Share via

Ügyfél által felügyelt kulcsok az Azure Machine Tanulás

  • Cikk

Az Azure Machine Learning több Azure-szolgáltatásra épül. Bár a tárolt adatok titkosítása a Microsoft által biztosított titkosítási kulcsokkal történik, saját (ügyfél által felügyelt) kulcsok biztosításával is növelheti a biztonságot. A megadott kulcsokat az Azure Key Vault tárolja. Az adatok az Azure-előfizetésben kezelt egyéb erőforrások halmazában vannak tárolva.

Az ügyfél által felügyelt kulcsok (CMK) mellett az Azure Machine Tanulás hbi_workspace jelzőt is biztosít. A jelző engedélyezése csökkenti a Microsoft által diagnosztikai célokra gyűjtött adatok mennyiségét, és lehetővé teszi a További titkosítást a Microsoft által felügyelt környezetekben. Ez a jelző a következő viselkedéseket is lehetővé teszi:

  • Megkezdi a helyi lemez titkosítását az Azure Machine Tanulás számítási fürtben, ha az előfizetésben nem hozta létre a korábbi fürtöket. Ellenkező esetben támogatási jegyet kell létrehoznia a számítási fürtök kaparólemezének titkosításának engedélyezéséhez.
  • Megtisztítja a helyi üres lemezt a feladatok között.
  • A kulcstartó használatával biztonságosan továbbítja a tárfiók, a tárolóregisztrációs adatbázis és a Secure Shell-fiók hitelesítő adatait a végrehajtási rétegből a számítási fürtökbe.

A hbi_workspace jelző nem befolyásolja az átvitel közbeni titkosítást. Csak a inaktív titkosításra van hatással.

Előfeltételek

  • Azure-előfizetés.
  • Egy Azure Key Vault-példány. A kulcstartó tartalmazza a szolgáltatások titkosításához szükséges kulcsokat.

A kulcstartónak engedélyeznie kell a helyreállítható törlési és törlési védelmet. Az ügyfél által felügyelt kulccsal biztonságossá tenni kívánt szolgáltatások felügyelt identitásának a következő engedélyekkel kell rendelkeznie a kulcstartóhoz:

  • Kulcs becsomagolása
  • Kulcs kicsomagolása
  • Beolvasás

Az Azure Cosmos DB felügyelt identitásának például rendelkeznie kell ezekkel az engedélyekkel a kulcstartóhoz.

Korlátozások

  • A munkaterület létrehozása után a munkaterülettől függő erőforrások ügyfél által felügyelt titkosítási kulcsa csak az eredeti Azure Key Vault-erőforrás egy másik kulcsára frissíthető.
  • A titkosított adatok az előfizetés microsoft által felügyelt erőforráscsoportjában lévő erőforrásokon lesznek tárolva. Ezeket az erőforrásokat nem hozhatja létre előre, és nem ruházhatja át a tulajdonjogát Önnek. Az adatok életciklusa közvetetten az Azure Machine Tanulás API-kkal kezelhető, amikor objektumokat hoz létre az Azure Machine Tanulás szolgáltatásban.
  • Az ügyfél által felügyelt kulcsokhoz használt Microsoft által felügyelt erőforrások nem törölhetők a munkaterület törlése nélkül.
  • Az ügyfél által felügyelt kulcsokkal nem titkosíthatja a számítási fürt operációsrendszer-lemezét. Microsoft által felügyelt kulcsokat kell használnia.

Figyelmeztetés

Ne törölje az Azure Cosmos DB-példányt tartalmazó erőforráscsoportot vagy a csoportban automatikusan létrehozott erőforrásokat. Ha törölnie kell az erőforráscsoportot vagy a Microsoft által felügyelt szolgáltatásokat, törölnie kell az azt használó Azure Machine-Tanulás munkaterületet. A társított munkaterület törlésekor az erőforráscsoport erőforrásai törlődnek.

