Šifrování dat s Azure Machine Learning

Azure Machine Learning trénování modelů a odvozování využívá celou řadu služeb úložiště dat Azure a výpočetních prostředků. Každý z nich má svůj vlastní příběh o tom, jak poskytují šifrování pro data v klidech a během přenosu. V tomto článku se dozvíte o každé z nich a o tom, která je pro váš scénář nejlepší.

Šifrování neaktivních uložených dat

Příznak řídí množství dat, která Microsoft shromažďuje pro diagnostické účely, a umožňuje další šifrování v prostředích hbi_workspace spravovaných Microsoftem. Kromě toho umožňuje následující akce:

• Spustí šifrování místního pomocného disku ve vašem výpočetním clusteru Azure Machine Learning za předpokladu, že jste v tomto předplatném nevytválely žádné předchozí clustery. Jinak musíte lístek podpory zapnout, abyste umožnili šifrování pomocného disku výpočetních clusterů.
• Čištění místního pomocného disku mezi jednotlivými spuštěními
• Bezpečně předává přihlašovací údaje pro váš účet úložiště, registr kontejneru a účet SSH z vrstvy spouštění do výpočetních clusterů pomocí trezoru klíčů.

Pokud je tento příznak nastavený na Hodnotu True, jedním z možných důsledků je větší problém s řešením potíží. K tomu může dojít proto, že se některá telemetrie neposílána Microsoftu a existuje menší přehled o úspěšnosti nebo typech problémů, a proto nemusí být schopná reagovat proaktivně, pokud je tento příznak true.

Azure Blob Storage

Azure Machine Learning ukládá snímky, výstupy a protokoly v účtu služby Azure Blob Storage, který je spojený s pracovním prostorem Azure Machine Learning a vaším předplatným. Všechna data uložená v úložišti objektů blob v Azure jsou zašifrovaná pomocí klíčů spravovaných Microsoftem.

Informace o tom, jak používat vlastní klíče pro data uložená ve službě Azure Blob Storage, najdete v Azure Storage šifrování pomocí klíčů spravovaných zákazníkem v Azure Key Vault.

Trénovací data jsou obvykle také uložená ve službě Azure Blob Storage, aby byla přístupná pro trénovací cílové výpočetní objekty. Toto úložiště není spravované službou Azure Machine Learning ale připojené k cílovým výpočetním prostředkům jako vzdálený systém souborů.

Pokud potřebujete klíč obměně nebo odvolat, můžete to provést kdykoli. Při obměně klíče začne účet úložiště k šifrování dat používat nový klíč (nejnovější verzi). Při odvolání (zakázání) klíče se účet úložiště postará o neúspěšné žádosti. Obvykle trvá hodinu, než bude rotace nebo odvolání účinné.

Informace o opětovném vygenerování přístupových klíčů najdete v tématu Opětovné vygenerování přístupových klíčů k úložišti.

Azure Cosmos DB

Azure Machine Learning ukládá metadata v instanci Azure Cosmos DB. Tato instance je přidružená k předplatnému Microsoftu spravovanému Azure Machine Learning. Všechna data uložená v Azure Cosmos DB jsou zašifrovaná pomocí klíčů spravovaných Microsoftem.

Pokud chcete k šifrování instance Azure Cosmos DB použít vlastní klíče spravované zákazníkem, můžete vytvořit vyhrazenou instanci Cosmos DB pro použití s pracovním prostorem. Tento přístup doporučujeme, pokud chcete ukládat data, například informace o historii spuštění, mimo instanci více tenantů Cosmos DB hostovanou v našem předplatném Microsoftu.

Pokud chcete povolit zřizování Cosmos DB ve vašem předplatném pomocí klíčů spravovaných zákazníkem, proveďte následující akce:

• Pokud jste to ještě neudělali, zaregistrujte ve svém předplatném poskytovatele prostředků Microsoft.MachineLearning a Microsoft.DocumentDB.

• Při vytváření pracovního prostoru nástroje použijte Azure Machine Learning parametry. Oba parametry jsou povinné a podporované v sadě SDK, Azure CLI, rozhraních REST API a Resource Manager šablonách.

  • cmk_keyvault: Tento parametr je ID prostředku trezoru klíčů ve vašem předplatném. Tento trezor klíčů musí být ve stejné oblasti a předplatném, které budete používat pro Azure Machine Learning prostoru.

  • resource_cmk_uri: Tento parametr je úplný identifikátor URI prostředku klíče spravovaného zákazníkem ve vašem trezoru klíčů, včetně informací o verzi klíče.

