Permitir plataformas de parceiros em políticas de entrada baseadas em contexto
Plataformas parceiras permitem bloquear o acesso público ao seu workspace e ainda permitir o tráfego de ferramentas de software como serviço (SaaS) compatíveis, como Power BI, Tableau Cloud e o aplicativo Databricks Genie para Slack. Você seleciona o parceiro em uma regra de entrada baseada em contexto, e a Databricks mantém os intervalos de IP ou os detalhes do aplicativo OAuth do parceiro atualizados, para que você não precise rastrear os endereços IP dos parceiros sozinho.
Esta página lista as plataformas de parceiros compatíveis e mostra como permitir uma em uma política de nível de workspace usando o console account. Para uma visão geral do ingresso baseado em contexto, veja Controle de ingresso baseado em contexto.
Como as regras da plataforma parceira correspondem ao tráfego
O Databricks identifica o tráfego de parceiros de uma das seguintes maneiras, dependendo do parceiro:
- Intervalos de IP gerenciados : O parceiro publica seus endereços IP de saída. O Databricks sincroniza os intervalos publicados a cada uma ou duas semanas e permite solicitações desses IPs. Para alguns parceiros, você pode limitar as regras para permitir apenas o tráfego de determinadas regiões.
- Aplicativo OAuth gerenciado : O produto do parceiro hospeda um aplicativo Databricks, como o aplicativo Databricks Genie para Slack ou o aplicativo Databricks Genie no Microsoft Teams. O Databricks identifica o tráfego pelo ID do cliente OAuth do aplicativo e permite que ele ocorra apenas quando proveniente de serviços do Databricks.
Uma regra de plataforma de parceiro permite apenas a origem de tráfego do parceiro. Usuários e Service Principal ainda se autenticam, e cada solicitação é executada com as permissões da identidade que a enviou.
Plataformas de parceiros compatíveis
Plataforma de parceiro | Tipo de correspondência | Seleção de região | Intervalos de IP de parceiros | Guia de configuração |
|---|---|---|---|---|
Microsoft Power BI | Intervalos de IP gerenciados | Sim | ||
Tableau Cloud | Intervalos de IP gerenciados | Sim | ||
dbt Cloud | Intervalos de IP gerenciados | Sim | ||
Aplicativo Slack do Databricks | Aplicativo OAuth gerenciado | Não | Não aplicável | |
Databricks Teams App | Aplicativo OAuth gerenciado | Não | Não aplicável |
A seleção de região depende de se o parceiro publica seus intervalos de IP por região.
Requisitos
- Você deve ser um administrador de account.
- Sua account do Databricks deve estar no nível Enterprise.
- O acesso público deve estar habilitado no workspace. Plataformas de parceiros se conectam pela internet pública. Se o acesso público estiver desabilitado, o Databricks bloqueia suas solicitações antes de avaliar a política de entrada.
O acesso público é controlado pela configuração Acesso público habilitado nas configurações de acesso privado do workspace. Veja Gerenciar configurações de acesso privado.
Limitações
- Você pode usar aplicativos OAuth gerenciados, como o aplicativo Databricks Slack e o aplicativo Databricks Teams, apenas em políticas de nível de workspace.
- Você pode adicionar plataformas de parceiros para permitir apenas regras, não regras de negação.
- Cada regra permite uma plataforma de parceiro. Para permitir vários parceiros, adicione uma regra para cada parceiro.
Permitir uma plataforma parceira usando o console da account
Abrir a política de workspace
Abra ou crie a política de rede para o seu workspace. Veja Políticas de rede de acesso.
Desativar o acesso de todos os IPs públicos
Na tab Ingress , em Acesso à rede pública , limpe Permitir acesso de todos os IPs públicos . As listas Permitir Regras e Negar Regras aparecem.
Adicionar uma regra de permissão para o parceiro
-
Clique em Adicionar regras de permissão .
-
Em Permitir identidades , selecione as Identidades que podem usar o parceiro. Para limitar quem pode usar o parceiro, escolha usuários ou Service Principal específicos.
-
Em Fonte , para Tipo de fonte , selecione Plataformas de parceiros .
-
Em Nome do parceiro , selecione a plataforma parceira.
-
Se o parceiro oferecer suporte à seleção de região, selecione opcionalmente Regiões . Se você deixar Todas as regiões selecionado, a regra permitirá todas as regiões do parceiro.
-
Em Destination , selecione o que o parceiro pode acessar: Workspace UI , Workspace API , Lakebase runtime ou Apps runtime . Para limitar o parceiro às APIs de que ele precisa, selecione Workspace API e escolha API scopes específicos. Por exemplo, para os aplicativos do Databricks Genie para Slack e Microsoft Teams, selecione o escopo da API Genie .
-
Adicione a regra.
Salvar, testar e anexar a política
- Clique em Salvar para salvar a política.
- Defina o Modo de aplicação de política para Modo de execução de teste e anexe a política ao seu workspace. Veja Definir o modo de imposição e Anexar uma política a Workspace.
- Verifique a tabela
system.access.inbound_networkpara requisições de parceiros negadas. Consulte Verificar logs de negação. - Quando as solicitações do parceiro não forem mais negadas, defina o Modo de aplicação de política como Aplicado .
Mais recursos
-
- Gerenciar políticas de entrada baseadas em contexto do workspace
- Crie políticas de nível de Workspace, configure regras públicas, privadas e entre Workspace e anexe políticas a Workspace.
-
- Migrar listas de acesso IP do workspace para entrada baseada em contexto
- Mova as listas de acesso IP do workspace existentes para uma política de entrada baseada em contexto.