Felhasználó által kezelt kulcsok

Ha nem használ ügyfél által felügyelt kulcsot, a Microsoft erőforrásokat hoz létre és kezel egy Microsoft-tulajdonú Azure-előfizetésben, és egy Microsoft által felügyelt kulccsal titkosítja az adatokat.

Ha ügyfél által felügyelt kulcsot használ, az erőforrások az Azure-előfizetésben találhatók, és titkosítva vannak a kulccsal. Bár ezek az erőforrások az előfizetésben léteznek, a Microsoft kezeli őket. Automatikusan lesznek létrehozva és konfigurálva az Azure Machine Learning-munkaterület létrehozásakor.

Ezek a Microsoft által felügyelt erőforrások az előfizetésben létrehozott új Azure-erőforráscsoportban találhatók. Ez az erőforráscsoport külön van a munkaterület erőforráscsoportjától. Tartalmazza azokat a Microsoft által felügyelt erőforrásokat, amelyekkel a kulcs használható. Az erőforráscsoport elnevezésének képlete: <Azure Machine Learning workspace resource group name><GUID>.

Tipp.

Az Azure Cosmos DB kérelemegységei szükség szerint automatikusan skálázhatók.

Ha az Azure Machine Tanulás-munkaterület privát végpontot használ, ez az erőforráscsoport egy Microsoft által felügyelt Azure-beli virtuális hálózatot is tartalmaz. Ez a virtuális hálózat segít a felügyelt szolgáltatások és a munkaterület közötti kommunikáció biztonságossá tételében. Nem adhat meg saját virtuális hálózatot a Microsoft által felügyelt erőforrások használatához. A virtuális hálózatot nem módosíthatja. Például nem módosíthatja a használt IP-címtartományt.

Fontos

Ha az előfizetése nem rendelkezik elegendő kvótával ezekhez a szolgáltatásokhoz, hiba történik.

Ha ügyfél által felügyelt kulcsot használ, az előfizetés költségei magasabbak, mivel ezek az erőforrások az előfizetésben találhatók. A költségek becsléséhez használja az Azure díjkalkulátorát.

Számítási erőforrások adatainak titkosítása

Az Azure Machine Tanulás számítási erőforrásokat használ a gépi tanulási modellek betanítása és üzembe helyezése érdekében. Az alábbi táblázat a számítási beállításokat és az adatok titkosításának módját ismerteti:

Compute Titkosítás
Azure Container Instances Az adatok titkosítása Microsoft által felügyelt kulccsal vagy ügyfél által felügyelt kulccsal történik.
További információ: Az üzembehelyezési adatok titkosítása.
Azure Kubernetes Service Az adatok titkosítása Microsoft által felügyelt kulccsal vagy ügyfél által felügyelt kulccsal történik.
További információ: Saját kulcsok használata Azure-lemezekkel az Azure Kubernetes Service-ben.
Azure Machine Learning számítási példány A rendszer titkosítja a helyi lemezt, ha engedélyezi a hbi_workspace munkaterület jelzőjének használatát.
Azure Machine Tanulás számítási fürt Az operációsrendszer-lemez a Microsoft által felügyelt kulcsokkal van titkosítva az Azure Storage-ban. Az ideiglenes lemez titkosítva lesz, ha engedélyezi a hbi_workspace munkaterület jelzőjének használatát.
Compute Titkosítás
Azure Kubernetes Service Az adatok titkosítása Microsoft által felügyelt kulccsal vagy ügyfél által felügyelt kulccsal történik.
További információ: Saját kulcsok használata Azure-lemezekkel az Azure Kubernetes Service-ben.
Azure Machine Learning számítási példány A rendszer titkosítja a helyi lemezt, ha engedélyezi a hbi_workspace munkaterület jelzőjének használatát.
Azure Machine Tanulás számítási fürt Az operációsrendszer-lemez a Microsoft által felügyelt kulcsokkal van titkosítva az Azure Storage-ban. Az ideiglenes lemez titkosítva lesz, ha engedélyezi a hbi_workspace munkaterület jelzőjének használatát.

