Azure Databricks 安全最佳做法和威胁模型可以作为 PDF 文档从安全与信任中心下载。 本文中的各节列出了 PDF 中的最佳做法，这些做法符合这一支柱的原则。
1. 使用最低特权管理标识和访问权限
利用多重身份验证
限制管理员用户数
强制实施管理帐户职责分离
限制工作区管理员的权限
根据最低特权原则管理访问权限
使用 OAuth 或Microsoft Entra ID 令牌身份验证
强制实施令牌管理
限制群集创建权限
使用计算策略
使用服务主体执行管理任务和生产负载
使用支持用户隔离的计算
安全地存储和使用机密
有关详细信息，请参阅本文开头引用的 PDF。
2. 保护传输中数据和静态数据
- 使用 Unity 目录集中数据治理
- 使用 Azure 托管标识访问存储
- 规划数据隔离模型
- 避免在 DBFS 中存储生产数据
- 配置 Azure 存储防火墙
- 防止匿名读取访问并应用其他保护
- 启用软删除和其他数据保护功能
- 备份 Azure 存储数据
- 为托管服务配置客户管理的密钥
- 为存储配置客户管理的密钥
- 使用Delta共享
- 配置 Delta Sharing 收件人的令牌有效期
- 此外，使用高级加密标准（AES）对静态敏感数据进行加密
- 利用工作区中的数据外泄防护设置
- 使用洁净室在隐私安全环境中协作
有关详细信息，请参阅本文开头引用的 PDF。
3.保护网络和保护终结点
- 使用安全群集连接（无公共 IP）
- 将 Azure Databricks 部署到自己的 Azure 虚拟网络
- 配置 IP 访问列表
- 使用 Azure PrivateLink
- 实现网络外泄保护
- 将 Azure Databricks 工作区隔离到不同的网络中
- 为无服务器计算访问配置防火墙
- 将有价值的代码库的访问限制为仅受信任的网络
- 使用虚拟网络加密
有关详细信息，请参阅本文开头引用的 PDF。
4. 满足合规性和数据隐私要求
- 按常规计划重启计算
- 将敏感工作负荷隔离到不同的工作区中
- 将 Unity 目录安全对象分配给特定工作区
- 实现精细访问控制
- 添加标签
- 使用世系
- 使用增强的安全监视或合规性安全配置文件
- 控制和监控 Azure Databricks 人员的工作区访问权限
- 实现和测试灾难恢复策略
- 考虑使用 Azure 机密计算
有关详细信息，请参阅本文开头引用的 PDF。
5. 监视系统安全性
- 充分利用系统表
- 通过 Azure 日志监视系统活动
- 启用详细审核日志记录
- 使用 Git 文件夹管理代码版本
- 将使用情况限制为受信任的代码存储库
- 通过基础设施即代码配置基础设施
- 通过 CI/CD 管理代码
- 控制库安装
- 仅使用来自受信任或信誉源的模型和数据
- 实现 DevSecOps 进程
- 使用 Lakehouse 进行监控
- 使用推理表和 AI 防护栏
- 使用标记作为成本监视和退款策略的一部分
- 使用预算监视帐户支出
- 使用 Azure Policy 创建“上限”资源控制
有关详细信息，请参阅本文开头引用的 PDF。
其他资源
- 下载 并查看 Databricks AI 安全框架 （DASF），了解如何根据实际攻击方案缓解 AI 安全威胁