O que é controle de saída sem servidor?

Importante

Esse recurso está em uma versão prévia.

Este artigo explica como o controle de saída sem servidor permite que você gerencie conexões de rede de saída de seus recursos de computação sem servidor.

O controle de saída sem servidor fortalece sua postura de segurança, permitindo que você gerencie conexões de saída de suas cargas de trabalho sem servidor, reduzindo o risco de exfiltração de dados.

Usando políticas de rede, você pode:

• Reforçar a postura de negação por padrão: controle o acesso de saída com precisão granular habilitando uma política de negação por padrão para conexões de internet, armazenamento em nuvem e API do Databricks.
• Simplificar a gestão: defina uma postura de controle de saída consistente para todas as suas cargas de trabalho sem servidor em diferentes produtos.
• Gerenciar facilmente em escala: gerencie centralmente sua postura em vários workspaces e imponha uma política padrão para sua conta do Databricks.
• Implementação de políticas com segurança: Reduza o risco avaliando os efeitos de qualquer nova política no modo de apenas registro antes da aplicação completa.

Esta versão prévia dá suporte aos seguintes produtos sem servidor: notebooks, fluxos de trabalho, SQL Warehouses, pipelines de Delta Live Tables, Serviço de Modelos de Mosaic AI, Monitoramento de Lakehouse e Aplicativos do Databricks com suporte limitado.

Nota

Habilitar restrições de saída em um workspace impede que os Aplicativos do Databricks acessem recursos não autorizados. No entanto, a implementação de restrições de saída pode afetar a funcionalidade do aplicativo.

Visão geral da política de rede

Uma política de rede é um objeto de configuração aplicado no nível da conta do Azure Databricks. Embora uma única política de rede possa ser associada a vários workspaces do Azure Databricks, cada workspace só pode ser vinculado a uma política por vez.

As políticas de rede definem o modo de acesso à rede para cargas de trabalho sem servidor nos workspaces associados. Existem dois modos principais:

• Acesso total: as cargas de trabalho sem servidor têm acesso de saída irrestrito à Internet e a outros recursos de rede.
• Acesso restrito: O acesso de saída é limitado a:
  • Destinos do Catálogo do Unity: locais e conexões configurados no Catálogo do Unity que podem ser acessados no workspace.
  • Destinos definidos explicitamente: FQDNs e conta de armazenamento do Azure estão listados na política de rede.

Postura de segurança

Quando uma política de rede é definida para o modo de acesso restrito, as conexões de rede de saída de cargas de trabalho sem servidor são rigidamente controladas.

Comportamento	Detalhes
Negar conectividade de saída por padrão	Cargas de trabalho sem servidor só têm acesso aos destinos a seguir, configurados por meio de locais ou conexões do Catálogo do Unity permitidos por padrão, FQDNs ou locais de armazenamento definidos na política e APIs de workspace do mesmo workspace que a carga de trabalho. O acesso entre workspaces é negado.
Sem acesso direto ao armazenamento	O acesso direto do código do usuário em UDFs e notebooks é proibido. Em vez disso, use abstrações do Databricks, como montagens do Catálogo do Unity ou do DBFS. As montagens DBFS permitem acesso seguro aos dados na conta de armazenamento do Azure listada na política de rede.
Destinos implicitamente permitidos	Você sempre pode acessar a conta de armazenamento do Azure associada ao workspace, tabelas essenciais do sistema e conjuntos de dados de exemplo (somente leitura).
Aplicação de política para pontos de extremidade privados	O acesso de saída por meio de pontos de extremidade privados também está sujeito às regras definidas na política de rede. O destino deve ser listado no Catálogo do Unity ou dentro da política. Isso garante uma aplicação de segurança consistente em todos os métodos de acesso à rede.