Számítási fürt

A számítási fürtök helyi operációsrendszer-lemeztárolóval rendelkeznek, és az előfizetésben lévő tárfiókokból származó adatokat csatlakoztathatják egy feladat során. Amikor saját tárfiókból csatlakoztat adatokat egy feladathoz, engedélyezheti az ügyfél által felügyelt kulcsokat ezeken a tárfiókokon titkosítás céljából.

Az Azure Storage-ban tárolt összes számítási csomópont operációsrendszer-lemeze mindig Microsoft által felügyelt kulcsokkal van titkosítva az Azure Machine Tanulás tárfiókokban, és nem ügyfél által felügyelt kulcsokkal. Ez a számítási cél rövid ideig érvényes, ezért az operációsrendszer-lemezen tárolt adatok a fürt leskálázása után törlődnek. A fürtök általában leskálázódnak, ha nincsenek várólistára helyezett feladatok, az automatikus skálázás be van kapcsolva, és a minimális csomópontszám nullára van állítva. A mögöttes virtuális gép le lesz bontva, és az operációsrendszer-lemez törlődik.

Az Azure Disk Encryption nem támogatott az operációsrendszer-lemezen. Minden virtuális gép helyi ideiglenes lemezzel is rendelkezik az operációs rendszer műveleteihez. Ha szeretné, a lemez használatával szakaszosítheti a betanítási adatokat. Ha a munkaterületet a hbi_workspace megadott TRUEparaméterrel hozza létre, az ideiglenes lemez titkosítva lesz. Ez a környezet rövid élettartamú (csak a feladat során), és a titkosítási támogatás csak a rendszer által felügyelt kulcsra korlátozódik.

Számítási példány

A számítási példány operációsrendszer-lemeze Microsoft által felügyelt kulcsokkal van titkosítva az Azure Machine Tanulás tárfiókokban. Ha a munkaterületet a hbi_workspace megadott TRUEparaméterrel hozza létre, a számítási példány helyi ideiglenes lemeze Microsoft által felügyelt kulcsokkal lesz titkosítva. Az ügyfél által felügyelt kulcstitkosítás operációs rendszer és ideiglenes lemezek esetében nem támogatott.

Titkosított munkaterület metaadatainak tárolása

Saját titkosítási kulcs használata esetén a szolgáltatás metaadatai dedikált erőforrásokon lesznek tárolva az Azure-előfizetésben. A Microsoft külön erőforráscsoportot hoz létre az előfizetésében erre a célra: azureml-rg-workspacename_GUID. Ebben a felügyelt erőforráscsoportban csak a Microsoft módosíthatja az erőforrásokat.

A Microsoft a következő erőforrásokat hozza létre a munkaterület metaadatainak tárolásához:

Szolgáltatás Használat Példaadatok
Azure Cosmos DB A feladatelőzmények adatait, a számítási metaadatokat és az eszköz metaadatait tárolja. Az adatok tartalmazhatnak feladatnevet, állapotot, sorszámot és állapotot; számítási fürt neve, magok száma és csomópontok száma; adattárolók nevei és címkéi, valamint az olyan eszközök leírásai, mint a modellek; és az adatfeliratok nevei.
Azure AI Keresés Tárolja azokat az indexeket, amelyek segítenek a gépi tanulási tartalmak lekérdezésében. Ezek az indexek az Azure Cosmos DB-ben tárolt adatokra épülnek.
Azure Storage Az Azure Machine Tanulás folyamatadataihoz kapcsolódó metaadatokat tárolja. Az adatok tartalmazhatnak tervezői folyamatneveket, folyamatelrendezést és végrehajtási tulajdonságokat.

Az adatéletciklus-kezelés szempontjából az előző erőforrásokban lévő adatok az Azure Machine-Tanulás megfelelő objektumainak létrehozásakor és törlésekor jönnek létre és törlődnek.