    Poznámka

    Před vytvořením šifrovaného pracovního prostoru strojového učení je potřeba povolit pro instanci trezoru klíčů CMK ochranu před vymazáním a ochranou před náhodnými ztrátami dat v případě odstranění trezoru.

    Poznámka

    Tato instance trezoru klíčů se může lišit od trezoru klíčů vytvořeného Azure Machine Learning při zřizování pracovního prostoru. Pokud chcete pro pracovní prostor použít stejnou instanci trezoru klíčů, předejte stejný trezor klíčů při zřizování pracovního prostoru pomocí key_vault klíče.

Pokud potřebujete klíč obměně nebo odvolat, můžete to provést kdykoli. Při obměně klíče Cosmos DB začne k šifrování dat používat nový klíč (nejnovější verzi). Při odvolání (zakázání) klíče se Cosmos DB postará o neúspěšné žádosti. Obvykle trvá hodinu, než bude rotace nebo odvolání účinné.

Další informace o klíčích spravovaných zákazníkem s Cosmos DB najdete v tématu Konfigurace klíčů spravovaných zákazníkem pro účet Azure Cosmos DB.

Azure Container Registry

Všechny image kontejnerů v registru (Azure Container Registry) jsou v klidové době zašifrované. Azure automaticky zašifruje image před uložením a dešifruje ji, Azure Machine Learning si image vytáhne.

Pokud chcete k šifrování služby Azure Container Registry použít vlastní klíče (spravované zákazníkem), musíte si vytvořit vlastní službu ACR a připojit ji při zřizování pracovního prostoru nebo šifrovat výchozí instanci, která se vytvoří při zřizování pracovního prostoru.

Příklad vytvoření pracovního prostoru pomocí existujícího pracovního Azure Container Registry v následujících článcích:

• Vytvořte pracovní prostor pro Azure Machine Learning pomocí Azure CLI.
• Vytvořte pracovní prostor pomocí sady Python SDK.
• Vytvoření Azure Resource Manager pro uživatele pomocí šablony Azure Machine Learning

Instance kontejneru Azure

Nasazený prostředek služby Azure Container Instance (ACI) můžete šifrovat pomocí klíčů spravovaných zákazníkem. Klíč spravovaný zákazníkem, který se používá pro ACI, se může uložit v Azure Key Vault pro váš pracovní prostor. Informace o vygenerování klíče najdete v tématu Šifrování dat pomocí klíče spravovaného zákazníkem.

Pokud chcete klíč použít při nasazování modelu do instance kontejneru Azure, vytvořte novou konfiguraci nasazení pomocí AciWebservice.deploy_configuration() . Zadejte informace o klíči pomocí následujících parametrů:

• cmk_vault_base_url: Adresa URL trezoru klíčů, který obsahuje klíč.
• cmk_key_name: Název klíče.
• cmk_key_version: Verze klíče.

Další informace o vytváření a používání konfigurace nasazení najdete v následujících článcích:

• AciWebservice.deploy_configuration()
• Kde a jak nasadit
• Nasazení modelu do služby Azure Container Instances

Další informace o použití klíče spravovaného zákazníkem s ACI najdete v tématu Šifrování dat pomocí klíče spravovaného zákazníkem.

Azure Kubernetes Service

Nasazený prostředek můžete kdykoli Azure Kubernetes Service pomocí klíčů spravovaných zákazníkem. Další informace najdete v tématu Přineste si vlastní klíče pomocí Azure Kubernetes Service.

Tento proces umožňuje šifrovat data i disk s operačním systémem nasazených virtuálních počítačů v clusteru Kubernetes.

Machine Learning Vypočítat

Výpočetní cluster Disk s operačním systémem pro každý výpočetní uzel uložený v Azure Storage se šifruje pomocí klíčů spravovaných Microsoftem v Azure Machine Learning účtech úložiště. Tento cílový výpočetní objekt je dočasný a clustery se obvykle škáluje dolů, když nejsou zařazena žádná spuštění do fronty. Základní virtuální počítač se zřídí a disk s operačním systémem se odstraní. Azure Disk Encryption disk s operačním systémem nepodporuje.

Každý virtuální počítač má také místní dočasný disk pro operace s operačním systémem. Pokud chcete, můžete disk použít k přípravě trénovací data. Pokud byl pracovní prostor vytvořen s hbi_workspace parametrem nastaveným na TRUE , dočasný disk se zašifruje. Toto prostředí je krátkodobé (jenom po dobu běhu) a podpora šifrování je omezená jenom na klíče spravované systémem.

