強化された接続

強化された接続では、マネージド セキュリティを基盤として、コンテキストベースのイングレス（CBI）、VPC エンドポイント、サーバーレス エグレス制御、ならびにオプションの外部ファイアウォールからなる多層的なイングレスおよびエグレス制御が追加されます。 ワークスペースへのアクセスは、CBI によってゲートされたパブリック インターネット上にとどまります。

このアーキテクチャには、次の内容があります。

  • コンテキストベースのワークスペースのイングレス: ユーザーはインターネット経由でサインインします。CBI ポリシーでは、ネットワーク ソース、ID、認証メカニズム、アクセス スコープによってワークスペースアクセスが制限されます。 これは、VPN ゲート アーキテクチャと比較して簡単なトレードオフです。
  • プライベート クラウド サービス アクセス: VPC エンドポイント (AWS) またはサービス エンドポイント (Azure) は、クラウド サービス トラフィックをパブリック インターネットから離します。
  • サーバーレス エグレス制御: ネットワーク ポリシーと NCC プライベート エンドポイントは、サーバーレス コンピューティングからの送信トラフィックを制御します。
  • オプションのエグレス検査: 外部ファイアウォールをデプロイして、クラシック コンピューティング エグレスを検査してログに記録します。
  • VPN は必要ありません:企業ネットワークに依存することなく、ユーザー アクセスが簡素化されます。

このアーキテクチャは、次の場合に使用します。

  • データセキュリティは、ワークスペースのアクセス制御ではなく、主な懸念事項です。
  • VPN の複雑さは、ユーザーの生産性に対する障壁です。
  • コンプライアンスには、IP ベースのアクセス制御で十分です。
  • 組織は、クラウド優先のアクセス パターンを好みます。

前提条件

  • VNet インジェクションされたワークスペースを備えた Azure Azure Databricks Premium レベル。
  • ワークスペースのアクセス制御の IP 範囲の一覧。

アーキテクチャの概要

セキュリティ強化された接続アーキテクチャは、ネットワーク トラフィックをセキュリティで保護し、ユーザー アクセスを簡素化します。

トラフィックの種類 Path
ユーザー アクセス ユーザー→インターネット → CBI ポリシー → ワークスペース
従来型コンピューティング → 制御 コンピューティング → クラシック プライベート リンク → Azure Databricks コントロール プレーン
クラシック コンピューティング → クラウド コンピューティング → サービス エンドポイントまたは UDR → Azure サービス
サーバーレス → ご利用のリソース サーバーレス コンピューティング → NCC プライベート エンドポイント → Azure リソース
クラシック コンピューティング→エグレス コンピューティング →外部ファイアウォール (省略可能) →検査済みインターネット

Note

このアーキテクチャでは、ワークスペース アクセスはプライベートではありません。 ユーザーはパブリック インターネット経由で接続します。CBI ポリシーによって制限されます。 組織でプライベート ワークスペースへのアクセスが必要な場合は、代わりに Isolated 環境 アーキテクチャを使用してください。

必要なコンポーネント

Inbound

インバウンド Private Link はありません。 パブリック インターネット アクセスは、コンテキストベースのイングレス ポリシーと、必要に応じて IP アクセス リストによって制限されます。 認証のために標準 IAM に従います。 「認証とアクセス制御」を参照してください。

ユーザー シールド アイコン。 ワークスペースのイングレス コントロール

推奨されるイングレス ポリシー フレームワークである コンテキストベースのイングレス (CBI) を使用して、ワークスペースのイングレスを構成します。 CBI ルールは、ネットワーク ソース (IP 範囲)、ID、認証メカニズム、アクセス スコープを 1 つの許可/拒否モデルに結合するため、ネットワーク ソース属性はスタンドアロン IP アクセス リスト機能と同じジョブを実行します。

IP アクセス リスト は引き続きサポートされ、CBI と共に構成できます。 両方が構成されている場合は、両方のコントロールで要求を許可する必要があります。

構成レベル:

ベスト プラクティス:

  • 幅広く開始し、実際の使用状況に基づいて調整します。
  • 目的と有効期限を含む IP 範囲を文書化します。
  • 既知の適切な IP 範囲を使用して管理者アクセスを維持します。
  • 四半期ごとに確認し、古い範囲を削除します。

Warnung

イングレス ポリシーと IP アクセス リストが正しく構成されていないと、ワークスペースからロックアウトされる可能性があります。 既知の適切な IP 範囲を通じて管理者アクセスを常に維持します。

[共有のロック] アイコン。 OpenSharing 受信者のアクセス制御

OpenSharing では、受信者オブジェクトに構成された独自の IP アクセス リストが使用されます。 これは、コンテキストベースのイングレスとワークスペースの IP アクセス リストとは別です。 Databricks から Open 共有への共有（Azure Databricks 以外の受信者）にのみ適用されます。

IP アクセス リストを使用した OpenSharing 受信者アクセスの制限 (Databricks から Open への共有) を参照してください。

送信

サーバーレス エグレスは、ネットワーク ポリシーと NCC プライベート エンドポイントによって管理されます。 送信データ アクセスのデータ ガバナンスには Unity Catalog を使用します。 「Unity Catalog とは」を参照してください。

フィルター アイコン。 サーバーレス エグレス制御

サーバーレス コンピューティング送信トラフィックを制御するようにネットワーク ポリシーを構成します。 IP 範囲または FQDN を使用して許可される宛先を定義します。

サーバーレス エグレス制御 を参照してください。.

