Databricks 安全最佳做法 指南（包括可下载的 PDF）在 Databricks 安全与信任中心提供。 本文中的各节列出了本指南中遵循此支柱原则的最佳做法。
1. 使用最低特权管理标识和访问权限
帐户设置和标识配置
在部署期间，配置 Databricks 帐户管理、SSO 和用户预配，以建立安全的基础：
仅将帐户管理员角色分配给 2-3 个受信任的个人
使用 OIDC 或 SAML 配置 Azure Active Directory （Azure AD）的 SSO
启用自动标识管理或 SCIM 预配以自动执行用户和组同步
设置身份联合以链接跨工作区的公司身份
在 Azure AD 级别配置多重身份验证
定义帐户恢复的紧急访问过程
有关分步帐户设置过程，请参阅 阶段 1：设计帐户和标识策略。
标识和访问管理最佳做法
利用多重身份验证
限制管理员用户数
强制实施管理帐户职责分离
限制工作区管理员的权限
根据最低特权原则管理访问权限
使用 OAuth 或 Entra ID 令牌身份验证
强制实施令牌管理
限制群集创建权限
使用计算策略
使用服务主体执行管理任务和生产负载
使用支持用户隔离的计算
安全地存储和使用机密
有关详细信息，请参阅本文开头引用的 PDF。
2. 保护传输中数据和静态数据
使用 Unity 目录集中数据治理
使用 Azure 托管标识访问存储
规划数据隔离模型
避免在 DBFS 中存储生产数据
配置 Azure 存储防火墙
防止匿名读取访问并应用其他保护
启用软删除和其他数据保护功能
备份 Azure 存储数据
为托管服务配置客户管理的密钥
为存储配置客户管理的密钥
使用 OpenSharing
配置 OpenSharing 接收方令牌的有效期
此外，使用高级加密标准（AES）对静态敏感数据进行加密
利用工作区中的数据外泄防护设置
使用洁净室在隐私安全环境中协作
有关详细信息，请参阅本文开头引用的 PDF。
3.保护网络和保护终结点
Azure 的网络部署注意事项
在 Azure 上部署 Databricks 工作区的安全网络基础结构。 以下步骤建立安全连接：
为工作区部署创建最小 /18 地址空间的 VNet
预配已委托给
Microsoft.Databricks/workspaces的公共和专用子网配置网络安全组（NSG）以控制流量（Databricks 管理默认 NSG 规则）
部署 Azure 专用链接以与 Databricks 控制平面和 Web 应用程序建立专用连接
启用安全群集连接（无公共 IP）以消除群集节点上的公共 IP 地址
为本地连接配置 VPN 网关或 ExpressRoute（如果需要）
实现网络分段以隔离生产和非生产环境
有关分步 Azure 网络配置，请参阅 Azure 网络体系结构。
网络安全最佳实践
使用安全群集连接（无公共 IP）
将 Azure Databricks 部署到自己的 Azure 虚拟网络
配置 IP 访问列表
使用 Azure PrivateLink
实现网络外泄保护
将 Azure Databricks 工作区隔离到不同的网络中
为无服务器计算访问配置防火墙
将有价值的代码库的访问限制为仅受信任的网络
使用虚拟网络加密
有关详细信息，请参阅本文开头引用的 PDF。
4. 满足合规性和数据隐私要求
按常规计划重启计算
将敏感工作负荷隔离到不同的工作区中
将 Unity 目录安全对象分配给特定工作区
实现精细访问控制
添加标签
使用世系
使用增强的安全监视或合规性安全配置文件
控制和监控 Azure Databricks 人员的工作区访问权限
实现和测试灾难恢复策略
考虑使用 Azure 机密计算
有关详细信息，请参阅本文开头引用的 PDF。
5. 监视系统安全性
充分利用系统表
通过 Azure 日志监视系统活动
启用详细审核日志记录
使用 Git 文件夹管理代码版本
将使用情况限制为受信任的代码存储库
通过基础设施即代码配置基础设施
通过 CI/CD 管理代码
控制库安装
仅使用来自受信任或信誉源的模型和数据
实现 DevSecOps 进程
使用数据质量监控
使用推理表和 AI 防护栏
使用标记作为成本监视和退款策略的一部分
使用预算监视帐户支出
使用 Azure Policy 创建“上限”资源控制
有关详细信息，请参阅本文开头引用的 PDF。
其他资源
- 下载 并查看 Databricks AI 安全框架 （DASF），了解如何根据实际攻击方案缓解 AI 安全威胁