語言服務待用資料加密
將資料保存至雲端時，語言服務會自動加密資料。 語言服務加密可確保資料的安全，並協助您符合組織安全性和法務遵循承諾。
關於 Azure AI 服務加密
資料的加密和解密會使用符合 FIPS 140-2 規範的 256 位元 AES 加密。 加密和解密是透明的，這表示系統會為您管理加密和存取。 根據預設，您的資料會受到保護，因此您無須修改程式碼或應用程式來利用加密功能。
關於加密金鑰管理
根據預設，您的訂用帳戶會使用由 Microsoft 管理的加密金鑰。 此外，您也可以使用您自己名為客戶自控金鑰 (CMK) 的金鑰，來管理您的訂用帳戶。 CMK 可讓您以更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。
客戶管理的金鑰與 Azure Key Vault
此外，您也可以使用自己的金鑰管理訂閱。 客戶自控金鑰 (CMK) 也稱為自備金鑰 (BYOK)，可提供更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。
您必須使用 Azure Key Vault 來儲存客戶自控金鑰。 您可以建立自己的金鑰並將其儲存在金鑰保存庫中，或是使用 Azure Key Vault API 來產生金鑰。 Azure AI 服務資源和金鑰保存庫庫必須位於相同的區域和相同的 Microsoft Entra 租用戶中，但它們可以位於不同的訂用帳戶中。 如需 Azure Key Vault 的詳細資訊，請參閱什麼是 Azure Key Vault。
啟用客戶管理的金鑰
一律使用 Microsoft 受控的金鑰，加密新的 Azure AI 服務資源。 建立資源時，無法啟用客戶自控金鑰。 客戶自控金鑰會儲存在 Azure Key Vault 中，且必須使用存取原則來佈建金鑰保存庫，以將金鑰權限授與和 Azure AI 服務資源建立關聯的受控識別。 您必須先使用 CMK 的定價層建立資源，才可以使用受控識別。
若要了解如何在 Azure Key Vault 使用客戶自控金鑰進行 Azure AI 服務加密，請參閱：
啟用客戶自控金鑰也會啟用系統指派的受控識別，這是 Microsoft Entra ID 的功能。 一旦啟用系統指派的受控識別後，就會向 Microsoft Entra ID 註冊此資源。 註冊之後，即會將在客戶自控金鑰設定期間選取的 Key Vault 存取權提供給受控識別。 您可以深入了解受控識別。
重要
如果您停用系統指派的受控識別，即會移除金鑰保存庫的存取權，且無法再存取使用客戶金鑰加密的任何資料。 需要使用此資料的所有功能都將停止運作。
重要
受控識別目前不支援跨目錄案例。 當在 Azure 入口網站中設定客戶自控金鑰時，系統會在幕後自動指派受控識別。 如果您後續將訂用帳戶、資源群組或資源從某個 Microsoft Entra 目錄移至另一個目錄，則與資源相關聯的受控識別不會傳輸到新的租用戶，因此客戶受控金鑰可能無法再運作。 如需詳細資訊，請參閱 Azure 資源受控識別常見問題集與已知問題中的在 Microsoft Entra 目錄之間移轉訂閱。
將客戶自控金鑰儲存在 Azure Key Vault
若要啟用客戶自控金鑰，您必須使用 Azure Key Vault 儲存自己的金鑰。 您必須在金鑰保存庫上同時啟用虛刪除和不要清除屬性。
Azure AI 服務加密只支援大小為 2048 的 RSA 金鑰。 如需金鑰的詳細資訊，請參閱關於 Azure Key Vault 金鑰、祕密和憑證中的 Key Vault 金鑰。
輪替客戶自控金鑰
您可以根據您的合規性原則，在 Azure Key Vault 中輪替客戶管理的金鑰。 輪替金鑰時，您必須更新 Azure AI 服務資源，以使用新的金鑰 URI。 若要瞭解如何更新資源以在 Azure 入口網站中使用新版金鑰，請參閱使用 Azure 入口網站設定 Azure AI 服務的客戶自控金鑰中的更新金鑰版本一節。
輪替金鑰不會觸發重新加密資源中的資料。 使用者不需要採取任何進一步的動作。
撤銷客戶自控金鑰的存取權
若要撤銷客戶自控金鑰的存取權，請使用 PowerShell 或 Azure CLI。 如需詳細資訊，請參閱 Azure Key Vault PowerShell 或 Azure Key Vault CLI。 撤銷存取權可有效封鎖 Azure AI 服務資源中所有資料的存取，因為 Azure AI 服務無法存取加密金鑰。