Výpočetní instance Disk s operačním systémem pro výpočetní instanci se šifruje pomocí klíčů spravovaných Microsoftem Azure Machine Learning účty úložiště. Pokud byl pracovní prostor vytvořen s parametrem nastaveným na , místní dočasný disk ve hbi_workspace TRUE výpočetní instanci se šifruje pomocí klíčů spravovaných Microsoftem. Šifrování spravovaného klíče zákazníka není podporováno pro operační systém a dočasný disk.

Azure Databricks

Azure Databricks lze použít v kanálech Azure Machine Learning. Ve výchozím nastavení je systém souborů datacihly (DBFS) používaný Azure Databricks zašifrovaný pomocí klíče spravovaného společností Microsoft. Pokud chcete nakonfigurovat Azure Databricks pro použití klíčů spravovaných zákazníkem, přečtěte si téma konfigurace klíčů spravovaných zákazníkem ve výchozím nastavení (root) DBFS.

Data generovaná společností Microsoft

při používání služeb, jako jsou například automatizované Machine Learning, může společnost Microsoft vygenerovat přechodná a předem zpracovaná data pro školení více modelů. Tato data jsou uložená v úložišti dat ve vašem pracovním prostoru, což vám umožní patřičně vymáhat řízení přístupu a šifrování.

můžete také chtít šifrovat diagnostické informace zaznamenané z nasazeného koncového bodu do instance služby Azure Application Insights.

Šifrování během přenosu

Azure Machine Learning používá protokol TLS k zabezpečení interní komunikace mezi různými Azure Machine Learning mikroslužby. k přístupu k Azure Storage dojde taky přes zabezpečený kanál.

aby bylo možné zabezpečit externí volání u bodování koncového bodu, Azure Machine Learning používá protokol TLS. Další informace najdete v tématu použití protokolu TLS k zabezpečení webové služby prostřednictvím Azure Machine Learning.

Shromažďování a zpracování dat

Shromážděná data společnosti Microsoft

Společnost Microsoft může shromažďovat neuživatelem identifikovatelné informace, jako jsou názvy prostředků (například název datové sady nebo název experimentu Machine Learning), nebo proměnné prostředí úloh pro účely diagnostiky. Všechna taková data se ukládají pomocí klíčů spravovaných Microsoftem v úložišti hostovaném v předplatných vlastněných společností Microsoft a na základě standardních zásad ochrany osobních údajů společnosti Microsoft a standardů pro zpracování dat. Tato data se uchovávají ve stejné oblasti jako váš pracovní prostor.

Microsoft také doporučuje do proměnných prostředí ukládat citlivé informace (třeba klíčová tajná klíče účtu). Proměnné prostředí jsou protokolovány, šifrovány a uloženy v USA. Podobně při pojmenování run_idVyhněte zahrnutí citlivých informací, jako jsou uživatelská jména nebo tajné názvy projektů. Tyto informace se mohou zobrazit v protokolech telemetrie, které jsou přístupné pro podpora Microsoftu inženýry.

Shromážděná diagnostická data můžete odhlásit tím, že hbi_workspace TRUE při zřizování pracovního prostoru nastavíte parametr na. Tato funkce je podporována při použití sady AzureML Python SDK, rozhraní příkazového řádku Azure CLI, rozhraní REST API nebo šablon Azure Resource Manager.

Použití Azure Key Vault

Azure Machine Learning používá instanci Azure Key Vault přidruženou k pracovnímu prostoru k ukládání přihlašovacích údajů různých typů:

• Přidružený připojovací řetězec účtu úložiště
• Hesla k instancím služby Azure Container úložiště
• Připojovací řetězce k úložištím dat

Hesla a klíče SSH k výpočetním cílům, jako je Azure HDInsight a virtuální počítače, jsou uložené v jiném trezoru klíčů, který je přidružený k předplatnému Microsoft. Azure Machine Learning neukládají žádná hesla ani klíče poskytované uživateli. Místo toho generuje, autorizuje a ukládá vlastní klíče SSH pro připojení k virtuálním počítačům a HDInsight pro spuštění experimentů.

Každý pracovní prostor má přidruženou spravovanou identitu přiřazenou systémem, která má stejný název jako pracovní prostor. Tato spravovaná identita má přístup ke všem klíčům, tajným klíčům a certifikátům v trezoru klíčů.

Další kroky

• Připojení k úložišti Azure
• Získání dat z úložiště dat
• Připojení k datům
• Trénování s datovými sadami