Klíče spravované zákazníkem pro Azure Machine Learning

Služba Azure Machine Learning je postavená na několika jiných službách Azure. I když se uložená data šifrují prostřednictvím šifrovacích klíčů, které Microsoft poskytuje, můžete zvýšit zabezpečení tím, že také poskytnete vlastní klíče (spravované zákazníkem). Zadané klíče jsou uložené ve službě Azure Key Vault. Vaše data se dají ukládat do sady dalších prostředků, které spravujete ve svém předplatném Azure, nebo na straně serveru na straně microsoftu.

Kromě klíčů spravovaných zákazníkem (CMK) poskytuje Azure Machine Learning příznak hbi_workspace. Povolením tohoto příznaku snížíte množství dat, která Microsoft shromažďuje pro diagnostické účely, a umožňuje dodatečné šifrování v prostředích spravovaných Microsoftem. Tento příznak také umožňuje následující chování:

• Spustí šifrování místního pomocného disku ve výpočetním clusteru Azure Machine Learning, pokud jste v tomto předplatném nevytvořili žádné předchozí clustery. V opačném případě je potřeba vytvořit lístek podpory, který umožní šifrování pomocného disku pro výpočetní clustery.
• Vyčistí místní škrábaný disk mezi úlohami.
• Bezpečně předává přihlašovací údaje pro váš účet úložiště, registr kontejnerů a účet SSH (Secure Shell) z úrovně spouštění do výpočetních clusterů pomocí vašeho trezoru klíčů.

Příznak hbi_workspace nemá vliv na šifrování během přenosu. Ovlivňuje pouze šifrování neaktivních uložených dat.

Požadavky

• Předplatné Azure.
• Instance služby Azure Key Vault. Trezor klíčů obsahuje klíče pro šifrování služeb.

Trezor klíčů musí povolit obnovitelné odstranění a ochranu před vymazáním. Spravovaná identita pro služby, které pomáháte zabezpečit pomocí klíče spravovaného zákazníkem, musí mít k trezoru klíčů následující oprávnění:

• Zabalit klíč
• Rozbalit klíč
• Získat

Spravovaná identita služby Azure Cosmos DB by například musela mít tato oprávnění k trezoru klíčů.

Omezení

• Po vytvoření pracovního prostoru je možné šifrovací klíč spravovaný zákazníkem pro prostředky, na které pracovní prostor závisí, aktualizovat pouze na jiný klíč v původním prostředku služby Azure Key Vault.
• Pokud nepoužíváte verzi Preview na straně serveru, šifrovaná data se ukládají na prostředky ve skupině prostředků spravované Microsoftem ve vašem předplatném. Tyto prostředky nemůžete předem vytvářet ani převádět vlastnictví těchto prostředků na vás. Životní cyklus dat se spravuje nepřímo prostřednictvím rozhraní API služby Azure Machine Learning při vytváření objektů ve službě Azure Machine Learning.
• Nemůžete odstranit prostředky spravované Microsoftem, které používáte pro klíče spravované zákazníkem, aniž byste také odstranili pracovní prostor.
• Disk s operačním systémem výpočetního clusteru nemůžete zašifrovat pomocí klíčů spravovaných zákazníkem. Musíte použít klíče spravované Microsoftem.

Upozorňující

Neodstraňovat skupinu prostředků obsahující instanci služby Azure Cosmos DB ani žádné prostředky, které se automaticky vytvoří v této skupině. Pokud potřebujete odstranit skupinu prostředků nebo služby spravované Microsoftem, musíte odstranit pracovní prostor Služby Azure Machine Learning, který ji používá. Prostředky skupiny prostředků se odstraní, když odstraníte přidružený pracovní prostor.

Klíče spravované zákazníkem

Pokud nepoužíváte klíč spravovaný zákazníkem, Microsoft vytvoří a spravuje prostředky v předplatném Azure vlastněné Microsoftem a k šifrování dat používá klíč spravovaný Microsoftem.

Když použijete klíč spravovaný zákazníkem, prostředky se nacházejí ve vašem předplatném Azure a zašifrují se pomocí vašeho klíče. I když tyto prostředky existují ve vašem předplatném, Spravuje je Microsoft. Tyto prostředky se automaticky vytvářejí a konfigurují při vytváření pracovního prostoru Azure Machine Learning.

Tyto prostředky spravované Microsoftem se nacházejí v nové skupině prostředků Azure vytvořené ve vašem předplatném. Tato skupina prostředků je oddělená od skupiny prostředků pro váš pracovní prostor. Obsahuje prostředky spravované Microsoftem, se kterými se váš klíč používá. Vzorec pro pojmenování skupiny prostředků je: <Azure Machine Learning workspace resource group name><GUID>.

