如何限制Azure门户及ADF、Databricks的非欧盟区域访问？

一、VPN类访问控制方案 #

• 站点到站点VPN（S2S VPN）：让客户团队仅通过其欧盟本地网络的VPN隧道访问Azure资源。配置Azure虚拟网络的NSG规则，只放行VPN隧道分配的IP段访问ADF、Databricks的入口；同时在Azure AD条件访问里加规则，只有来自这个合规IP范围的会话才能登录这两个服务，从网络层面直接堵死非欧盟区域的直接访问路径。
• 点到站点VPN（P2S VPN）：针对远程办公的授权人员，强制要求通过P2S VPN连接到Azure欧盟区域的VNet才能访问目标服务。同样结合NSG和条件访问，限制只有VPN接入的流量能碰ADF和Databricks，还能给VPN客户端加限制，只允许从欧盟境内的IP发起连接，进一步缩小访问范围。

二、客户提供VM的访问控制方案 #

• 欧盟区域专属跳转VM：让客户提供一台部署在Azure欧盟区域的专用VM作为唯一跳转节点，所有ADF、Databricks的操作必须通过这台VM上的浏览器完成。配置VNet peering把跳转VM的VNet和ADF、Databricks工作区的VNet连起来，NSG设置只允许这台VM的IP访问目标服务，同时关掉VM的公网出口，确保数据全程在欧盟区域内流转。
• VM级权限与审计锁死：在客户提供的VM上开启本地审计日志，记录所有浏览器访问ADF、Databricks的操作；用组策略禁用浏览器的文件下载、剪贴板共享功能，防止数据被导出到VM以外的地方，从终端层面限制数据流出。

三、Azure原生补充控制策略 #

• 服务级区域锁定：在ADF工作区里开数据驻留锁定，确保ADF的所有元数据和处理数据都留在欧盟区域；Databricks工作区设置成禁止跨区域数据复制，关掉自动备份到非欧盟区域的选项，从服务本身层面把数据框在欧盟境内。
• Azure AD条件访问强化：做自定义条件访问策略，除了IP范围限制，再加合规设备检查，只有加入客户欧盟域的合规设备才能访问；同时开会话控制，把浏览器会话设为受限模式，禁止打印、下载和剪贴板操作，就算连上了也没法把数据带出去。
• 私有网络隔离：把ADF、Databricks工作区部署在Azure专用链接（Private Link）环境里，彻底关掉公网访问权限，只允许VNet内部或VPN连接的流量访问，从网络架构上断绝公网跨区域访问的可能。

内容的提问来源于stack exchange，提问作者azuresnowflake1