メインコンテンツまでスキップ
に最終更新

コンテキストベースのネットワークポリシー

Databricks のコンテキストベース ポリシーは、ワークスペースへの受信トラフィックと送信トラフィックの両方を管理するための統合セキュリティ フレームワークを提供します。コンテキストベースのイングレスを使用すると、管理者は ID、ネットワーク ソース、およびリクエスト タイプの組み合わせに基づいてワークスペース アクセスを制限できます。サーバーレス出力ポリシーは、サーバーレスのワークロードを許可された宛先に制限することで、この制御をアウトバウンド トラフィックにも拡張します。 これらのネットワーク ポリシーを組み合わせることで、ユーザー アクセスとデータの移動の両方が組織全体の信頼できる境界内にとどまることが保証されます。

コンテキストベースのネットワーク ポリシーは、次の既存のセキュリティ機能を補完します。

  • コンテキストベースのイングレス制御:

    • ワークスペースIPアクセスリスト
    • アカウント IP アクセス リスト
    • 受信プライベートサービス接続
    • アウトバウンドプライベートサービス接続

  • サーバーレス出力制御:

    • ネットワーク接続構成 (NCC)

利点​

コンテキストベースのイングレス ネットワーク ポリシーは、ネットワーク セキュリティに次のような利点をもたらします。

  • 強化されたセキュリティ : 不正アクセスやデータ流出のリスクを軽減します。
  • アイデンティティ認識制御 : アイデンティティベースのルールを使用して、安定した IP 範囲を持たない SaaS クライアントをサポートします。
  • 柔軟な適用 : さまざまなリクエスト タイプ、ソース、および ID に異なるルールを適用します。
  • 集中管理 : アカウント レベルで一度設定すると、複数のワークスペースに適用されます。
  • 安全なテスト : 完全に施行する前に、ドライ実行モードを使用してポリシーの影響をテストします。

ポリシータイプの比較​

コンテキストベースのネットワーク ポリシーには、イングレス制御とエグレス制御の 2 つの種類があります。次の表は主な違いをまとめたものです。

属性

進入制御

退出制御

制御するもの

Databricks ワークスペース エンドポイントへの受信要求。

サーバレスコンピュートから外部宛先へのアウトバウンド接続。

主なユースケース

ワークスペースにアクセスできるユーザー、アクセス可能な場所、アクセスできる内容を制限します。

サーバレス コンピュートがどの外部リソースに接続できるかを制御することで、データの漏洩を防ぎます。

ポリシー基準

ID（複数のユーザーまたは複数のサービスプリンシパル）

ネットワーク ソース (CIDR 範囲)

アクセスタイプ（ワークスペース UI、 API 、Apps、Lakebase コンピュート）

許可された場所

FQDN

クラウドストレージコンテナ

監査ログ

system.access.inbound_network システムテーブル

system.access.outbound_network システムテーブル

コンテキストベースのポリシーの仕組み​

イングレス制御を使用すると、次のことが可能になります。

  • 有効な資格情報と信頼できるネットワーク ソースの両方を要求することで、信頼できないネットワークからのアクセスを停止します。
  • IP 許可リストの代わりに ID ベースのルールを使用して、動的 IP を持つ SaaS 自動化ツールを許可します。
  • より広範な API アクセスを許可しながら、機密性の高い操作をワークスペース UI に制限します。
  • 高特権サービスプリンシパルを企業ネットワーク範囲のみに制限します。

出力制御を使用すると、次のことが可能になります。

  • サーバレス コンピュートがアクセスできる外部APIsを制限することで、データの漏洩を防ぎます。
  • 承認されたクラウド ストレージ バケットと外部データベースへの接続のみを許可します。
  • 必要な統合を許可しながら、許可されていない宛先への送信接続をブロックします。
  • データの移動を承認された地域とサービスに制限することで、コンプライアンスを強化します。
    • 入力ポリシーを構成する
    • ID、ネットワーク ソース、アクセス タイプを組み合わせた許可ルールと拒否ルールを設定し、ワークスペースへの受信要求を制御します。
    • 出力ポリシーを構成する
    • 送信接続ルールを定義して、サーバーレス コンピュート リソースが到達できる外部宛先を制御します。

執行モード​

コンテキストベースのポリシーには、次の 2 つの異なる適用モードがあります。

  • 強制モード : ルールがアクティブに適用されます。違反するリクエストはブロックされます。
  • Dry 実行モード : 違反はログに記録されますが、ブロックされません。 このモードを使用して、ポリシーの影響を強制適用前にテストします。

Databricks 、意図しないアクセスの中断を避けるために、 dry 実行 モードから始めることをお勧めします。

監査ログ​

Databricks 、コンプライアンスとモニタリングのすべてのポリシー評価をログに記録します。

これらのログをクエリして、ポリシーの有効性を検証し、不正なアクセスの試みを検出します。

ポリシーが他のコントロールとどのように相互作用するか​

  • IP アクセス リスト : IP アクセス リストと入力ポリシーの両方で要求を許可する必要があります。プライベート アクセス設定でパブリック アクセスを無効にすると、イングレス ポリシー ルールに関係なく、すべてのパブリック リクエストが拒否されます。
  • プライベート接続 : パブリック アクセスが有効な場合、イングレス ポリシーと連携して動作します。
  • セキュリティ プロファイル : コンテキスト ベースのポリシーは、コンピュートとデータガバナンスを補完するネットワーク レベルの制御を提供します。

ベストプラクティス​

  • 強制実行前にポリシーの動作を検証するには、ドライ実行モードから開始します。
  • 動的 IP アドレスを持つ SaaS クライアントには ID ベースのルールを使用します。
  • リスクを制限するために、最初に高特権のサービスプリンパルシに拒否ルールを適用します。
  • 予期しないアクセス パターンを検出するために、監査ログを定期的に監視します。
  • 必要な外部リソースに引き続きアクセスできることを確認するために、出力ポリシーをテストします。
  • 長期的な保守性を確保するため、説明的なポリシー名を使用します。