Tip

Jednotky žádostí pro službu Azure Cosmos DB se podle potřeby automaticky škáluje.

Pokud váš pracovní prostor Azure Machine Learning používá privátní koncový bod, tato skupina prostředků obsahuje také virtuální síť Azure spravovanou Microsoftem. Tato virtuální síť pomáhá zabezpečit komunikaci mezi spravovanými službami a pracovním prostorem. Nemůžete poskytnout vlastní virtuální síť pro použití s prostředky spravovanými Microsoftem. Nemůžete také upravit virtuální síť. Nemůžete například změnit rozsah IP adres, který používá.

Důležité

Pokud vaše předplatné nemá dostatečnou kvótu pro tyto služby, dojde k selhání.

Pokud používáte klíč spravovaný zákazníkem, náklady na vaše předplatné jsou vyšší, protože tyto prostředky jsou ve vašem předplatném. K odhadu nákladů použijte cenovou kalkulačku Azure.

Šifrování dat na výpočetních prostředcích

Azure Machine Learning používá výpočetní prostředky k trénování a nasazování modelů strojového učení. Následující tabulka popisuje možnosti výpočetních prostředků a způsob šifrování dat:

Compute	Šifrování
Azure Kubernetes Service	Data se šifrují pomocí klíče spravovaného Microsoftem nebo klíče spravovaného zákazníkem. Další informace najdete v tématu Používání vlastních klíčů s disky Azure ve službě Azure Kubernetes Service.
Výpočetní instance Azure Machine Learningu	Pokud pro pracovní prostor povolíte hbi_workspace příznak, místní pomocný disk se zašifruje.
Výpočetní cluster Azure Machine Learning	Disk s operačním systémem je šifrovaný ve službě Azure Storage pomocí klíčů spravovaných Microsoftem. Dočasný disk je zašifrovaný, pokud povolíte hbi_workspace příznak pro pracovní prostor.

Výpočtový cluster

Výpočetní clustery mají místní diskové úložiště s operačním systémem a během úlohy můžou připojit data z účtů úložiště ve vašem předplatném. Když připojujete data z vlastního účtu úložiště v úloze, můžete u těchto účtů úložiště povolit klíče spravované zákazníkem pro šifrování.

Disk s operačním systémem pro každý výpočetní uzel je uložený ve službě Azure Storage a vždy se šifruje pomocí klíčů spravovaných Microsoftem v účtech úložiště Azure Machine Learning, a ne pomocí klíčů spravovaných zákazníkem. Tento cílový výpočetní objekt je dočasný, takže po vertikálním snížení kapacity clusteru se data uložená na disku s operačním systémem odstraní. Clustery se obvykle škálují dolů, pokud nejsou žádné úlohy zařazené do fronty, automatické škálování je zapnuté a minimální počet uzlů je nastavený na nulu. Základní virtuální počítač se zruší a disk s operačním systémem se odstraní.

Azure Disk Encryption není pro disk s operačním systémem podporovaný. Každý virtuální počítač má také místní dočasný disk pro operace operačního systému. Pokud chcete, můžete disk použít k přípravě trénovacích dat. Pokud vytvoříte pracovní prostor s parametrem nastaveným hbi_workspace na TRUE, dočasný disk se zašifruje. Toto prostředí je krátkodobé (pouze během vaší úlohy) a podpora šifrování je omezená pouze na klíče spravované systémem.

Výpočetní instance

Disk s operačním systémem pro výpočetní instanci je šifrovaný pomocí klíčů spravovaných Microsoftem v účtech úložiště Azure Machine Learning. Pokud vytvoříte pracovní prostor s parametrem hbi_workspace nastaveným na TRUE, místní dočasný disk ve výpočetní instanci se zašifruje pomocí klíčů spravovaných Microsoftem. Šifrování klíče spravovaného zákazníkem není podporováno pro operační systém a dočasné disky.

Úložiště šifrovaných metadat pracovního prostoru

Při používání vlastního šifrovacího klíče se metadata služby ukládají na vyhrazené prostředky ve vašem předplatném Azure. Microsoft pro tento účel vytvoří v předplatném samostatnou skupinu prostředků: azureml-rg-workspacename_GUID. Prostředky v této spravované skupině prostředků může upravovat pouze Microsoft.

