Valide o tráfego do Unity Gateway com políticas de serviços externos

As políticas de serviços externos permitem enviar o conteúdo de requisições e respostas de modelos de IA e serviços MCP para um fornecedor de segurança de terceiros. O Unity Gateway avalia o veredito retornado e bloqueia a chamada quando necessário, mantendo as aplicações intactas.

Para que serve

Imagine que você precisa aplicar as regras de moderação ou prevenção de perda de dados do seu fornecedor atual de segurança em todas as chamadas de modelos no Databricks. Com esse recurso você consegue:

• Validar o tráfego de entrada e saída com ferramentas de parceiros.
• Bloquear requisições maliciosas ou que violem políticas da empresa automaticamente.
• Monitorar o comportamento do tráfego em modo de teste (Log) antes de aplicar bloqueios.

Como usar

A criação da conexão HTTP no Unity Catalog pode ser feita diretamente pelo formulário da política ou via comando SQL usando autenticação OAuth M2M.

CREATE CONNECTION external_guardrail
TYPE HTTP
HOST 'https://api.example.com'
OPTIONS (
  auth_type 'oauth2',
  client_id 'seu_client_id',
  client_secret 'seu_client_secret',
  token_endpoint 'https://api.example.com/oidc/v1/token'
);

O que acontece nesse código:

1. Define o nome da conexão como external_guardrail no Unity Catalog.
2. Configura o host do seu fornecedor de segurança externo.
3. Estabelece o método de autenticação como OAuth M2M com as credenciais fornecidas pelo parceiro.

Limitações e requisitos

• O recurso está em Beta e requer permissões de administrador de conta para habilitação.
• Suporta apenas autenticação via OAuth M2M (Client ID, Client Secret e Token Endpoint).
• O comportamento padrão é de falha fechada (fail-closed): se o endpoint do fornecedor cair, expirar o tempo limite ou retornar erros, a chamada é negada.
• As políticas retornam apenas ALLOW ou DENY, sem suporte a redigir conteúdo ou pedir aprovação humana.