セキュリティ、コンプライアンス、プライバシーのベストプラクティス
Databricks on Google Cloud のセキュリティ ベスト プラクティスと脅威モデルは、Security & Trust Center から PDF ドキュメントとしてダウンロードできます。この記事のセクションでは、この柱の原則に沿って PDF で見つけることができるベスト プラクティスを一覧表示します。
1. 最小限の特権を使用して ID とアクセスを管理する
- 多要素認証の活用
- SCIM を使用してユーザーとグループを同期する
- 管理者ユーザーの数を制限する
- 管理アカウント間で職務分掌を徹底する
- ワークスペース管理者を制限する
- 最小特権の原則に従ってアクセスを管理する
- OAuth トークン認証を使用する
- トークン管理の強制
- クラスターの作成権限を制限する
- Use コンピュート ポリシー
- サービスプリンシパルを使用して、管理タスクと本番運用ワークロードを実行します
- ユーザー分離に対応したコンピュートを使う
- シークレットを安全に保存して使用する
- デプロイ後のセキュリティ強化手順を検討する
詳細は、この記事の冒頭で参照されているPDFに記載されています。
2。転送中と保存中のデータを保護します
- Unity Catalog によるデータガバナンスの一元化
- データ分離モデルを計画する
- DBFSでの本番運用データの保存は避ける
- GCSバケットを保護し、パブリックアクセスを防止
- VPC Service Controls を使用する
- 論理的な削除で GCS データを保護
- デュアルリージョンでGCSデータをバックアップ
- マネージドサービスの顧客管理キーの構成
- ストレージの顧客管理キーを構成する
- Delta Sharing を使用する
- Delta Sharing 受信者トークンの有効期間を構成する
- さらに、Advanced Encryption Standard(AES)を使用して保存中の機密データを暗号化します
- ワークスペース内のデータ流出防止設定を活用する
詳細は、この記事の冒頭で参照されているPDFに記載されています。
3. ネットワークを保護し、エンドポイントを保護する
- 顧客管理VPCを使用する
- IP アクセス リストの設定
- GCP Private Service Connectを利用する
- ネットワーク流出防止策を実装
- 機密性の高いワークロードを異なるネットワークに分離
- サーバレス コンピュート アクセス用のファイアウォールを構成する
- 貴重なコードベースへのアクセスを信頼できるネットワークのみに制限
詳細は、この記事の冒頭で参照されているPDFに記載されています。
4. コンプライアンスとデータプライバシーの要件を満たす
- コンピュートを定期的に再開する
- 機密性の高いワークロードを異なるワークスペースに分離する
- Unity Catalog のセキュリティ保護可能なリソースを特定のワークスペースに割り当てる
- きめ細かなアクセス制御を実装
- タグの適用
- リネージを使う
- Databricks の担当者のワークスペースへのアクセスを制御および監視
- ディザスタリカバリ戦略の実装とテスト
詳細は、この記事の冒頭で参照されているPDFに記載されています。
5. システムセキュリティの監視
- システムテーブルの活用
- GCP Cloud Audit Logsによるシステムアクティビティのモニタリング
- 詳細な監査ログを有効にする
- Git フォルダーでコード バージョンを管理する
- 信頼できるコードリポジトリへの使用制限
- Infrastructure-as-Codeによるインフラストラクチャのプロビジョニング
- CI/CD によるコードの管理
- 制御ライブラリのインストール
- 信頼できるまたは信頼できるソースからのモデルとデータのみを使用してください
- データ品質モニタリングを使用する
- DevSecOpsプロセスの実装
- タグ付けをコストモニタリングとチャージバック戦略の一部として活用
- 予算を使用してアカウントの支出を監視する
- 組織ポリシーの使用
詳細は、この記事の冒頭で参照されているPDFに記載されています。
追加のリソース
- セキュリティ&トラストセンターを見直して、Databricks Data Intelligence Platform の各レイヤーにセキュリティがどのように組み込まれているか、また、私たちが運用している責任共有モデルについて理解してください。
- Databricks AI Security Framework (DASF)をダウンロードして確認し、実際の攻撃シナリオに基づいて AI セキュリティの脅威を軽減する方法を理解する