リンク アイコン。 サーバーレス Private Link (NCC プライベート エンドポイント)

Private Linkを介して、サーバーレス コンピューティングからリソースへのプライベート接続を提供します。 サーバーレス データ トラフィックはパブリック インターネットから離れたままです。

「Azure リソースへのプライベート接続を構成する」を参照してください。

クラシック コンピューティング ベースライン

クラシック コンピューティング ベースラインは、 マネージド セキュリティから継承されます。 追加のベースライン コンポーネントは必要ありませんが、必要に応じて外部ファイアウォールを追加してクラシック コンピューティング エグレスを検査できます。

ベースラインには、VNet インジェクション、セキュア クラスター接続 (SCC)、クラシック Private Linkが含まれます。

Note

このアーキテクチャでは、インバウンド Private Link は使用しません。 ユーザーは、CBI ポリシーによって制御されるパブリック インターネット経由でワークスペースにアクセスします。 組織でプライベート ワークスペースへのアクセスが必要な場合は、インバウンド Private Link または VPN で制限されたアクセスを追加する分離環境アーキテクチャを参照してください。

リンクのアイコン。 クラシック コンピューティング プレーンの Private Link

VNet と Azure Databricks コントロール プレーンの間にプライベート接続を提供します。 REST API と SCC は、パブリック インターネットを使用する代わりに、クラスターとコントロール プレーン間のトラフィックをプライベートに保ちます。

Azure Databricksへのクラシック コンピューティング プレーンのプライベート接続の構成に関するページを参照してください。

矢印の接続アイコン。 ユーザー定義ルート

トラフィックをプライベートに保ち、コストを削減するために、クラウド サービス アクセスのルーティングを構成します。

Azure サービスのサービス タグを使用して UDR を構成します。 「Azure Databricks のためのユーザー定義のルート設定」を参照してください。

シールド アイコン。 クラシック コンピューティング用の外部ファイアウォール (省略可能)

検査、ログ記録、ポリシー適用のために、外部ファイアウォールを経由してクラシック コンピューティング エグレスをルーティングします。 分離環境では必須です。ここでは任意です。

オプションには、Azure Firewallまたはサード パーティのネットワーク仮想アプライアンス (NVA) が含まれます。

Warnung

Azure Databricksコントロール プレーンと SCC リレー接続では、証明書のピン留めで TLS が使用されます。 クラスターとAzure Databricks コントロール プレーン間のトラフィックで TLS 検査 (復号化と再暗号化) を有効にしないでください。 これを行うと、クラスターエラーが発生します。 必要なエンドポイントについては、IP アドレスとドメインAzure Databricksサービスと資産を参照してください。

Implementation

デプロイされた マネージド セキュリティ ベースラインから開始します。 次のフェーズでは、このアーキテクチャを定義するイングレスコントロールとエグレスコントロールを追加します。

フェーズ 1: 受信アクセス制御

コンテキストベースのイングレス ポリシーを構成する

アカウント レベルのコンテキストベースのイングレス (CBI) ポリシーを構成して、ネットワーク ソース、ID、認証メカニズム、アクセス スコープ別にワークスペース アクセスを制限します。 コンテキストベースのイングレス制御と、コンテキストベースのイングレス ポリシーの管理に関するページを参照してください。

ワークスペース レベルの IP アクセス リストを構成する (省略可能)

必要に応じて、下位互換性またはワークスペースごとのオーバーライドのために、ワークスペース レベルの IP アクセス リストを CBI と共に構成します。 両方が構成されている場合は、両方で要求を許可する必要があります。 「ワークスペース向けの IP アクセス リストを構成する」をご覧ください。

アカウント レベルの IP アクセス リストを構成する

アカウント コンソールへのアクセスを制御するために、アカウント レベルの IP アクセス リストを構成します。 「アカウント コンソール向けの IP アクセス リストを構成する」をご覧ください。

受信者レベルの IP アクセス リストを構成する

OpenSharing Databricks から Open への共有を使用する場合は、各共有受信者に対して受信者レベルの IP アクセス リストを構成します。 IP アクセス リストを使用した OpenSharing 受信者アクセスの制限 (Databricks から Open への共有) を参照してください。

