Conexão privada de computação serverless para recursos AWS está disponível

Para que serve

Imagine que você tem cargas de trabalho serverless no Databricks que precisam acessar dados no Amazon S3 ou consultar um banco de dados no RDS sem expor tráfego à internet pública. Essa novidade permite:

• Garantir uma conexão dedicada e isolada entre workspaces serverless e recursos AWS.
• Reduzir a superfície de ataque para mitigar riscos de exfiltração de dados usando o AWS PrivateLink.
• Conectar serviços como S3, DynamoDB, Glue, KMS, Bedrock e RDS de forma segura.

Como usar

Configure a conectividade privada usando o console de conta do Databricks e ajustando as políticas de acesso na AWS. Primeiro, crie um objeto Network Connectivity Configuration (NCC).

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessOutsideVpcEndpoint",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "dynamodb:*",
      "Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/minha_tabela",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpce": "vpce-12345"
        }
      }
    }
  ]
}

O que acontece nesse código:

1. Define uma política de negação explícita para o DynamoDB.
2. Restringe o acesso apenas ao endpoint VPC informado na chave aws:SourceVpce.
3. Bloqueia qualquer requisição externa que tente passar fora do túnel privado.

Limitações e requisitos

• Recurso em estágio GA (Generally Available).
• Requer workspace no plano Enterprise e privilégios de administrador de conta na AWS.
• Cada conta do Databricks suporta até 20 NCCs por região.
• Conexões S3 FIPS são suportadas apenas em regiões dos EUA e Canadá na mesma região.