Az Azure Machine Tanulás munkaterülete a felügyelt identitás használatával olvas és ír adatokat. Ez az identitás hozzáférést kap az erőforrásokhoz egy szerepkör-hozzárendeléssel (Azure szerepköralapú hozzáférés-vezérléssel) az adaterőforrásokon. A megadott titkosítási kulcs a Microsoft által felügyelt erőforrásokon tárolt adatok titkosítására szolgál. Emellett indexek létrehozására is használható az Azure AI Searchhez futtatókörnyezetben.

A további hálózati vezérlők akkor vannak konfigurálva, ha privát kapcsolati végpontot hoz létre a munkaterületen a bejövő kapcsolatok engedélyezéséhez. Ez a konfiguráció magában foglalja egy privát kapcsolat végpontkapcsolatának létrehozását az Azure Cosmos DB-példányhoz. A hálózati hozzáférés csak megbízható Microsoft-szolgáltatások korlátozott.

(Előzetes verzió) Metaadatok szolgáltatásoldali titkosítása

Az ügyfél által felügyelt kulcstitkosítási munkaterület új architektúrája előzetes verzióban érhető el, ami csökkenti a jelenlegi architektúrához képest járó költségeket, és csökkenti az Azure-szabályzatütközések valószínűségét. Ebben az új modellben a titkosított adatok szolgáltatásoldali tárolása a Microsoft által felügyelt erőforrásokon történik az előfizetés helyett.

Az előfizetésben korábban a CosmosDB-ben tárolt adatokat több-bérlős Microsoft által felügyelt erőforrások tárolják dokumentumszintű titkosítással a titkosítási kulccsal. Az előfizetésében korábban az Azure AI Searchben tárolt keresési indexek a Microsoft által felügyelt erőforrásokon vannak tárolva, amelyek munkaterületenként dedikáltan vannak kiépítve. Az Azure AI-keresési példány költségei az Azure ML-munkaterületen, az Azure Cost Managementben kerülnek felszámításra.

A folyamat metaadatai, amelyeket korábban egy felügyelt erőforráscsoport tárfiókjában tároltak, mostantól az Azure Machine Tanulás-munkaterülethez társított előfizetés tárfiókjában lesznek tárolva. Mivel ezt az Azure Storage-erőforrást külön kezeli az előfizetése, ön a felelős a titkosítási beállítások konfigurálásáért.

Adja meg, enableServiceSideCMKEncryption hogy mikor hozzon létre egy munkaterületet az előzetes verzióra való bejelentkezéshez. Az előzetes verzió elérhetősége munkaterület típusa szerint változik:

Erőforrás Támogatott
Alapértelmezett Igen
Hub Nem
Project Nem

Feljegyzés

Ebben az előzetes verzióban a kulcsváltás és az adatcímkézési képességek nem támogatottak.

A metaadatok szolgáltatásoldali titkosításával rendelkező munkaterületet létrehozó sablonról lásd: https://github.com/deeikele/azure-quickstart-templates/tree/cmk-service-side/quickstarts/microsoft.machinelearningservices/machine-learning-workspace-cmk-service-side-encryption.

hbi_workspace jelző

A jelölőt csak munkaterület létrehozásakor állíthatja be hbi_workspace . Meglévő munkaterület esetében nem módosítható.

Ha ezt a jelzőt TRUEállítja be, az növelheti a problémák elhárításának nehézségét, mivel kevesebb telemetriai adat érkezik a Microsoftnak. A sikerességi arányok és a problématípusok kevésbé láthatók. Előfordulhat, hogy a Microsoft nem tud proaktív módon reagálni, amikor ez a jelző jelenik meg TRUE.

Ha engedélyezni szeretné a hbi_workspace jelölőt egy Azure Machine Tanulás-munkaterület létrehozásakor, kövesse az alábbi cikkek egyikének lépéseit:

Következő lépések