安全指南

本指南概述可供企业数据团队用来根据其风险格局和治理策略强化其 Azure Databricks 环境的安全特性与功能。

本指南不涵盖有关保护数据的信息。 有关该信息，请参阅 Unity Catalog 的数据治理。

身份验证和访问控制

在 Azure Databricks 中，工作区是云中的 Azure Databricks 部署，它充当统一环境，指定的一组用户可以使用该环境访问其所有 Azure Databricks 资产。 组织可以根据需求选择使用多个工作区或只使用一个工作区。 Azure Databricks 帐户表示用于计费、用户管理和支持的单个实体。 一个帐户可以包含多个工作区和 Unity Catalog 元存储。

帐户管理员处理一般帐户管理，工作区管理员管理帐户中各个工作区的设置和功能。 帐户管理员和工作区管理员都可以管理 Azure Databricks 用户、服务主体和组，以及身份验证设置和访问控制。

Azure Databricks 提供安全功能（例如单一登录）来配置强身份验证。 管理员可以配置这些设置以帮助防止帐户接管。通过帐户接管，攻击者可以使用网络钓鱼或暴力破解等方法入侵属于用户的凭据，从而能够访问可以从该环境中访问的所有数据。

访问控制列表确定谁有权查看 Azure Databricks 工作区中的对象（例如笔记本和 SQL 仓库）并对其执行操作。

若要详细了解 Azure Databricks 中的身份验证和访问控制，请参阅身份验证和访问控制。

网络

Azure Databricks 提供网络保护，使你能够保护 Azure Databricks 工作区并帮助防止用户泄露敏感数据。 可以使用 IP 访问列表强制实施 Azure Databricks 用户的网络位置限制。 使用 VNet 注入（客户管理的 VNet），你可以锁定出站网络访问。 若要了解详细信息，请参阅网络。

数据安全与加密

有安全意识的客户有时担心 Databricks 本身可能会遭到入侵，从而导致他们的环境遭到入侵。 Azure Databricks 有一个极其强大的安全计划可以管理此类事件造成的风险。 有关该计划的概况，请参阅安全和信任中心。 也就是说，没有任何一家公司可以完全消除所有风险，而 Azure Databricks 提供的加密功能可用于进一步控制你的数据。 参阅数据安全与加密。

机密管理

有时，访问数据需要向外部数据源进行身份验证。 Databricks 建议使用 Databricks 机密来存储凭据，而不要直接将凭据输入到笔记本中。 有关详细信息，请参阅机密管理。

审核、隐私与合规性

Azure Databricks 提供审核功能，使管理员能够监视用户活动以检测安全异常情况。 例如，可以针对非正常时间登录或同时进行的远程登录发出警报，以监视帐户接管。

有关详细信息，请参阅审核、隐私与合规性。

安全分析工具

重要

安全分析工具 (SAT) 是一款处于试验状态的生产力工具。 它不应用作部署的认证。 SAT 项目会定期更新，以提高检查的正确性、添加新检查和修复 bug。

可使用安全分析工具 (SAT) 来分析 Azure Databricks 帐户和工作区安全配置。 SAT 提供了建议来帮助你遵循 Databricks 安全最佳做法。 SAT 每天通常作为自动化工作流运行。 这些检查结果的详细信息保存在存储中的 Delta 表中，以便可随着时间的推移分析趋势。 这些结果显示在集中式 Azure Databricks 仪表板中。

有关详细信息，请参阅安全分析工具 GitHub 存储库。

了解详细信息

以下是一些资源，可帮助你构建一个全面的安全解决方案，以满足组织需求：

• Databricks 安全和信任中心提供有关在 Databricks 平台的每一层中构建安全性的方法的信息。
• 安全最佳做法来源于我们从企业合作中学到的经验，其中提供了安全做法、注意事项和模式的清单，你可以将其应用于部署。