Visione personalizzata crittografia dei dati inattivi
Azure AI Visione personalizzata crittografa automaticamente i dati quando vengono salvati in modo permanente nel cloud. Questa crittografia consente di soddisfare gli impegni di sicurezza e conformità dell'organizzazione.
Informazioni sulla crittografia dei servizi di intelligenza artificiale di Azure
I dati vengono crittografati e decrittografati usando la crittografia AES a 256 bit conforme a FIPS 140-2. La crittografia e la decrittografia sono trasparenti, ovvero la crittografia e l'accesso vengono gestiti per l'utente. I dati sono protetti per impostazione predefinita. Non è necessario modificare il codice o le applicazioni per sfruttare i vantaggi della crittografia.
Informazioni sulla gestione delle chiavi di crittografia
Per impostazione predefinita, la sottoscrizione usa chiavi di crittografia gestite da Microsoft. È anche possibile gestire la sottoscrizione con chiavi personalizzate, denominate chiavi gestite dal cliente. Quando si usano chiavi gestite dal cliente, si ha maggiore flessibilità nel modo in cui si creano, ruotano, disabilitano e revocano i controlli di accesso. È anche possibile controllare le chiavi di crittografia usate per proteggere i dati. Se le chiavi gestite dal cliente sono configurate per la sottoscrizione, viene fornita la doppia crittografia. Con questo secondo livello di protezione, è possibile controllare la chiave di crittografia tramite Azure Key Vault.
Importante
Le chiavi gestite dal cliente sono disponibili solo le risorse create dopo il 11 maggio 2020. Per usare cmk con Visione personalizzata, è necessario creare una nuova risorsa Visione personalizzata. Dopo aver creato la risorsa, è possibile usare Azure Key Vault per configurare l'identità gestita.
Chiavi gestite dal cliente con Azure Key Vault
Quando si usano chiavi gestite dal cliente, è necessario usare Azure Key Vault per archiviarle. È possibile creare chiavi personalizzate e archiviarle in un insieme di credenziali delle chiavi oppure usare le API di Key Vault per generare chiavi. La risorsa dei servizi di intelligenza artificiale di Azure e l'insieme di credenziali delle chiavi devono trovarsi nella stessa area e nello stesso tenant di Microsoft Entra, ma possono trovarsi in sottoscrizioni diverse. Per altre informazioni su Key Vault, vedere Che cos'è Azure Key Vault?.
Quando si crea una nuova risorsa dei servizi di intelligenza artificiale di Azure, viene sempre crittografata usando chiavi gestite da Microsoft. Non è possibile abilitare le chiavi gestite dal cliente quando si crea la risorsa. Le chiavi gestite dal cliente vengono archiviate in Key Vault. È necessario eseguire il provisioning dell'insieme di credenziali delle chiavi con criteri di accesso che concedono le autorizzazioni di chiave all'identità gestita associata alla risorsa dei servizi di intelligenza artificiale di Azure. L'identità gestita è disponibile solo dopo la creazione della risorsa usando il piano tariffario necessario per le chiavi gestite dal cliente.
L'abilitazione delle chiavi gestite dal cliente abilita anche un'identità gestita assegnata dal sistema, una funzionalità dell'ID Microsoft Entra. Dopo aver abilitato l'identità gestita assegnata dal sistema, questa risorsa viene registrata con l'ID Microsoft Entra. Dopo la registrazione, all'identità gestita viene concesso l'accesso all'insieme di credenziali delle chiavi selezionato durante la configurazione della chiave gestita dal cliente.
Importante
Se si disabilitano le identità gestite assegnate dal sistema, l'accesso all'insieme di credenziali delle chiavi viene rimosso e tutti i dati crittografati con le chiavi del cliente non sono più accessibili. Tutte le funzionalità che dipendono da questi dati non funzionano più.
Importante
Le identità gestite attualmente non supportano gli scenari tra directory. Quando si configurano chiavi gestite dal cliente nel portale di Azure, viene assegnata automaticamente un'identità gestita in background. Se successivamente si sposta la sottoscrizione, il gruppo di risorse o la risorsa da una directory di Microsoft Entra a un'altra, l'identità gestita associata alla risorsa non viene trasferita al nuovo tenant, quindi le chiavi gestite dal cliente potrebbero non funzionare più. Per altre informazioni, vedere Trasferimento di una sottoscrizione tra directory di Microsoft Entra nelle domande frequenti e problemi noti relativi alle identità gestite per le risorse di Azure.
Configurare l'insieme di credenziali delle chiavi
Quando si usano chiavi gestite dal cliente, è necessario impostare due proprietà nell'insieme di credenziali delle chiavi, l'eliminazione temporanea e l'eliminazione non definitiva. Queste proprietà non sono abilitate per impostazione predefinita, ma è possibile abilitarle in un insieme di credenziali delle chiavi nuovo o esistente usando il portale di Azure, PowerShell o l'interfaccia della riga di comando di Azure.
Importante
Se le proprietà Eliminazione temporanea e Non eliminazione non sono abilitate e si elimina la chiave, non è possibile recuperare i dati nella risorsa dei servizi di intelligenza artificiale di Azure.
