設定 DBFS 根的雙重加密
注意
此功能僅適用於 進階方案。
Databricks 文件系統 (DBFS) 是掛接至 Azure Databricks 工作區的分散式文件系統,可在 Azure Databricks 叢集上使用。 DBFS 會實作為 Azure Databricks 工作區受控資源群組中的記憶體帳戶。 DBFS 中的預設位置稱為 DBFS 根目錄。
Azure 儲存體 會使用 256 位 AES 加密,在服務層級自動加密工作區記憶體帳戶中的所有數據,包括 DBFS 根記憶體。 這是可用的最強區塊加密之一,且符合 FIPS 140-2 規範。 如果您需要較高層級的保證數據安全,您也可以在 Azure 儲存體 基礎結構層級啟用 256 位 AES 加密。 啟用基礎結構加密時,會使用兩種不同的加密演算法和兩個不同的金鑰,將儲存體帳戶中的資料加密兩次,一次在服務層級,另一次在基礎結構層級。 Azure 儲存體 數據的雙重加密可防範其中一個加密演算法或密鑰遭到入侵的案例。 在此案例中,額外的加密層會繼續保護您的資料。
本文說明如何建立工作區,以新增工作區記憶體帳戶的基礎結構加密(因此為雙重加密)。 您必須在建立工作區時啟用基礎結構加密;您無法將基礎結構加密新增至現有的工作區。
需求
使用 Azure 入口網站 建立具有雙重加密的工作區
請依照快速入門:使用 Azure 入口網站 Azure 入口網站 在 Azure Databricks 工作區上執行 Spark 作業的指示來建立工作區,並新增下列步驟:
在 PowerShell 中,執行下列命令,可讓您在 Azure 入口網站 中啟用基礎結構加密。
Register-AzProviderFeature -ProviderNamespace Microsoft.Storage -FeatureName AllowRequireInfraStructureEncryption Get-AzProviderFeature -ProviderNamespace Microsoft.Storage -FeatureName AllowRequireInfraStructureEncryption
在 [ 建立 Azure Databricks 工作區 ] 頁面上(建立資源 > 分析 > Azure Databricks),按兩下 [ 進階 ] 索引卷標。
在 [啟用基礎結構加密] 旁,選取 [ 是]。
當您完成工作區設定並建立工作區時,請確認已啟用基礎結構加密。
在 Azure Databricks 工作區的資源頁面中,移至提要欄位功能表,然後選取 [ 設定 > 加密]。 確認已選取 [ 啟用基礎結構加密 ]。
使用 PowerShell 建立具有雙重加密的工作區
遵循快速入門:使用 PowerShell 建立 Azure Databricks 工作區中的指示,將 選項-RequireInfrastructureEncryption
新增至您在建立 Azure Databricks 工作區步驟中執行的命令:
例如,
New-AzDatabricksWorkspace -Name databricks-test -ResourceGroupName testgroup -Location eastus -ManagedResourceGroupName databricks-group -Sku premium -RequireInfrastructureEncryption
建立工作區之後,請執行下列命令來確認基礎結構加密已啟用:
Get-AzDatabricksWorkspace -Name <workspace-name> -ResourceGroupName <resource-group> | fl
RequireInfrastructureEncryption
應該設定為 true
。
如需 Azure Databricks 工作區之 PowerShell Cmdlet 的詳細資訊,請參閱 Az.Databricks 模組參考。
使用 Azure CLI 建立具有雙重加密的工作區
當您使用 Azure CLI 建立工作區時,請包含 選項 --require-infrastructure-encryption
。
例如,
az databricks workspace create --name <workspace-name> --location <workspace-location> --resource-group <resource-group> --sku premium --require-infrastructure-encryption
建立工作區之後,請執行下列命令來確認基礎結構加密已啟用:
az databricks workspace show --name <workspace-name> --resource-group <resource-group>
requireInfrastructureEncryption
欄位應該會出現在加密屬性中,並將 設定為 true
。
如需 Azure Databricks 工作區之 Azure CLI 命令的詳細資訊,請參閱 az databricks workspace 命令參考。