共用方式為

Azure AI 內容安全性的待用資料加密

  • 發行項

Azure AI 內容安全性會在資料保存至雲端時自動加密資料。 加密可保護您的資料安全，並協助您符合組織安全性和合規性承諾。 本文涵蓋 Azure AI 內容安全性如何處理待用資料的加密。

關於 Azure AI 服務加密

Azure AI 內容安全性是 Azure AI 服務的一部分。 Azure AI 服務資料會使用符合 FIPS 140-2 規範的 256 位元 AES 加密進行加密和解密。 加密和解密是透明的，這表示系統會為您管理加密和存取。 根據預設，您的資料會受到保護，因此您無須修改程式碼或應用程式來利用加密功能。

關於加密金鑰管理

根據預設，您的訂用帳戶會使用由 Microsoft 管理的加密金鑰。 您也可以使用自己名為客戶自控金鑰 (CMK) 的金鑰來管理訂用帳戶。 CMK 可讓您以更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。

客戶管理的金鑰與 Azure Key Vault

客戶自控金鑰 (CMK) 也稱為自備金鑰 (BYOK)，可提供更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。

您必須使用 Azure Key Vault 來儲存客戶自控金鑰。 您可以建立自己的金鑰並將其儲存在金鑰保存庫中，或是使用 Azure Key Vault API 來產生金鑰。 Azure AI 服務資源和金鑰保存庫庫必須位於相同的區域和相同的 Microsoft Entra 租用戶中，但它們可以位於不同的訂用帳戶中。 如需 Azure Key Vault 的詳細資訊，請參閱什麼是 Azure Key Vault。

若要啟用客戶自控金鑰，您必須也在金鑰保存庫上啟用 [虛刪除] 和 [不要清除] 屬性。

Azure AI 服務加密只支援大小為 2048 的 RSA 金鑰。 如需金鑰的詳細資訊，請參閱關於 Azure Key Vault 金鑰、祕密和憑證中的 Key Vault 金鑰。

為資源啟用客戶自控金鑰

若要在 Azure 入口網站中啟用客戶自控金鑰，請遵循下列步驟：

  1. 移至您的 Azure AI 服務資源。
  2. 在左側，選取 [加密]。
  3. 在 [加密類型] 下，選取 [客戶自控金鑰]，如下列螢幕擷取畫面所示。

Azure 入口網站中加密索引標籤的螢幕擷取畫面。

指定金鑰

啟用客戶自控金鑰後，您可指定與 Azure AI 服務資源建立關聯的金鑰。

若要將金鑰指定為 URI，請遵循下列步驟：

  1. 在 Azure 入口網站中，前往您的金鑰保存庫。

  2. 在 [設定] 下方，選取 [金鑰]。

  3. 選取所需的金鑰，並選取金鑰以檢視其版本。 選取金鑰版本以檢視該版本的設定。

  4. 複製 [金鑰識別碼] 值，以提供 URI。

    此螢幕擷取畫面顯示金鑰版本的 Azure 入口網站頁面。[金鑰識別碼] 方塊包含金鑰 URI 的預留位置。

  5. 返回 Azure AI 服務資源，並選取 [加密]。

  6. 在 [加密金鑰] 下，選取 [輸入金鑰 URI]。

  7. 將複製的 URI 貼至 [金鑰 URI] 方塊中。

    Azure AI 服務資源的 [加密] 頁面的螢幕擷取畫面，其中已選取 [輸入金鑰 URI] 選項，且 [金鑰 URI] 方塊包含值。

  8. 在 [訂閱] 下，選取包含金鑰保存庫的訂閱。

  9. 儲存您的變更。

更新金鑰版本

當建立新版本的金鑰時，請更新 Azure AI 服務資源，以使用新的版本。 執行下列步驟:

  1. 前往 Azure AI 服務資源，並選取 [加密]。
  2. 輸入新金鑰版本的 URI。 或者，您可選取金鑰保存庫，並再次選取金鑰以更新版本。
  3. 儲存您的變更。

使用不同的金鑰

若要變更用於加密的金鑰，請遵循下列步驟：

  1. 前往 Azure AI 服務資源，並選取 [加密]。
  2. 輸入新金鑰的 URI。 或者，您也可選取金鑰保存庫，並選取新的金鑰。
  3. 儲存您的變更。

輪替客戶自控金鑰

您可根據您的合規性原則，在 Azure Key Vault 中輪替客戶自控金鑰。 輪替金鑰時，您必須更新 Azure AI 服務資源，以使用新的金鑰 URI。 若要了解如何更新資源以在 Azure 入口網站中使用新版本的金鑰，請參閱更新金鑰版本。

輪替金鑰不會觸發重新加密資源中的資料。 使用者不需要採取任何動作。

撤銷客戶自控金鑰

若要撤銷客戶自控金鑰的存取權，請使用 PowerShell 或 Azure CLI。 如需詳細資訊，請參閱 Azure Key Vault PowerShell 或 Azure Key Vault CLI。 撤銷存取權可有效封鎖 Azure AI 服務資源中所有資料的存取，因為 Azure AI 服務無法存取加密金鑰。

停用客戶自控金鑰

當停用客戶自控金鑰時，您的 Azure AI 服務資源就會使用 Microsoft 受控金鑰進行加密。 若要停用客戶自控金鑰，請遵循下列步驟：

  1. 前往 Azure AI 服務資源，並選取 [加密]。
  2. 選取 [Microsoft 自控金鑰]>[儲存]。

當您先前啟用客戶自控金鑰時，這也會啟用系統指派的受控識別，這是 Microsoft Entra ID 的功能。 啟用系統指派的受控識別之後，此資源將會向 Microsoft Entra 識別元註冊。 註冊之後，即會將在客戶自控金鑰設定期間選取的 Key Vault 存取權提供給受控識別。 您可以深入了解受控識別。

重要

如果您停用系統指派的受控識別，即會移除金鑰保存庫的存取權，且無法再存取使用客戶金鑰加密的任何資料。 需要使用此資料的所有功能都將停止運作。

重要

受控識別目前不支援跨目錄案例。 當在 Azure 入口網站中設定客戶自控金鑰時，系統會在幕後自動指派受控識別。 如果您後續將訂用帳戶、資源群組或資源從某個 Microsoft Entra 目錄移至另一個目錄，則與資源相關聯的受控識別不會傳輸到新的租用戶，因此客戶受控金鑰可能無法再運作。 如需詳細資訊，請參閱 Azure 資源受控識別常見問題集與已知問題 中的 在 Microsoft Entra 目錄之間移轉訂閱。

下一步