Políticas de rede baseadas no contexto

As políticas baseadas em contexto Databricks fornecem uma estrutura de segurança unificada para gerenciar o tráfego de entrada e saída do seu espaço de trabalho. Com o ingresso baseado em contexto, os administradores podem restringir o acesso workspace com base em uma combinação de identidade, origem da rede e tipo de solicitação. As políticas de saída sem servidor estendem esse controle ao tráfego de saída, limitando as cargas de trabalho serverless a destinos autorizados. Em conjunto, essas políticas de rede ajudam a garantir que tanto o acesso do usuário quanto a movimentação de dados permaneçam dentro de limites confiáveis em toda a sua organização.

As políticas de rede baseadas no contexto complementam esses recursos de segurança existentes:

• Controle de entrada baseado em contexto:

  • listas de acesso IP do espaço de trabalho
  • listas de acesso IP de contas
  • Private Serviço Connect de entrada (usando configurações de acesso privado)

• Controle de saída sem servidor:

  • Conexão de Serviço Privado de Saída (usando configurações de conectividade de rede)

Benefícios

As políticas de rede de entrada baseadas em contexto oferecem os seguintes benefícios para a segurança da sua rede:

• Segurança aprimorada: Mitigar acesso não autorizado e riscos de exfiltração de dados.
• Controle com reconhecimento de identidade: Ofereça suporte a clientes SaaS sem intervalos de IP estáveis usando regras baseadas em identidade.
• Execução flexível: Aplique regras diferentes para diferentes tipos de solicitação, fontes e identidades.
• Gerenciamento centralizado: Configure uma vez no nível da account, aplique em múltiplos workspaces.
• Teste seguro: use o modo de execução de teste para testar os impactos da política antes da aplicação total.

Comparação de tipos de políticas

As políticas de rede baseadas em contexto incluem dois tipos: controle de entrada e controle de saída. A tabela a seguir resume as key diferenças:

Atributo	Controle de entrada	Controle de saída
O que ele controla	Solicitações de entrada para o endpoint workspace Databricks .	Conexões de saída de compute sem servidor para destinos externos.
Caso de uso principal	Restrinja quem pode acessar seu workspace, de onde e o que essas pessoas podem acessar.	Evite a exfiltração de dados controlando a quais recursos externos compute sem servidor podem se conectar.
Critérios de política	Identidade (múltiplos usuários ou múltiplas entidades de serviço) Origem da rede (intervalo CIDR, endpoints privados registrados) Tipo de acesso ( UI do Workspace , API , Apps , Lakebase Compute )	Locais permitidos FQDNs contêineres de armazenamento em nuvem
Registro de auditoria	system.access.inbound_network tabela do sistema	system.access.outbound_network tabela do sistema

Atributo	Controle de entrada	Controle de saída
O que ele controla	Solicitações de entrada para o endpoint workspace Databricks .	Conexões de saída de compute sem servidor para destinos externos.
Caso de uso principal	Restrinja quem pode acessar seu workspace, de onde e o que essas pessoas podem acessar.	Evite a exfiltração de dados controlando a quais recursos externos compute sem servidor podem se conectar.
Critérios de política	Identidade (múltiplos usuários ou múltiplas entidades de serviço) Origem da rede (intervalo CIDR, endpoints privados registrados) Tipo de acesso ( UI do Workspace , API , Apps , Lakebase Compute )	Locais permitidos FQDNs contêineres de armazenamento em nuvem
Registro de auditoria	system.access.inbound_network tabela do sistema	system.access.outbound_network tabela do sistema

Como funcionam as políticas baseadas no contexto

Com o controle de entrada, você pode:

• Impeça o acesso de redes não confiáveis exigindo credenciais válidas e uma fonte de rede confiável.
• Permita ferramentas de automação SaaS com IPs dinâmicos usando regras baseadas em identidade em vez de listas de permissão de IP.
• Restrinja as operações sensíveis à UI, permitindo um acesso mais amplo à API.
• Limitar entidades de serviço de alto privilégio apenas a faixas de redes corporativas.

Com o controle de saída, você pode:

• Evite a exfiltração de dados restringindo quais APIs externas compute sem servidor pode acessar.
• Permitir conectividade apenas com buckets de armazenamento cloud e bancos de dados externos aprovados.
• Bloquear conexões de saída para destinos não autorizados, permitindo, ao mesmo tempo, as integrações necessárias.
• Garanta compliance limitando a movimentação de dados a regiões e serviços aprovados.

• • Configurar políticas de entrada
  • Configure regras de permissão e negação que combinem identidade, origem da rede e tipo de acesso para controlar as solicitações de entrada em seu workspace.
• • Configurar políticas de saída
  • Defina regras de conexão de saída para controlar quais destinos externos seu recurso compute sem servidor pode alcançar.

Modos de aplicação

As políticas baseadas no contexto têm dois modos diferentes de aplicação:

• Modo de aplicação : As regras são aplicadas ativamente. Solicitações que violem essas regras serão bloqueadas.
• Modo de execução a seco : as violações são registradas, mas não bloqueadas. Use este modo para testar os impactos da política antes da sua implementação.

Databricks recomenda começar com o modo de execução "dry" para evitar o encaminhamento de acessos não intencionais.

Registro de auditoria

Databricks logs todas as avaliações de políticas para compliance e monitorização:

• Ingress: Registrado na tabela do sistema system.access.inbound_network.
• Saída: Registrado na system.access.outbound_network tabela do sistema.

Consulte esses logs para validar a eficácia da política e detectar tentativas de acesso não autorizado.

Como as políticas interagem com outros controles

• Listas de acesso IP : tanto as listas de acesso IP quanto as políticas de entrada baseadas em contexto de acesso público devem permitir uma solicitação. Se você desabilitar o acesso público nas configurações de acesso privado, o sistema negará todas as solicitações públicas, independentemente das regras da política de entrada.

• Conectividade privada : Funciona em conjunto com as políticas de entrada quando o acesso público está habilitado.

• Perfis de segurança : Políticas baseadas em contexto fornecem controles em nível de rede que complementam compute e a governança de dados.

Melhores práticas

• comece com o modo de execução seca para validar o comportamento da política antes da aplicação.
• Utilize regras baseadas em identidade para clientes SaaS com endereços IP dinâmicos.
• Aplique primeiro regras de negação a entidades de serviço de alto privilégio para limitar o risco.
• Monitore logs de auditoria regularmente para detectar padrões de acesso inesperados.
• Testar as políticas de saída para garantir que os recursos externos necessários permaneçam acessíveis.
• Use nomes descritivos para as políticas, visando a manutenção a longo prazo.