Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Microsoft Foundry versleutelt uw gegevens automatisch wanneer deze zich in de cloud bevinden. Foundry biedt ondersteuning voor door de klant beheerde sleutels (CMK's) die gebruikmaken van sleutels die zijn opgeslagen in Azure Key Vault of Azure Beheerde HSM. CMK's bieden een extra versleutelingslaag waarmee u controle hebt over belangrijke levenscyclusbewerkingen, zoals rotatie, intrekking en controle.
Zie Door de klant beheerde sleutels configureren voor Microsoft Foundry om CMK-versleuteling voor uw resource te configureren.
Note
Vanwege capaciteitsbeperkingen in de onderliggende Azure AI Zoeken-infrastructuur is CMK-versleuteling momenteel alleen beschikbaar in bepaalde regio's. Zie Azure AI Zoeken regionale beschikbaarheid voor de lijst met ondersteunde regio's.
Informatie over Microsoft Foundry-versleuteling
Microsoft Foundry-gegevens worden versleuteld en ontsleuteld met FIPS 140-2-compatibele256-bits AES-versleuteling. Versleuteling en ontsleuteling zijn transparant, wat betekent dat versleuteling en toegang voor u worden beheerd. Uw gegevens zijn standaard beveiligd en u hoeft uw code of toepassingen niet te wijzigen om te profiteren van versleuteling.
Belangrijk
CMK-afdwinging is onderhevig aan beperkingen. In de volgende secties worden ondersteunde scenario's, uitzonderingen en configuratiespecifieke overwegingen beschreven.
Hoe CMK van toepassing is in Microsoft Foundry
De service slaat standaard gegevens en resourcestatus op in Microsoft beheerde service-infrastructuur en versleutelt deze met behulp van Microsoft beheerde sleutels. Wanneer u CMK's configureert, versleutelt de service in aanmerking komende servicegegevens die worden opgeslagen met behulp van sleutels die u beheert.
Voorbeelden van versleutelde gegevens zijn:
- Projectmiddelen, zoals agents, prompts, gegevenssets en evaluaties.
- Geüploade bestanden, zoals bestanden die zijn geüpload voor een trainingsjob voor fine-tuning als dataset of via de OpenAI Files-API's.
- Gebruikersstatus, zoals gespreksgeschiedenis, systeemprompts en nauwkeurig afgestemde modellen.
- Geïndexeerde weergaven van de voorgaande gegevens die query's in het product mogelijk maken.
Belangrijk
Afhankelijk van de configuratie van de Foundry-resource, kan de service de servicestatus opslaan in beheerde opslag die deel uitmaakt van de Foundry-resource of in de opslag die u beheert. Ondersteuning verschilt per Foundry-mogelijkheid. Sommige mogelijkheden bieden geen ondersteuning voor door de klant beheerde sleutelversleuteling, tenzij u uw eigen opslag gebruikt. Zie CMK-dekking per Foundry-functionaliteit voor meer informatie.
CMK-dekking per Foundry-functionaliteit
| Foundry-mogelijkheid | CMK in door Foundry beheerde opslag | CMK via door de klant beheerde opslag | Aantekeningen |
|---|---|---|---|
| Agentendienst | ❌ Niet ondersteund | ✅ Ondersteund | Gespreksgeschiedenis en vectorarchieven van agents zijn alleen cmk-versleuteld als u uw eigen opslag gebruikt. In de basisinstallatie worden gegevens versleuteld met behulp van Microsoft beheerde sleutels, zelfs als de Foundry-resource een CMK configureert. |
| Fine-tuning | ✅ Ondersteund | N.v.t. (geen ondersteuning voor eigen opslag) | Geüploade bestanden en getrainde verfijnde modellen zijn CMK-versleuteld op Microsoft beheerde opslagaccounts. Getrainde modellen worden logisch geïsoleerd door hun Azure-abonnement. Modelgewichten zijn CMK-uitgepakt om modelimplementaties te instantiëren. Zie CMK-dekking in de computestack voor meer informatie over de computestack en de runtime voor training. |
