Chiavi gestite dal cliente per la crittografia

  • Articolo

Azure per intelligenza artificiale si basa su più servizi di Azure. Mentre i dati dei clienti vengono archiviati in modo sicuro usando chiavi di crittografia fornite da Microsoft per impostazione predefinita, è possibile migliorare la sicurezza fornendo chiavi personalizzate (gestite dal cliente). Le chiavi fornite vengono archiviate in modo sicuro in Azure Key Vault.

Prerequisiti

  • Una sottoscrizione di Azure.
  • Un'istanza di Azure Key Vault. L'insieme di credenziali delle chiavi contiene le chiavi usate per crittografare i servizi.
    • L'istanza dell'insieme di credenziali delle chiavi deve abilitare l'eliminazione temporanea e la protezione dalla rimozione definitiva.
    • L'identità gestita per i servizi protetti da una chiave gestita dal cliente deve avere le autorizzazioni seguenti nell'insieme di credenziali delle chiavi:
      • eseguire il wrapping della chiave
      • annullare il wrapping della chiave
      • get

Che cosa sono le chiavi gestite dal cliente?

Per impostazione predefinita, Microsoft crea e gestisce le risorse in una sottoscrizione di Microsoft Azure e usa una chiave gestita da Microsoft per crittografare i dati.

Quando si usa una chiave gestita dal cliente, queste risorse risiedono nella sottoscrizione di Azure e vengono crittografate con la propria chiave. Anche se sono presenti nella sottoscrizione, queste risorse sono ancora gestite da Microsoft. Vengono create e configurate automaticamente quando si crea la risorsa di Azure per intelligenza artificiale.

Queste risorse gestite da Microsoft si trovano in un nuovo gruppo di risorse di Azure creato nella sottoscrizione. Questo gruppo di risorse esiste oltre al gruppo di risorse per il progetto. Contiene le risorse gestite da Microsoft con cui è usata la chiave. Il gruppo di risorse viene denominato usando la formula <Azure AI resource group name><GUID>. Non è possibile modificare la denominazione delle risorse in questo gruppo di risorse gestite.

Suggerimento

Se la risorsa usa un endpoint privato, questo gruppo di risorse conterrà anche una rete virtuale di Azure gestita da Microsoft. Questa rete virtuale viene usata per proteggere le comunicazioni tra i servizi gestiti e il progetto. Non è possibile fornire la propria rete virtuale da usare con le risorse gestite da Microsoft. Non è inoltre possibile modificare la rete virtuale. Ad esempio, non è possibile modificare l'intervallo di indirizzi IP usato.

Importante

Se la sottoscrizione non dispone di una quota sufficiente per questi servizi, si verificherà un errore.

Importante

Quando si usa una chiave gestita dal cliente, i costi per la sottoscrizione sono superiori perché queste risorse si trovano nella sottoscrizione. Per stimare il costo, usare il calcolatore prezzi di Azure.

Avviso

Non eliminare il gruppo di risorse gestite creato automaticamente in questo gruppo. Se è necessario eliminare il gruppo di risorse o i servizi gestiti da Microsoft, è necessario eliminare le risorse di Intelligenza artificiale di Azure che la usano. Le risorse del gruppo di risorse vengono eliminate quando la risorsa IA associata viene eliminata.

Abilitare chiavi gestite dal cliente

Il processo per abilitare le chiavi gestite dal cliente con Azure Key Vault per i servizi di intelligenza artificiale di Azure varia in base al prodotto. Per istruzioni specifiche per i singoli servizi, vedere questi collegamenti:

Modalità di archiviazione dei dati di calcolo

L'intelligenza artificiale di Azure usa le risorse per l'istanza di calcolo e il calcolo serverless quando si ottimizzano i modelli o i flussi di compilazione. Nella tabella seguente vengono descritte le opzioni di calcolo e il modo in cui i dati vengono crittografati da ognuna di esse:

Calcolo Crittografia
Istanza di calcolo Il disco scratch locale è crittografato.
Calcolo serverless Il disco del sistema operativo viene crittografato in Archiviazione di Azure con chiavi gestite da Microsoft. Il disco temporaneo è crittografato.

Istanza di calcolo: il disco del sistema operativo per l'istanza di calcolo viene crittografato con chiavi gestite da Microsoft negli account di archiviazione gestiti da Microsoft. Se il progetto è stato creato con il parametro hbi_workspace impostato su TRUE, il disco temporaneo locale nell'istanza di calcolo viene crittografato con chiavi gestite da Microsoft. La crittografia della chiave gestita dal cliente non è supportata per il sistema operativo e i dischi temporanei.

Calcolo serverless: il disco del sistema operativo per ogni nodo di calcolo archiviato in Archiviazione di Azure viene crittografato con chiavi gestite da Microsoft. Questa destinazione di calcolo è temporanea e i cluster vengono in genere ridimensionati quando non vengono accodate i processi. Viene eseguito il deprovisioning della macchina virtuale sottostante e il disco del sistema operativo viene eliminato. Crittografia dischi di Azure non è supportata per il disco del sistema operativo.

Ogni macchina virtuale ha anche un disco temporaneo locale per le operazioni del sistema operativo. Se lo si desidera, è possibile usare il disco per organizzare i dati di training. Questo ambiente dura solo per il tempo del processo e il supporto della crittografia è limitato solo alle chiavi gestite dal sistema.

Limiti

  • Le chiavi di crittografia non passano dalla risorsa di Azure per intelligenza artificiale alle risorse dipendenti, tra cui Servizi di Azure AI e Archiviazione di Azure quando configurate nella risorsa di Azure per intelligenza artificiale. È necessario impostare la crittografia in modo specifico in ogni risorsa.
  • La chiave gestita dal cliente per la crittografia può essere aggiornata solo alle chiavi nella stessa istanza di Azure Key Vault.
  • Dopo la distribuzione, non è possibile passare da chiavi gestite da Microsoft a chiavi gestite dal cliente o viceversa.
  • Le risorse create nel gruppo di risorse di Azure gestito da Microsoft nella sottoscrizione non possono essere modificate dall'utente o fornite dall'utente al momento della creazione come risorse esistenti.
  • Non è possibile eliminare risorse gestite da Microsoft usate per le chiavi gestite dal cliente senza eliminare anche il progetto.

Contenuto correlato