コンテキストベースのネットワークポリシー
Databricks のコンテキストベース ポリシーは、ワークスペースへの受信トラフィックと送信トラフィックの両方を管理するための統合セキュリティ フレームワークを提供します。コンテキストベースのイングレスを使用すると、管理者は ID、ネットワーク ソース、およびリクエスト タイプの組み合わせに基づいてワークスペース アクセスを制限できます。サーバーレス出力ポリシーは、サーバーレスのワークロードを許可された宛先に制限することで、この制御をアウトバウンド トラフィックにも拡張します。 これらのネットワーク ポリシーを組み合わせることで、ユーザー アクセスとデータの移動の両方が組織全体の信頼できる境界内にとどまることが保証されます。
コンテキストベースのネットワーク ポリシーは、次の既存のセキュリティ機能を補完します。
-
コンテキストベースのイングレス制御:
- ワークスペースIPアクセスリスト
- アカウント IP アクセス リスト
- インバウンド プライベート サービス接続（プライベートアクセス設定を使用）
-
サーバーレス出力制御:
- アウトバウンド Private Service Connect（ネットワーク接続構成を使用）
利点
コンテキストベースのイングレス ネットワーク ポリシーは、ネットワーク セキュリティに次のような利点をもたらします。
- セキュリティの強化：不正アクセスやデータ流出のリスクを軽減します。
- IDベースの制御：安定したIP範囲を持たないSaaSクライアントをIDベースのルールを使用することでサポートします。
- 柔軟な適用：さまざまなリクエストタイプ、ソース、IDに異なるルールを適用します。
- 集中管理：アカウントレベルで一度設定し、複数のワークスペースに適用します。
- 安全なテスト：ドライランモードを使用して、完全な適用前にポリシーの影響をテストします。
ポリシータイプの比較
コンテキストベースのネットワーク ポリシーには、イングレス制御とエグレス制御の 2 つの種類があります。次の表は主な違いをまとめたものです。
属性 | 進入制御 | 退出制御 |
|---|---|---|
制御するもの | Databricks ワークスペース エンドポイントへの受信要求。 | サーバレスコンピュートから外部宛先へのアウトバウンド接続。 |
主なユースケース | ワークスペースにアクセスできるユーザー、アクセス可能な場所、アクセスできる内容を制限します。 | サーバレス コンピュートがどの外部リソースに接続できるかを制御することで、データの漏洩を防ぎます。 |
ポリシー基準 | ID（複数のユーザーまたは複数のサービスプリンシパル） ネットワークソース（CIDRレンジ、登録済みのプライベートエンドポイント） アクセスタイプ（**ワークスペース UI**、**API**、**Apps**、**Lakebase コンピュート**） | 許可された場所 FQDN クラウドストレージコンテナ |
監査ログ |
|
|
コンテキストベースのポリシーの仕組み
イングレス制御を使用すると、次のことが可能になります。
- 有効な資格情報と信頼できるネットワーク ソースの両方を要求することで、信頼できないネットワークからのアクセスを停止します。
- IP 許可リストの代わりに ID ベースのルールを使用して、動的 IP を持つ SaaS 自動化ツールを許可します。
- 機密性の高い操作をUIに制限する一方で、広範なAPIアクセスを許可します。
- 高特権サービスプリンシパルを企業ネットワーク範囲のみに制限します。
出力制御を使用すると、次のことが可能になります。
- サーバレス コンピュートがアクセスできる外部APIsを制限することで、データの漏洩を防ぎます。
- 承認されたクラウド ストレージ バケットと外部データベースへの接続のみを許可します。
- 必要な統合を許可しながら、許可されていない宛先への送信接続をブロックします。
- データの移動を承認された地域とサービスに制限することで、コンプライアンスを強化します。
-
- 入力ポリシーを構成する
- ID、ネットワーク ソース、アクセス タイプを組み合わせた許可ルールと拒否ルールを設定し、ワークスペースへの受信要求を制御します。
-
- 出力ポリシーを構成する
- 送信接続ルールを定義して、サーバーレス コンピュート リソースが到達できる外部宛先を制御します。
執行モード
コンテキストベースのポリシーには、次の 2 つの異なる適用モードがあります。
- 強制モード : ルールがアクティブに適用されます。違反するリクエストはブロックされます。
- Dry 実行モード : 違反はログに記録されますが、ブロックされません。 このモードを使用して、ポリシーの影響を強制適用前にテストします。
Databricks 、意図しないアクセスの中断を避けるために、 dry 実行 モードから始めることをお勧めします。
監査ログ
Databricks 、コンプライアンスとモニタリングのすべてのポリシー評価をログに記録します。
- イングレス：
system.access.inbound_networkシステムテーブルに記録されます。 - 送信：
system.access.outbound_networkシステムテーブルにログが記録されます。
これらのログをクエリして、ポリシーの有効性を検証し、不正なアクセスの試みを検出します。
ポリシーが他のコントロールとどのように相互作用するか
-
**IP アクセスリスト**：IP アクセスリストとパブリックアクセスコンテキストベースのイングレスポリシーの両方でリクエストを許可する必要があります。プライベートアクセス設定でパブリックアクセスを無効にすると、システムはイングレスポリシー規則にかかわらずすべてのパブリックリクエストを拒否します。
-
プライベート接続 : パブリック アクセスが有効な場合、イングレス ポリシーと連携して動作します。
-
セキュリティ プロファイル : コンテキスト ベースのポリシーは、コンピュートとデータガバナンスを補完するネットワーク レベルの制御を提供します。
ベストプラクティス
- 強制実行前にポリシーの動作を検証するには、ドライ実行モードから開始します。
- 動的 IP アドレスを持つ SaaS クライアントには ID ベースのルールを使用します。
- リスクを制限するために、最初に高特権のサービスプリンパルシに拒否ルールを適用します。
- 予期しないアクセス パターンを検出するために、監査ログを定期的に監視します。
- 必要な外部リソースに引き続きアクセスできることを確認するために、出力ポリシーをテストします。
- 長期的な保守性を確保するため、説明的なポリシー名を使用します。