tipo de solicitação. As políticas de saída serverless estendem esse controle ao tráfego de saída, limitando as cargas de trabalho serverless a destinos autorizados. Juntas, essas políticas de rede ajudam a garantir que o acesso do usuário e o movimento de dados permaneçam dentro de limites confiáveis em toda a sua organização.

As políticas de rede baseadas no contexto complementam esses recursos de segurança existentes:

• Controle de entrada baseado em contexto:

  • listas de acesso IP do espaço de trabalho
  • listas de acesso IP de contas
  • Private Link de Entrada (usando configurações de acesso privado)

• Controle de saída sem servidor:

  • Private Link de saída (usando configurações de conectividade de rede)

Benefícios

As políticas de rede de entrada baseadas em contexto oferecem os seguintes benefícios para a segurança da sua rede:

• Segurança aprimorada: Mitigar acesso não autorizado e riscos de exfiltração de dados.
• Controle com reconhecimento de identidade: Ofereça suporte a clientes SaaS sem intervalos de IP estáveis usando regras baseadas em identidade.
• Execução flexível: Aplique regras diferentes para diferentes tipos de solicitação, fontes e identidades.
• Gerenciamento centralizado: Configure uma vez no nível da account, aplique em múltiplos workspaces.
• Teste seguro: use o modo de execução de teste para testar os impactos da política antes da aplicação total.

Comparação de tipos de políticas

As políticas de rede baseadas em contexto incluem dois tipos: controle de entrada e controle de saída. A tabela a seguir resume as key diferenças:

Atributo	Controle de entrada	Controle de saída
O que ele controla	Solicitações de entrada para workspace do Databricks e endpoints no nível da conta.	Conexões de saída de compute sem servidor para destinos externos.
Caso de uso principal	Restrinja quem pode acessar seus recursos de workspace e no nível da account, de onde e o que eles podem acessar.	Evite a exfiltração de dados controlando a quais recursos externos compute sem servidor podem se conectar.
Critérios de política	Identidade (múltiplos usuários ou múltiplas entidades de serviço) Origem da rede (intervalo CIDR, endpoints VPC registrados) Tipo de acesso: para workspaces ( UI do Workspace , API , Apps , Lakebase Compute ), para account ( UI da Account , Account API )	Locais permitidos FQDNs contêineres de armazenamento em nuvem
Registro de auditoria	system.access.inbound_network tabela do sistema	system.access.outbound_network tabela do sistema

Atributo	Controle de entrada	Controle de saída
O que ele controla	Solicitações de entrada para workspace do Databricks e endpoints no nível da conta.	Conexões de saída de compute sem servidor para destinos externos.
Caso de uso principal	Restrinja quem pode acessar seus recursos de workspace e no nível da account, de onde e o que eles podem acessar.	Evite a exfiltração de dados controlando a quais recursos externos compute sem servidor podem se conectar.
Critérios de política	Identidade (múltiplos usuários ou múltiplas entidades de serviço) Origem da rede (intervalo CIDR, endpoints VPC registrados) Tipo de acesso: para workspaces ( UI do Workspace , API , Apps , Lakebase Compute ), para account ( UI da Account , Account API )	Locais permitidos FQDNs contêineres de armazenamento em nuvem
Registro de auditoria	system.access.inbound_network tabela do sistema	system.access.outbound_network tabela do sistema

Como funcionam as políticas baseadas no contexto

Com o controle de entrada, você pode:

• Impeça o acesso de redes não confiáveis exigindo credenciais válidas e uma fonte de rede confiável.
• Permita ferramentas de automação SaaS com IPs dinâmicos usando regras baseadas em identidade em vez de listas de permissão de IP.
• Restrinja as operações sensíveis à UI, permitindo um acesso mais amplo à API.
• Limitar entidades de serviço de alto privilégio apenas a faixas de redes corporativas.

Com o controle de saída, você pode:

• Evite a exfiltração de dados restringindo quais APIs externas compute sem servidor pode acessar.
• Permitir conectividade apenas com buckets de armazenamento cloud e bancos de dados externos aprovados.
• Bloquear conexões de saída para destinos não autorizados, permitindo, ao mesmo tempo, as integrações necessárias.
• Garanta compliance limitando a movimentação de dados a regiões e serviços aprovados.

• • Configurar políticas de entrada
  • Configure regras de permissão e negação que combinem identidade, origem da rede e tipo de acesso para controlar as solicitações de entrada em seu workspace.
• • Configurar políticas de saída
  • Defina regras de conexão de saída para controlar quais destinos externos seu recurso compute sem servidor pode alcançar.

Modos de aplicação

As políticas baseadas no contexto têm dois modos diferentes de aplicação:

• Modo de aplicação : As regras são aplicadas ativamente. Solicitações que violem essas regras serão bloqueadas.
• Modo de execução a seco : as violações são registradas, mas não bloqueadas. Use este modo para testar os impactos da política antes da sua implementação.

Databricks recomenda começar com o modo de execução "dry" para evitar o encaminhamento de acessos não intencionais.

Registro de auditoria

Databricks logs todas as avaliações de políticas para compliance e monitorização:

• Ingress: Registrado na tabela do sistema system.access.inbound_network.
• Saída: Registrado na system.access.outbound_network tabela do sistema.

Consulte esses logs para validar a eficácia da política e detectar tentativas de acesso não autorizado.

Como as políticas interagem com outros controles

• Listas de acesso IP : tanto as listas de acesso IP quanto as políticas de entrada baseadas em contexto de acesso público devem permitir uma solicitação. Se você desabilitar o acesso público nas configurações de acesso privado, o sistema negará todas as solicitações públicas, independentemente das regras da política de entrada.

• Conectividade privada :

  • Para que o tráfego seja permitido, tanto as configurações de acesso privado quanto a entrada baseada em contexto devem permitir o endpoint. Por padrão, a entrada baseada em contexto é definida como Permitir acesso de todos os endpoints privados , o que transfere a decisão de acesso para a configuração de acesso privado do workspace. Se você deseja configurar políticas de acesso privado baseadas em contexto, certifique-se de que seu workspace tenha uma configuração de acesso privado anexada, com todos os endpoints privados registrados permitidos (veja mais abaixo). Isso transferirá a decisão de acesso para a política de entrada baseada em contexto do seu workspace.
  • Para a política da account, a entrada baseada em contexto é a única fonte de verdade para a política de acesso privado.

• Perfis de segurança : Políticas baseadas em contexto fornecem controles em nível de rede que complementam compute e a governança de dados.

Melhores práticas

• comece com o modo de execução seca para validar o comportamento da política antes da aplicação.
• Utilize regras baseadas em identidade para clientes SaaS com endereços IP dinâmicos.
• Aplique primeiro regras de negação a entidades de serviço de alto privilégio para limitar o risco.
• Monitore logs de auditoria regularmente para detectar padrões de acesso inesperados.
• Testar as políticas de saída para garantir que os recursos externos necessários permaneçam acessíveis.
• Use nomes descritivos para as políticas, visando a manutenção a longo prazo.