O que é controle de saída sem servidor?

Prévia

Este recurso está em visualização pública.

Este artigo explica como o controle de saída serverless permite que o senhor gerencie conexões de rede de saída do seu recurso serverless compute .

O controle de saída sem servidor fortalece sua postura de segurança, permitindo que o senhor gerencie as conexões de saída de suas cargas de trabalho serverless, reduzindo o risco de exfiltração de dados.

Usando políticas de rede, você pode:

• Aplique a postura deny-by-default: Controle o acesso de saída com precisão granular, ativando uma política de negação pordefault para conexões de Internet, armazenamento em nuvem e Databricks API .

• Simplifique o gerenciamento: Defina uma postura consistente de controle de saída para todas as suas cargas de trabalho serverless em vários produtos serverless.

• Gerencie facilmente em escala: Gerencie centralmente sua postura em vários espaços de trabalho e aplique uma política de default para seu Databricks account.

• Implementar políticas com segurança: Diminua os riscos avaliando os efeitos de qualquer nova política no modo log-only antes da aplicação total.

Esta visualização é compatível com os seguintes produtos serverless: Notebook, fluxo de trabalho, SQL warehouse, Delta Live Tables pipeline, Mosaic AI Model Serving, lakehouse monitoring e Databricks Apps com suporte limitado.

Observação

A ativação de restrições de saída em um workspace impede que os aplicativos Databricks acessem recursos não autorizados. No entanto, a implementação de restrições de saída pode afetar a funcionalidade do aplicativo.

Visão geral da política de rede

Uma política de rede é um objeto de configuração aplicado no nível Databricks account . Embora uma única política de rede possa ser associada a vários espaços de trabalho Databricks, cada workspace só pode ser vinculado a uma política de cada vez.

As políticas de rede definem o modo de acesso à rede para serverless cargas de trabalho dentro do espaço de trabalho associado. Há dois modos principais:

• Acesso total: as cargas de trabalho sem servidor têm acesso irrestrito de saída à Internet e a outros recursos de rede.

• Acesso restrito: o acesso externo é limitado a:

  • Unity Catalog destinos: Locais e conexões configurados em Unity Catalog que são acessíveis a partir do site workspace.

  • Destinos definidos explicitamente: FQDNs e buckets S3 são listados na política de rede.

Postura de segurança

Quando uma política de rede é definida para o modo de acesso restrito, as conexões de rede de saída das cargas de trabalho do serverless são rigidamente controladas.

Comportamento	Detalhes
Negar por default conectividade de saída	As cargas de trabalho sem servidor só têm acesso ao seguinte: destinos configurados por meio de Unity Catalog locais ou conexões permitidos por default, FQDNs ou locais de armazenamento definidos na política e workspace APIs do mesmo workspace que a carga de trabalho. Acesso cruzado -workspace é negado.
Sem acesso direto ao armazenamento	O acesso direto do código do usuário em UDFs e Notebook é proibido. Em vez disso, use as abstrações do Databricks, como o Unity Catalog ou montagens DBFS. As montagens DBFS permitem o acesso seguro aos dados nos buckets S3 listados na política de rede.
Destinos implicitamente permitidos	O senhor sempre pode acessar o bucket S3 associado ao seu workspace, às tabelas essenciais do sistema e ao conjunto de dados de amostra (somente leitura).
Aplicação de política para endpoint privado	O acesso de saída por meio do endpoint privado também está sujeito às regras definidas na política de rede. O destino deve estar listado no Unity Catalog ou na política. Isso garante uma aplicação consistente da segurança em todos os métodos de acesso à rede.