次の方法で共有

Azure AI Foundry での暗号化用のカスタマー マネージド キー

Azure AI Foundry ポータルのカスタマー マネージド キー (CMK) を使用すると、データの暗号化を高度に制御できます。 CMK を使用すると、独自の暗号化キーを管理して保護レイヤーを追加し、コンプライアンス要件をより効果的に満たすことができます。

Azure AI Foundry での暗号化について

Azure AI Foundry は、Microsoft Azure クラウドのサービスです。 既定では、サービスは Microsoft が管理する暗号化キーを使用して転送中および保存中のデータを暗号化します。

ハブおよびハブ ベースのプロジェクト リソースは、Azure Machine Learning ワークスペースの実装であり、転送中および保存中のデータを暗号化します。 詳細については、「Azure Machine Learning でのデータの暗号化」を参照してください。

データは、FIPS 140-2 に準拠する 256 ビット AES 暗号化を使用して暗号化および暗号化解除されます。 暗号化と暗号化解除は透過的であり、暗号化とアクセスはユーザーによって管理されます。 データは既定でセキュリティ保護され、暗号化を利用するためにコードまたはアプリケーションを変更する必要はありません。

カスタマー マネージド キーを使用する場合の暗号化されたデータの格納

Azure portal またはテンプレート オプションを使用して、リソースの作成時にカスタマー マネージド キー暗号化を有効にすることができます。 暗号化されたデータは、暗号化キーを使用して、Microsoft が管理するリソースにサービス側で格納されます。

注

カスタマー マネージド キーで暗号化されたデータを使用する場合、特定のサービスの専用ホスティング モデルにより、追加料金が適用される場合があります。

注

サーバー側の暗号化を使用すると、ソフト削除の保有期間中にも Azure の料金が発生し続けます。

AI ハブでカスタマー マネージド キーを使用する場合の、暗号化されたデータのサービス側ストレージ

カスタマー マネージド キーを使用する場合は、次の 2 つのアーキテクチャ オプションを使用できます。

  • 暗号化されたデータは Microsoft サブスクリプションに格納されます (推奨)

    データは、サブスクリプション内のマネージド リソースではなく、Microsoft が管理するリソースにサービス側で格納されます。 メタデータは、ドキュメント レベルの CMK 暗号化を使用して、マルチテナント リソース内に格納されます。 Azure AI 検索インスタンスは、顧客ごと、およびハブごとに、Microsoft 側でホストされます。

  • 暗号化されたデータはサブスクリプションに格納されます

    データは、Azure Storage アカウント、Azure Cosmos DB リソース、Azure AI Search を含む Microsoft マネージド リソース グループを使用してサブスクリプションに格納されます。 これらのリソースの構成は変更できません。 構成の変更はサポートされていません。

    同じハブを使用するすべてのプロジェクトは、azureml-rg-hubworkspacename_GUID という名前で識別されるマネージド リソース グループ内のリソース上にデータを格納します。 プロジェクトでは、これらのリソースを操作する際に Microsoft Entra ID 認証が使用されます。 ハブにプライベート リンク エンドポイントがある場合、マネージド リソースへのネットワーク アクセスは制限されます。 ハブが削除されると、マネージド リソース グループは削除されます。

    次のデータは、マネージド リソース上に格納されます。

    サービス これは何に使用されますか ? 例
    Azure Cosmos DB (アジュール コスモス データベース) Azure AI プロジェクトとツールのメタデータを格納する インデックス名、タグ、フロー作成タイムスタンプ、デプロイ タグ、評価メトリック
    Azure AI Search Azure AI Foundry コンテンツのクエリに使用されるインデックスを格納します。 モデル デプロイ名に基づくインデックス
    Azure Storage アカウント カスタマイズ タスクの調整方法に関する手順を格納します Azure AI Foundry ポータルで作成したフローの JSON 表現

Azure Key Vault でカスタマー マネージド キーを使用する

カスタマー マネージド キーを格納するには、Azure Key Vault を使用する必要があります。 独自のキーを作成してキー コンテナーに格納することも、Azure Key Vault API を使ってキーを生成することもできます。 Azure AI Foundry リソースとキー コンテナーは、同じリージョンと同じ Microsoft Entra テナント内に存在する必要がありますが、異なるサブスクリプション内に存在する可能性があります。 Azure Key Vault の詳細については、「Azure Key Vault とは」をご覧ください。

  • Key Vault で [論理的な削除] と [Do Not Purge](消去しない) の両方のプロパティを有効にする必要があります。
  • Key Vault ファイアウォールを使用する場合は、信頼された Microsoft サービスがキー コンテナーにアクセスできるようにする必要があります。
  • Foundry プロジェクトのシステム割り当てマネージド ID に、キー コンテナーに対するアクセス許可 ("キーの取得"、"キーの折り返し"、"キーの折り返しを解除") を付与する必要があります。