Per informazioni su come abilitare queste proprietà in un insieme di credenziali delle chiavi esistente, vedere Gestione del ripristino di Azure Key Vault con eliminazione temporanea e protezione dall'eliminazione temporanea.
Abilitare le chiavi gestite dal cliente per la risorsa
Per abilitare le chiavi gestite dal cliente nella portale di Azure, seguire questa procedura:
Passare alla risorsa dei servizi di intelligenza artificiale di Azure.
A sinistra selezionare Crittografia.
In Tipo di crittografia selezionare Chiavi gestite dal cliente, come illustrato nello screenshot seguente.
Specificare una chiave
Dopo aver abilitato le chiavi gestite dal cliente, è possibile specificare una chiave da associare alla risorsa dei servizi di intelligenza artificiale di Azure.
Specificare una chiave da un URI
Per specificare una chiave come URI, seguire questa procedura:
Nella portale di Azure passare all'insieme di credenziali delle chiavi.
In Impostazioni selezionare Chiavi.
Selezionare la chiave desiderata e quindi selezionare la chiave per visualizzarne le versioni. Selezionare una versione chiave per visualizzare le impostazioni per tale versione.
Copiare il valore dell'identificatore di chiave, che fornisce l'URI.
Tornare alla risorsa dei servizi di intelligenza artificiale di Azure e quindi selezionare Crittografia.
In Chiave di crittografia selezionare Immettere l'URI della chiave.
Incollare l'URI copiato nella casella URI chiave.
In Sottoscrizione selezionare la sottoscrizione che contiene l'insieme di credenziali delle chiavi.
Salva le modifiche.
Specificare una chiave da un insieme di credenziali delle chiavi
Per specificare una chiave da un insieme di credenziali delle chiavi, assicurarsi prima di tutto di disporre di un insieme di credenziali delle chiavi che contiene una chiave. Quindi segui questi passaggi.
Passare alla risorsa dei servizi di intelligenza artificiale di Azure e quindi selezionare Crittografia.
In Chiave di crittografia selezionare Seleziona da Key Vault.
Selezionare l'insieme di credenziali delle chiavi contenente la chiave da usare.
Selezionare la chiave da usare.
Salva le modifiche.
Aggiornare la versione della chiave
Quando si crea una nuova versione di una chiave, aggiornare la risorsa dei servizi di intelligenza artificiale di Azure per usare la nuova versione. Seguire questa procedura:
- Passare alla risorsa dei servizi di intelligenza artificiale di Azure e quindi selezionare Crittografia.
- Immettere l'URI per la nuova versione della chiave. In alternativa, è possibile selezionare l'insieme di credenziali delle chiavi e quindi selezionare di nuovo la chiave per aggiornare la versione.
- Salva le modifiche.
Usare una chiave diversa
Per modificare la chiave usata per la crittografia, seguire questa procedura:
- Passare alla risorsa dei servizi di intelligenza artificiale di Azure e quindi selezionare Crittografia.
- Immettere l'URI per la nuova chiave. In alternativa, è possibile selezionare l'insieme di credenziali delle chiavi e quindi selezionare una nuova chiave.
- Salva le modifiche.
Ruotare le chiavi gestite dal cliente
È possibile ruotare una chiave gestita dal cliente in Key Vault in base ai criteri di conformità. Quando la chiave viene ruotata, è necessario aggiornare la risorsa dei servizi di intelligenza artificiale di Azure per usare il nuovo URI della chiave. Per informazioni su come aggiornare la risorsa per usare una nuova versione della chiave nel portale di Azure, vedere Aggiornare la versione della chiave.
La rotazione della chiave non attiva la ricrittografazione dei dati nella risorsa. Non è necessaria alcuna ulteriore azione da parte dell'utente.
Revocare l'accesso alle chiavi gestite dal cliente
Per revocare l'accesso alle chiavi gestite dal cliente, usare PowerShell o l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere PowerShell per Azure Key Vault o Interfaccia della riga di comando per Azure Key Vault. La revoca dell'accesso blocca in modo efficace l'accesso a tutti i dati nella risorsa dei servizi di intelligenza artificiale di Azure, perché la chiave di crittografia non è accessibile dai servizi di intelligenza artificiale di Azure.
Disabilitare le chiavi gestite dal cliente
Quando si disabilitano le chiavi gestite dal cliente, la risorsa dei servizi di intelligenza artificiale di Azure viene quindi crittografata con chiavi gestite da Microsoft. Per disabilitare le chiavi gestite dal cliente, seguire questa procedura:
- Passare alla risorsa dei servizi di intelligenza artificiale di Azure e quindi selezionare Crittografia.
- Deselezionare la casella di controllo accanto a Usa la propria chiave.
Passaggi successivi
- Per un elenco completo dei servizi che supportano la chiave gestita dal cliente per i servizi di intelligenza artificiale di Azure, vedere Chiavi gestite dal cliente per i servizi di intelligenza artificiale di Azure
- Che cos'è Azure Key Vault?