Tradutor de criptografia de dados em repouso
O Translator criptografa automaticamente os dados carregados quando eles persistem na nuvem, ajudando a atingir suas metas organizacionais de segurança e conformidade.
Sobre a criptografia de serviços de IA do Azure
Os dados são criptografados e descriptografados usando criptografia AES de 256 bits compatível com FIPS 140-2. A encriptação e a desencriptação são transparentes, o que significa que a encriptação e o acesso são geridos por si. Os dados estão protegidos por predefinição e não precisa de modificar o código ou as aplicações para tirar partido da encriptação.
Sobre o gerenciamento de chaves de criptografia
Por predefinição, a subscrição utiliza chaves de encriptação geridas pela Microsoft. Se estiver a utilizar um escalão de preços que suporte chaves geridas pelo cliente, pode ver as definições de encriptação para o seu recurso na secção Encriptação do portal do Azure, conforme mostrado na imagem seguinte.
Para subscrições que suportam apenas chaves de encriptação geridas pela Microsoft, não terá uma secção Encriptação .
Chaves geridas pelo cliente com o Azure Key Vault
Por predefinição, a subscrição utiliza chaves de encriptação geridas pela Microsoft. Há também a opção de gerenciar sua assinatura com suas próprias chaves chamadas chaves gerenciadas pelo cliente (CMK). A CMK oferece uma maior flexibilidade para criar, rodar, desativar e revogar controlos de acesso. Também pode auditar as chaves de encriptação utilizadas para proteger os dados. Se a CMK estiver configurada para sua assinatura, a criptografia dupla será fornecida, o que oferece uma segunda camada de proteção, permitindo que você controle a chave de criptografia por meio do Cofre de Chaves do Azure.
Siga estas etapas para habilitar chaves gerenciadas pelo cliente para o Translator:
- Crie seu novo Tradutor regional ou recurso regional de serviços de IA do Azure. As chaves gerenciadas pelo cliente não funcionarão com um recurso global.
- Ative a Identidade Gerenciada no portal do Azure e adicione suas informações de chave gerenciadas pelo cliente.
- Crie um novo espaço de trabalho no Tradutor Personalizado e associe essas informações de assinatura.
Ativar as chaves geridas pelo cliente
Tem de utilizar o Azure Key Vault para armazenar as chaves geridas pelo cliente. Você pode criar suas próprias chaves e armazená-las em um cofre de chaves ou pode usar as APIs do Cofre de Chaves do Azure para gerar chaves. O recurso de serviços de IA do Azure e o cofre de chaves devem estar na mesma região e no mesmo locatário do Microsoft Entra, mas podem estar em assinaturas diferentes. Para obter mais informações sobre o Azure Key Vault, consulte O que é o Azure Key Vault?.
Um novo recurso de serviços de IA do Azure é sempre criptografado usando chaves gerenciadas pela Microsoft. Não é possível habilitar chaves gerenciadas pelo cliente no momento em que o recurso é criado. As chaves gerenciadas pelo cliente são armazenadas no Cofre de Chaves do Azure. O cofre de chaves deve ser provisionado com políticas de acesso que concedam permissões de chave à identidade gerenciada associada ao recurso de serviços de IA do Azure. A identidade gerenciada fica disponível assim que o recurso é criado.
Para saber como usar chaves gerenciadas pelo cliente com o Azure Key Vault para criptografia de serviços de IA do Azure, consulte:
Habilitar chaves gerenciadas pelo cliente também habilitará uma identidade gerenciada atribuída ao sistema, um recurso do Microsoft Entra ID. Assim que a identidade gerenciada atribuída ao sistema estiver habilitada, esse recurso será registrado com a ID do Microsoft Entra. Depois de ser registrada, a identidade gerenciada terá acesso ao Cofre da Chave selecionado durante a configuração da chave gerenciada pelo cliente. Você pode saber mais sobre Identidades Gerenciadas.
Importante
Se você desabilitar as identidades gerenciadas atribuídas ao sistema, o acesso ao cofre de chaves será removido e todos os dados criptografados com as chaves do cliente não estarão mais acessíveis. Quaisquer recursos que dependam desses dados deixarão de funcionar. Todos os modelos implantados também serão desimplantados. Todos os dados carregados serão excluídos do Tradutor Personalizado. Se as identidades geridas forem reativadas, o modelo não será reimplementado automaticamente.
Importante
Atualmente, as identidades gerenciadas não oferecem suporte a cenários entre diretórios. Quando você configura chaves gerenciadas pelo cliente no portal do Azure, uma identidade gerenciada é atribuída automaticamente sob as capas. Se, posteriormente, você mover a assinatura, o grupo de recursos ou o recurso de um diretório do Microsoft Entra para outro, a identidade gerenciada associada ao recurso não será transferida para o novo locatário, portanto, as chaves gerenciadas pelo cliente podem não funcionar mais. Para obter mais informações, consulte Transferindo uma assinatura entre diretórios do Microsoft Entra em Perguntas frequentes e Problemas conhecidos com identidades gerenciadas para recursos do Azure.
Armazenar chaves gerenciadas pelo cliente no Azure Key Vault
Para habilitar chaves gerenciadas pelo cliente, você deve usar um Cofre de Chaves do Azure para armazenar suas chaves. Você deve habilitar as propriedades Soft Delete e Do Not Purge no cofre de chaves.
Apenas as chaves RSA de tamanho 2048 são suportadas com a encriptação de serviços de IA do Azure. Para obter mais informações sobre chaves, consulte Chaves do Cofre de Chaves em Sobre chaves, segredos e certificados do Cofre de Chaves do Azure.
Nota
Se todo o cofre de chaves for excluído, seus dados não serão mais exibidos e todos os seus modelos serão desimplantados. Todos os dados carregados serão excluídos do Tradutor Personalizado.
Revogar o acesso a chaves gerenciadas pelo cliente
Para revogar o acesso a chaves gerenciadas pelo cliente, use o PowerShell ou a CLI do Azure. Para obter mais informações, consulte Azure Key Vault PowerShell ou Azure Key Vault CLI. Revogar o acesso bloqueia efetivamente o acesso a todos os dados no recurso de serviços de IA do Azure e seus modelos não serão implantados, pois a chave de criptografia está inacessível pelos serviços de IA do Azure. Todos os dados carregados também serão excluídos do Tradutor personalizado.