Microsoft vytvoří následující prostředky pro ukládání metadat pro váš pracovní prostor:

Služba	Využití	Příklad dat
Azure Cosmos DB	Ukládá data historie úloh, výpočetní metadata a metadata prostředků.	Data mohou zahrnovat název úlohy, stav, pořadové číslo a stav; název výpočetního clusteru, počet jader a počet uzlů; názvy a značky úložiště dat a popisy prostředků, jako jsou modely; a názvy popisků dat.
Azure AI Vyhledávač	Ukládá indexy, které pomáhají dotazovat se na obsah strojového učení.	Tyto indexy jsou založené na datech uložených ve službě Azure Cosmos DB.
Azure Storage	Ukládá metadata související s daty kanálu služby Azure Machine Learning.	Data můžou zahrnovat názvy kanálů návrháře, rozložení kanálu a vlastnosti spuštění.

Z hlediska správy životního cyklu dat se data v předchozích prostředcích vytvoří a odstraní při vytváření a odstraňování odpovídajících objektů ve službě Azure Machine Learning.

Váš pracovní prostor Azure Machine Learning čte a zapisuje data pomocí své spravované identity. Tato identita má udělený přístup k prostředkům prostřednictvím přiřazení role (řízení přístupu na základě role v Azure) u datových prostředků. Šifrovací klíč, který zadáte, slouží k šifrování dat uložených na prostředcích spravovaných Microsoftem. Za běhu se klíč používá také k vytváření indexů pro Azure AI Search.

Při vytváření koncového bodu privátního propojení ve vašem pracovním prostoru se konfigurují další síťové ovládací prvky, které umožňují příchozí připojení. Tato konfigurace zahrnuje vytvoření připojení koncového bodu privátního propojení k instanci služby Azure Cosmos DB. Přístup k síti je omezený jenom na důvěryhodné služby Microsoft.

(Preview) Šifrování metadat na straně služby

Ve verzi Preview je k dispozici nová architektura pro pracovní prostor šifrování klíčů spravovaných zákazníkem, která snižuje náklady v porovnání s aktuální architekturou a snižuje pravděpodobnost konfliktů zásad Azure. V tomto novém modelu se šifrovaná data ukládají na straně služby na prostředcích spravovaných Microsoftem místo ve vašem předplatném.

Data, která byla dříve uložená ve službě Azure Cosmos DB ve vašem předplatném, se ukládají ve víceklientských prostředcích spravovaných Microsoftem s šifrováním na úrovni dokumentu pomocí šifrovacího klíče. Indexy vyhledávání, které byly dříve uložené ve službě Azure AI Search ve vašem předplatném, se ukládají na prostředky spravované Microsoftem, které jsou pro vás zřízené pro každý pracovní prostor. Náklady na instanci služby Azure AI Search se účtují v rámci pracovního prostoru Azure Machine Learning ve službě Microsoft Cost Management.

Metadata kanálů, která byla dříve uložena v účtu úložiště ve spravované skupině prostředků, se teď ukládají na účet úložiště ve vašem předplatném přidruženém k pracovnímu prostoru Azure Machine Learning. Vzhledem k tomu, že se tento prostředek Azure Storage spravuje samostatně ve vašem předplatném, zodpovídáte za konfiguraci nastavení šifrování.

Pokud chcete tuto verzi Preview vyjádřit, nastavte enableServiceSideCMKEncryption si rozhraní REST API nebo v šabloně Bicep nebo Resource Manageru. Můžete také použít Azure Portal.

Poznámka:

Během této obměně klíčů ve verzi Preview a funkcí popisků dat se nepodporují. Šifrování na straně serveru se v současné době nepodporuje v odkazu na službu Azure Key Vault pro ukládání šifrovacího klíče, který má zakázaný přístup k veřejné síti.

Šablony, které vytvářejí pracovní prostor s šifrováním metadat na straně služby, najdete v tématu

• Šablona Bicep pro vytvoření výchozího pracovního prostoru
• Šablona Bicep pro vytvoření pracovního prostoru centra

příznak hbi_workspace

Příznak můžete nastavit hbi_workspace pouze při vytváření pracovního prostoru. U existujícího pracovního prostoru ho nemůžete změnit.

Když tento příznak nastavíte na TRUE, může se zvýšit složitost řešení problémů, protože do Microsoftu se odesílají méně telemetrických dat. Existuje menší přehled o úspěšnosti nebo typech problémů. Microsoft nemusí být schopen reagovat jako proaktivně, pokud je TRUEtento příznak .

Pokud chcete příznak povolit hbi_workspace při vytváření pracovního prostoru Azure Machine Learning, postupujte podle kroků v jednom z následujících článků:

• Vytvoření a správa pracovního prostoru pomocí webu Azure Portal nebo sady Python SDK
• Vytvoření a správa pracovního prostoru pomocí Azure CLI
• Vytvoření pracovního prostoru pomocí Terraformu HashiCorp
• Vytvoření pracovního prostoru pomocí šablon Azure Resource Manageru

Další kroky

• Konfigurace klíčů spravovaných zákazníkem pomocí služby Azure Machine Learning