カスタマー マネージド キーを格納するには、Azure Key Vault を使用する必要があります。 独自のキーを作成してキー コンテナーに格納することも、Azure Key Vault API を使ってキーを生成することもできます。 Azure AI サービスのリソースとキー コンテナーは、同じリージョンの同じ Microsoft Entra テナント内に存在する必要がありますが、サブスクリプションは異なっていてもかまいません。 Azure Key Vault の詳細については、「Azure Key Vault とは」をご覧ください。

カスタマー マネージド キーを有効にするには、キーを含むキー コンテナーが次の要件を満たしている必要があります。

  • Key Vault で [論理的な削除] と [Do Not Purge](消去しない) の両方のプロパティを有効にする必要があります。
  • Key Vault ファイアウォールを使用する場合は、信頼された Microsoft サービスがキー コンテナーにアクセスできるようにする必要があります。
  • ハブと Azure AI Services リソースのシステムに割り当てられたマネージド ID に、キー ボールトへのアクセス権限（キーの取得、キーのラップ、キーのラップ解除）を付与する必要があります。

Azure AI Foundry には、次の制限事項が適用されます。

  • レガシ アクセス ポリシーを持つ Azure Key Vault のみがサポートされます。
  • Azure AI サービスの暗号化では、サイズが 2048 の RSA と RSA-HSM のキーのみがサポートされます。 キーの詳細については、「Azure Key Vault のキー、シークレット、証明書について」の「Key Vault のキー」を参照してください。
  • 現在、Customer-Managed キーから Microsoft マネージド キーへの更新は、プロジェクト サブリソースではサポートされていません。 更新された場合、プロジェクトは暗号化キーを参照し続けます。

Azure AI Foundry リソースのマネージド ID を有効にする

マネージド ID は、カスタマー マネージド キーを使用するための前提条件として有効にする必要があります。

  1. Azure portal で Azure AI Foundry リソースに移動します。
  2. 左側の [リソース管理] で、[ID] を選びます。
  3. システム割り当てマネージド ID の状態を [オン] に切り替えます。
  4. 変更を保存し、システム割り当てマネージド ID を有効にすることを確認します。

カスタマー マネージド キーを有効にする

カスタマー マネージド キー暗号化は、各 Azure リソースと同様の方法で、Azure portal を使用して構成します。

Von Bedeutung

暗号化に使用される Azure Key Vault は、AI Foundry プロジェクトと 同じリソース グループに存在する必要があります 。 他のリソース グループ内の Key Vault は、現在、デプロイ ウィザードまたはプロジェクト構成ワークフローではサポートされていません。

  1. Azure portal で新しい Azure AI Foundry リソースを作成します。

  2. [ 暗号化 ] タブで、[ カスタマー マネージド キー]、[ コンテナーとキーの選択] の順に選択し、使用するキー コンテナーとキーを選択します。

    カスタマー マネージド キーのオプションが選択されている AI Foundry プロジェクトの [暗号化] タブのスクリーンショット。

  3. 通常どおりリソースの作成を続行します。

制限事項

  • 暗号化用のカスタマー マネージド キーは、同じ Azure Key Vault インスタンス内のキーにのみ更新できます。
  • デプロイ後、Foundry プロジェクトは Microsoft が管理するキーからカスタマー マネージド キーに切り替えることはできません。また、その逆もできません。
  • AI Foundry リソースへの Azure の課金は、ソフト削除の保持期間中も継続されます。 論理的な削除のリテンション期間中は、プロジェクトの課金が停止されます。

Azure AI Foundry は、Azure Machine Learning ワークスペース、Azure AI サービスの実装としてハブ上に構築され、Azure 内の他のリソースに接続できます。 暗号化は、各リソースで明確に設定する必要があります。

カスタマー マネージド キー暗号化は、各 Azure リソースと同様の方法で、Azure portal を使用して構成します。

  1. Azure portal 内で新しい Azure リソースを作成します。

  2. [暗号化] タブの下で、暗号化キーを選択します。

    サーバー側暗号化のオプションが選択されている状態の暗号化タブのスクリーンショット。

または、自動化を目的として、コードとしてのインフラストラクチャのオプションを使用します。 Azure AI Foundry 用の Bicep テンプレートの例は、Azure クイック スタート リポジトリで入手できます。

  1. ハブの CMK 暗号化。
  2. ハブのサービス側 CMK 暗号化プレビュー。

制限事項

  • 暗号化用のカスタマー マネージド キーは、同じ Azure Key Vault インスタンス内のキーにのみ更新できます。
  • デプロイ後、ハブでは Microsoft マネージド キーからカスタマー マネージド キー (またはその逆) に切り替えることはできません。
  • Azure AI Foundry Customer-Managed キー要求フォーム は、Azure Speech および Content Moderator の機能と組み合わせてカスタマー マネージド キーを使用するために必要です。
  • Speech と Content Moderator には、引き続き Azure AI Foundry Customer-Managed キー要求フォームが必要です。
  • AI Foundry リソースが論理的に削除された状態になっている場合 (#preview-service-side-storage-of-encrypted-data-when-using-customer-managed-keys)、論理削除保持期間中は追加の Azure 料金が引き続き発生します。

関連コンテンツ