| Batchtaken | ✅ Ondersteund | ✅ Ondersteund | Geüploade bestanden zijn cmk-at-rest versleuteld op Microsoft beheerde opslagaccounts. Tijdens de scoretaak wordt dit opslagaccount virtueel gekoppeld aan de rekenknooppunten voor verwerking. Zie CMK-dekking in de rekenstack voor meer informatie over de rekenstack die wordt gebruikt voor de uitvoering van batchtaken. |
| Evaluaties | ✅ Ondersteund | ✅ Ondersteund | Evaluatieassets en geüploade bestanden die zijn opgeslagen door Foundry, zijn met CMK beveiligd. Zie CMK-dekking in de hele compute-stack voor meer informatie over de compute-stack die voor evaluatiejobs wordt gebruikt. |
| Hugging Face-modellen uitgerold op beheerde rekenkracht | N.b. (gewichten worden opgeslagen in Microsoft beheerde openbare registers) | N.v.t. (gewichten kunnen niet worden opgeslagen in uw eigen opslag) | Voor Hugging Face-modellen die beschikbaar zijn via Foundry, worden modelgewichten opgeslagen in Azure Storage, beheerd door Microsoft. Zie CMK-dekking in de gehele rekenstack voor meer informatie over de rekenstack en hostruntime. |
| Speech | ❌ Niet ondersteund | ✅ Ondersteund | Behandelt geüploade trainings- en testgegevens die gebruikmaken van Azure AI Spraak, batchtranscripties, realtime transcriptie met audio- en resultaatlogboekregistratie en aangepaste spraak. Tracegegevens zijn alleen beschikbaar als tracering is ingeschakeld voor het aangepaste eindpunt. |
| Language | ✅ Ondersteund | ✅ Ondersteund | Gegevens en modelgewichten worden opgeslagen met door Microsoft beheerde of door de klant beheerde sleutels wanneer u geen eigen opslagaccount gebruikt. |
| Inhoudskennis | n.v.t. | ✅ Ondersteund | Bring Your Own Storage is vereist voor het gebruik van de content understanding-mogelijkheid. |
| OpenAI-assistenten (afgeschaft) | ❌ Niet ondersteund | n.v.t. | Deze functie is afgeschaft en biedt geen ondersteuning voor CMK in preview. |
| Gekoppelde services, waaronder Azure AI Zoeken, Azure Logic Apps en Azure Functions | n.v.t. | n.v.t. | Configureer versleutelingssleutels afzonderlijk van uw Foundry-resource. Elke verbonden resource volgt een eigen levenscyclus voor versleutelingsbeheer. |
CMK-dekking in de hele computerstack
Door de klant beheerde sleutels beschermen klantgegevens die door Microsoft Foundry in rust worden opgeslagen. Foundry-mogelijkheden zijn afhankelijk van een beheerde rekeninfrastructuur voor het hosten van modellen, deductieverwerking, het afstemmen, batchdeductie en andere runtimebewerkingen.
Het is belangrijk om onderscheid te maken tussen:
- Permanente gegevensarchieven, waar klantinhoud wordt opgeslagen en CMK wordt afgedwongen in rust.
- Runtime-rekeninfrastructuur, waarmee AI-workloads worden uitgevoerd voor verwerking. Gegevens worden met een CMK ontsleuteld voor verwerking en met een CMK versleuteld wanneer ze worden teruggeschreven naar persistente dataopslag.
Rekenresources die worden gebruikt voor deductie, modelhosting, training en batchverwerking zijn per ontwerp kortstondig. Taakcontainers en tijdelijke opslag worden alleen ingericht voor de duur die nodig is om een workload uit te voeren en ze zijn niet bedoeld als langetermijnopslaglocaties voor klantgegevens. Geheugen en schijfruimte worden opgeschoond nadat de uitvoering van de rekentaak is voltooid. Wanneer compute-pods worden beëindigd, wordt alle tijdelijke toestand verwijderd.
Microsoft Foundry-workloads worden uitgevoerd in logisch geïsoleerde omgevingen die zijn gekoppeld aan een specifieke Foundry-resource. Klantcode, agentuitvoering en workloadruntimes delen geen uitvoeringscontainers met andere tenants. Runtimecache die de prestaties verbetert, is geïsoleerd op tenant- of resourceniveau en wordt niet gedeeld door verschillende klanten.
