Autoriser les plateformes partenaires dans les politiques d’accès entrant basées sur le contexte
Les plateformes partenaires vous permettent de restreindre l’accès public à votre Workspace tout en autorisant le trafic provenant d’outils SaaS (Software as a Service) pris en charge, tels que Power BI, Tableau Cloud et l’application Databricks Genie pour Slack. Vous sélectionnez le partenaire dans une règle d’entrée basée sur le contexte, et Databricks maintient à jour les plages d’adresses IP ou les détails de l’application OAuth du partenaire. Vous n’avez donc pas à suivre vous-même les adresses IP des partenaires.
Cette page répertorie les plateformes partenaires prises en charge et explique comment autoriser l’une d’entre elles dans une politique au niveau du workspace à l’aide de la console de compte. Pour une présentation du contrôle d'entrée basé sur le contexte, consultez Contrôle d'entrée basé sur le contexte.
Comment les règles de la plateforme partenaire correspondent au trafic
Databricks identifie le trafic des partenaires de l’une des manières suivantes, selon le partenaire :
- Plages IP gérées : Le partenaire publie ses adresses IP de sortie. Databricks synchronise les plages publiées toutes les une à deux semaines et autorise les requêtes provenant de ces IP. Pour certains partenaires, vous pouvez limiter les règles pour n’autoriser que le trafic provenant de régions données.
- Application OAuth gérée : le produit partenaire héberge une application Databricks, comme l’application Databricks Genie pour Slack ou l’application Databricks Genie dans Microsoft Teams. Databricks identifie le trafic par l'ID client OAuth de l'application et ne l'autorise que lorsqu'il provient des services Databricks.
Une règle de plateforme partenaire autorise uniquement la source de trafic du partenaire. Les utilisateurs et les Service Principal continuent de s’authentifier, et chaque requête s’exécute avec les autorisations de l’identité qui l’a envoyée.
Plateformes partenaires prises en charge
Plateforme partenaire | Type de correspondance | Sélection de région | Plages d'adresses IP des partenaires | Guide d’installation |
|---|---|---|---|---|
Microsoft Power BI | Plages IP gérées | Oui | ||
Tableau Cloud | Plages IP gérées | Oui | ||
dbt Cloud | Plages IP gérées | Oui | ||
Application Slack Databricks | Application OAuth gérée | Non | Non applicable | |
Application Teams Databricks | Application OAuth gérée | Non | Non applicable |
La sélection de la région dépend du fait que le partenaire publie ou non ses plages d’adresses IP par région.
Conditions requises
- Vous devez être un administrateur de compte.
- Votre compte Databricks doit être au niveau Enterprise.
- L'accès public doit être activé sur le Workspace. Les plateformes de partenaires se connectent via l'Internet public. Si l'accès public est désactivé, Databricks bloque leurs requêtes avant d'évaluer la politique d'entrée.
L'accès public est contrôlé par le paramètre Accès public activé dans les paramètres d'accès privé du workspace. Voir Gérer les paramètres d'accès privé.
Limitations
- Vous pouvez utiliser des applications OAuth gérées, telles que l’application Slack Databricks et l’application Teams Databricks, uniquement dans les politiques au niveau du workspace.
- Vous pouvez ajouter des plates-formes partenaires pour autoriser uniquement les règles, et non pour les refuser.
- Chaque règle autorise une plateforme partenaire. Pour autoriser plusieurs partenaires, ajoutez une règle pour chaque partenaire.
Autoriser une plateforme partenaire à utiliser la console de compte
Ouvrir la politique de workspace
Ouvrez ou créez la politique réseau pour votre workspace. Voir Accéder aux politiques réseau.
Désactiver l'accès depuis toutes les IP publiques
Sur le Ingress tab, sous Public Network Access , effacez Allow access from all public IPs . Les listes Allow Rules et Deny Rules apparaissent.
Ajouter une règle d’autorisation pour le partenaire
-
Cliquez sur Add Allow Rules .
-
Sous Autoriser les identités , sélectionnez les identités qui peuvent utiliser le partenaire. Pour limiter les utilisateurs du partenaire, choisissez des utilisateurs ou des services principaux spécifiques.
-
Sous Source , pour Type de source , sélectionnez Plateformes partenaires .
-
Pour Nom du partenaire , sélectionnez la plateforme partenaire.
-
Si le partenaire prend en charge la sélection de région, sélectionnez éventuellement Régions . Si vous laissez Toutes les régions sélectionné, la règle autorise toutes les régions du partenaire.
-
Sous Destination , sélectionnez ce à quoi le partenaire peut accéder : IU du workspace , API du workspace , Runtime Lakebase ou Runtime d’applications . Pour limiter le partenaire aux APIs dont il a besoin, sélectionnez API du workspace et choisissez des scopes d’API spécifiques. Par exemple, pour les applications Databricks Genie pour Slack et Microsoft Teams, sélectionnez le scope d’API Genie .
-
Ajoutez la règle.
Enregistrer, tester et attacher la politique
- Cliquez sur Enregistrer pour enregistrer la stratégie.
- Définissez le mode d'application de la politique sur mode test et attachez la politique à votre workspace. Voir Définir le mode d'application et Attacher une politique aux Workspace.
- Consultez la table
system.access.inbound_networkpour connaître les demandes de partenaire refusées. Consultez Vérifier les logs de refus. - Lorsque les requêtes du partenaire ne sont plus refusées, définissez le Mode d’application de la politique sur Appliqué .
Ressources supplémentaires
-
- Gérer les politiques d’entrée basées sur le contexte du workspace
- Créez des politiques au niveau du Workspace, configurez des règles publiques, privées et entre Workspace, et attachez des politiques aux Workspace.
-
- Migrer les listes d'accès IP de workspace vers une entrée basée sur le contexte
- Déplacer les listes d’accès IP existantes des Workspace dans une politique d’entrée basée sur le contexte.