O que é o controle de saída sem servidor?

Importante

Esta funcionalidade está em Pré-visualização Pública.

Este artigo explica como o controle de saída sem servidor permite gerenciar conexões de rede de saída a partir de seus recursos de computação sem servidor.

O controle de saída sem servidor fortalece sua postura de segurança, permitindo que você gerencie conexões de saída de suas cargas de trabalho sem servidor, reduzindo o risco de exfiltração de dados.

Usando diretivas de rede, você pode:

• Impor postura de negação por padrão: Controle o acesso de saída com precisão granular habilitando uma política de negação por padrão para conexões de Internet, armazenamento em nuvem e API Databricks.
• Simplifique ade gerenciamento: defina uma postura consistente de controle de saída para todas as suas cargas de trabalho sem servidor em vários produtos sem servidor.
• Gerencie facilmente em escala: gerencie centralmente sua postura em vários espaços de trabalho e imponha uma política padrão para sua conta Databricks.
• Políticas de implementação com segurança: Reduza o risco avaliando os efeitos de qualquer nova política no modo de execução seca antes da aplicação total.

Esta visualização suporta os seguintes produtos sem servidor: notebooks, fluxos de trabalho, armazéns SQL, pipelines Delta Live Tables, Mosaic AI Model Serving, Lakehouse Monitoring e aplicativos Databricks com suporte limitado.

Observação

Habilitar restrições de saída em um espaço de trabalho impede que os aplicativos Databricks acessem recursos não autorizados. No entanto, a implementação de restrições de saída pode afetar a funcionalidade do aplicativo.

Visão geral da política de rede

Uma política de rede é um objeto de configuração aplicado no nível da conta do Azure Databricks. Embora uma única política de rede possa ser associada a vários espaços de trabalho do Azure Databricks, cada espaço de trabalho só pode ser vinculado a uma política de cada vez.

As diretivas de rede definem o modo de acesso à rede para cargas de trabalho sem servidor nos espaços de trabalho associados. Existem dois modos principais:

• Acesso total: as cargas de trabalho sem servidor têm acesso de saída irrestrito à Internet e a outros recursos de rede.
• Acesso Restrito: O acesso de saída está limitado a:
  • Destinos do Catálogo Unity: locais e conexões configurados no Catálogo Unity que podem ser acessados a partir do espaço de trabalho.
  • Destinos explicitamente definidos: FQDNs e conta de armazenamento do Azure são listados na política de rede.

Postura de segurança

Quando uma diretiva de rede é definida para o modo de acesso restrito, as conexões de rede de saída de cargas de trabalho sem servidor são rigorosamente controladas.

Comportamento	Detalhes
Negar por padrão a conectividade de saída	As cargas de trabalho sem servidor só têm acesso ao seguinte: destinos configurados por meio de locais ou conexões do Catálogo Unity permitidos por padrão, FQDNs ou locais de armazenamento definidos na política e APIs de espaço de trabalho do mesmo espaço de trabalho que a carga de trabalho. O acesso entre espaços de trabalho é negado.
Sem acesso direto ao armazenamento	O acesso direto do código do usuário em UDFs e notebooks é proibido. Em vez disso, use abstrações Databricks como Unity Catalog ou montagens DBFS. As montagens DBFS permitem acesso seguro aos dados na conta de armazenamento do Azure listada na política de rede.
Destinos permitidos implicitamente	Você sempre pode acessar a conta de armazenamento do Azure associada ao seu espaço de trabalho, tabelas essenciais do sistema e conjuntos de dados de exemplo (somente leitura).
Aplicação de políticas para pontos finais privados	O acesso de saída através de pontos de extremidade privados também está sujeito às regras definidas na política de rede. O destino deve ser listado no Catálogo Unity ou dentro da política. Isso garante uma aplicação de segurança consistente em todos os métodos de acesso à rede.