Als gevolg hiervan richt CMK-dekking zich op het beveiligen van klantgegevens die worden bewaard in opslagservices en door platform beheerde gegevensarchieven. De runtime-compute-infrastructuur wordt beschermd door door Microsoft beheerde versleuteling op platformniveau, workloadisolatie en controles voor tenantisolatie.
| Laag | Examples | Kortstondig | Levenscyclus van gegevens | CMK ingeschakeld |
|---|---|---|---|---|
| Permanente gegevensarchieven | Door Foundry beheerde opslag of Azure Storage-accounts die u beheert | Nee | Behouden totdat deze door u, door een bewaarbeleid of door het verwijderen van de resource wordt verwijderd | ✅ Ja |
| Foundry-artefacten | Project assets, gebruikersstatus, servicemetagegevens | Nee | Blijft bestaan totdat deze door u of de bijbehorende resource wordt verwijderd | ✅ Ja |
| Infrastructuur voor het hosten van modellen verfijnen | Modelverdienende clusters, containers, eindpuntinfrastructuur | Ja | CMK’s beveiligen bestanden en modelartefacten wanneer deze in opslag zijn. Tijdens de implementatie worden modelgewichten uitgepakt en geladen in door Microsoft beheerde serverinfrastructuur voor inferentie, en vervolgens verwijderd wanneer de implementatie wordt verwijderd. | ◐ Gedeeltelijk |
| Hostinfrastructuur voor beheerd rekenmodel | Modelverdienende clusters, containers, eindpuntinfrastructuur | Ja | Modelgewichten worden opgeslagen in door Foundry beheerde opslag en in het geheugen geïnstantieerd wanneer instanties voor modelserving worden ingericht. De kopieën in het geheugen zijn tijdelijk en gekoppeld aan de levenscyclus van de ondersteunende infrastructuur. De rekencache is niet versleuteld en is gekoppeld aan de levenscyclus van het knooppunt. | ◐ Gedeeltelijk |
| Runtime voor inferentie en uitvoering van agents | Prompt uitvoeren, genereren van tokens, hulpprogramma-aanroepen, runtimegeheugen, tijdelijke uitvoeringsstatus, caches | Partial | Staatloos in de context van de verwerking van inferentieverzoeken. Workloads worden uitgevoerd in logisch geïsoleerde omgevingen die zijn gekoppeld aan een Foundry-resource en worden niet gebruikt als duurzame opslaglocaties. Uitvoer van agentreacties, zoals gesprekken, kan versleuteld worden opgeslagen met een CMK als u uw eigen opslag meebrengt. | ◐ Gedeeltelijk (wanneer u uw eigen opslag meebrengt) |
| Trainingsruntime afstemmen | Rekenkracht, GPU's, tijdelijke werkmappen afstemmen | Ja | Trainingsgegevens worden versleuteld met CMK terwijl ze zijn opgeslagen in door Foundry beheerde opslag. Tijdens de training worden gegevens gekoppeld vanuit met CMK beveiligde Azure Storage en worden controlepunten en uiteindelijke modelartefacten teruggeschreven naar met CMK beveiligde opslag. Training maakt tijdelijke, lokale werkbestanden en caches die niet CMK-versleuteld zijn en blijven alleen voor de duur van de taak. | ◐ Gedeeltelijk |
Gegevensretentie en -verwijdering
Naast versleutelingsbesturingselementen behoudt u de controle over de levenscyclus van gegevens die worden beheerd door Microsoft Foundry. U kunt op elk gewenst moment gegevens over trainings-, validatie- en trainingsresultaten verwijderen die zijn geüpload via de Files-API. Op dezelfde manier kunt u nauwkeurig afgestemde modellen en implementaties permanent verwijderen wanneer u ze niet meer nodig hebt, waardoor beheerde assets die door de service worden beheerd, niet meer worden opgeslagen dan het beoogde gebruik. U kunt deze gegevens op elk gewenst moment verwijderen via de juiste DELETE-API-bewerkingen.
Gevolgen van het intrekken van een door de klant beheerde sleutel
U kunt de toegang tot een door de klant beheerde sleutel op elk gewenst moment intrekken, bijvoorbeeld door machtigingen voor de sleutel te verwijderen, de sleutel uit te schakelen of de sleutel te verwijderen. Wanneer u de toegang tot een actieve door de klant beheerde sleutel intrekt terwijl CMK ingeschakeld blijft, hebt u geen toegang meer tot gegevens die met die sleutel zijn versleuteld. Als gevolg hiervan mislukken bewerkingen waarvoor toegang tot versleutelde verfijningsassets is vereist, waaronder het downloaden van trainingsgegevens of trainingsresultaten, het maken van nieuwe, afgestemde modellen en het implementeren van nauwkeurig afgestemde modellen.
Eerder geïmplementeerde, nauwkeurig afgestemde modellen blijven deductieverkeer leveren, omdat modelartefacten tijdens de implementatie in de hostinginfrastructuur worden geladen. Deze implementaties blijven operationeel totdat ze worden verwijderd, waarna ze niet opnieuw kunnen worden gemaakt, tenzij u de toegang tot de door de klant beheerde sleutel herstelt.