構成済みの IP 範囲を文書化する

理由、リンクされたチケット、計画されたレビュー日など、構成されているすべての IP 範囲のドキュメントを保持します。

アクセスの動作を確認する

承認された IP 範囲からのサインインをテストし、承認されていない IP 範囲からの接続がブロックされていることを確認して、アクセスの動作を確認します。

フェーズ 2: クラウド サービス エンドポイント

ユーザー定義ルートを構成する

Azure サービス タグを使用してユーザー定義ルート (UDR) を構成し、Azure サービスへのトラフィックが目的のプライベートまたは制御されたエグレス パスに従います。 「Azure Databricks のためのユーザー定義のルート設定」を参照してください。

ストレージのサービスまたはプライベート エンドポイントを構成する

必要に応じて、カスタマー マネージド Azure ストレージ アカウントのサービス エンドポイントまたはプライベート エンドポイントを構成します。

フェーズ 3: サーバーレスエグレス制御

サーバーレス ネットワーク ポリシーを構成する

IP 範囲または FQDN を使用して、承認された宛先へのサーバーレス コンピューティング送信トラフィックを制限するようにサーバーレス ネットワーク ポリシーを構成します。 サーバーレス エグレス制御 を参照してください。.

NCC プライベート エンドポイントを構成する

サーバーレス コンピューティングから Azure リソースへのプライベート接続用に NCC プライベート エンドポイントを構成します。 「Azure リソースへのプライベート接続を構成する」を参照してください。

サーバーレス エグレスをテストする

サーバーレス ワークロードが承認済みの宛先に到達でき、未承認のワークロードからブロックされることをテストします。

フェーズ 4 (省略可能): クラシック コンピューティング用の外部ファイアウォール

外部ファイアウォールをデプロイする

Azure Firewallまたはサードパーティのネットワーク仮想アプライアンス (NVA) をハブ VNet にデプロイし、ワークスペース VNet とピアリングします。

UDR を使用してファイアウォール経由でエグレスをルーティングする

ファイアウォールへの既定のルートを使用して、ワークスペース サブネット内の UDR を構成します。

TLS インターセプトなしでファイアウォール規則を構成する

コントロール プレーンと SCC リレー トラフィックで TLS インターセプトなしで必要なAzure Databricks エンドポイントを許可するようにファイアウォール規則を構成します。

Azure Databricks Terraform SRA には、このデプロイを自動化するコードとしてのインフラストラクチャ テンプレートが用意されています。

検証

アーキテクチャをデプロイした後、次のチェックを実行して、クラシック コンピューティング プレーントラフィックがプライベートのままであり、IP アクセス リストによってワークスペースのアクセスが構成どおりに制限されていることを確認します。

検査 期待される結果
許可された IP からアクセスできるワークスペース はい
承認されていない IP からブロックされたワークスペース はい
SCC を使用してクラスターを起動する はい、パブリック IP はありません
プライベート接続を介したデータ アクセス はい
プライベートアーティファクトリポジトリからのパッケージのインストール はい

Troubleshooting

検証チェックが失敗した場合、またはワークロードが予期せず動作する場合は、次の表を使用して一般的な問題を診断します。

Issue 原因 Resolution
ワークスペースにアクセスできない アクセス リストにない IP ワークスペースの一覧に IP を追加する
クラスターを開始できない ルーティングまたはエンドポイントの構成の誤り ルート テーブルとプライベート エンドポイントの接続を確認する
S3/ADLS アクセスが失敗する VPC エンドポイントまたはルーティングの問題 エンドポイント構成とセキュリティ グループを確認する
パッケージのインストールが失敗する プライベートアーティファクトリポジトリに到達できない アーティファクト リポジトリの VNet エンドポイント構成と DNS 解決を確認する
断続的なアクセスの問題 動的 IP アドレス 静的エグレス IP で VPN を使用するか、IP 範囲を広げる

継続的な保守

  • IP アクセス リストの管理: 毎月確認し、新しい場所を追加し、古い範囲を削除します。
  • エンドポイントの監視: プライベート エンドポイントの正常性とデータ転送のコストを追跡します。
  • アーティファクト リポジトリ管理: プライベート パッケージ ミラーを維持し、可用性を監視します。
  • ユーザー サポート: IP アクセスに関する問題のプロセスを維持します。

前の手順と次の手順

アーキテクチャ 選択するタイミング
マネージド セキュリティ 前の手順。 IP ベースのアクセス制御、VPC エンドポイント、およびサーバーレスエグレス制御がワークロードで必要以上の場合。 ベースラインには、カスタマー マネージド VNet と SCC が含まれ、オプションのクラシック Private Linkが含まれます。
分離環境 次の手順。 IP ベースのアクセス制御が不十分であることが証明された場合、規制ではプライベート ワークスペースへのアクセスが必要です。または、コンプライアンスにはデータ流出防止が必要です。
  • Last updated on