待用數據的語言服務加密
語言服務會在數據保存至雲端時自動加密數據。 語言服務加密可保護您的數據，並協助您符合組織安全性和合規性承諾。
關於 Azure AI 服務加密
數據會使用符合 FIPS 140-2 規範的 256 位 AES 加密進行加密和解密。 加密和解密是透明的，這表示加密和存取會為您管理。 根據預設，您的資料會受到保護，因此您無須修改程式碼或應用程式來利用加密功能。
關於加密金鑰管理
根據預設，您的訂用帳戶會使用由 Microsoft 管理的加密金鑰。 此外，您也可以使用您自己名為客戶自控金鑰 (CMK) 的金鑰，來管理您的訂用帳戶。 CMK 可讓您以更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。
使用 Azure 金鑰保存庫 的客戶自控金鑰
您也可以選擇使用您自己的金鑰來管理您的訂用帳戶。 客戶管理的金鑰 （CMK），也稱為自備密鑰 （BYOK），提供更大的彈性來建立、輪替、停用和撤銷訪問控制。 您也可稽核用來保護資料的加密金鑰。
您必須使用 Azure 金鑰保存庫 來儲存客戶管理的金鑰。 您可以建立自己的金鑰，並將其儲存在金鑰保存庫中，也可以使用 Azure 金鑰保存庫 API 來產生金鑰。 Azure AI 服務資源和密鑰保存庫必須位於相同的區域和相同的 Microsoft Entra 租使用者中，但它們可以位於不同的訂用帳戶中。 如需 Azure 金鑰保存庫 的詳細資訊，請參閱什麼是 Azure 金鑰保存庫？。
啟用客戶管理的金鑰
一律使用 Microsoft 受控的金鑰，加密新的 Azure AI 服務資源。 在建立資源時，無法啟用客戶管理的金鑰。 客戶自控金鑰會儲存在 Azure Key Vault 中，且必須使用存取原則來佈建金鑰保存庫，以將金鑰權限授與和 Azure AI 服務資源建立關聯的受控識別。 只有在使用 CMK 的定價層建立資源之後，才能使用受控識別。
若要了解如何在 Azure Key Vault 使用客戶自控金鑰進行 Azure AI 服務加密，請參閱：
啟用客戶管理的金鑰也會啟用系統指派的受控識別，這是 Microsoft Entra ID 的功能。 啟用系統指派的受控識別之後，此資源將會向 Microsoft Entra 識別元註冊。 註冊之後，受控識別會獲得客戶管理密鑰設定期間所選取 金鑰保存庫的存取權。 您可以深入瞭解 受控識別。
重要
如果您停用系統指派的受控識別，將會移除密鑰保存庫的存取權，且使用客戶密鑰加密的任何資料將無法再存取。 任何相依於此數據的功能都會停止運作。
重要
受控識別目前不支援跨目錄案例。 當您在 Azure 入口網站 中設定客戶管理的金鑰時，受控識別會在涵蓋範圍下自動指派。 如果您後續將訂用帳戶、資源群組或資源從某個 Microsoft Entra 目錄移至另一個目錄，則與資源相關聯的受控識別不會傳輸到新的租使用者，因此客戶管理的密鑰可能無法再運作。 如需詳細資訊，請參閱在常見問題中的 Microsoft Entra 目錄之間傳輸訂用帳戶，以及 Azure 資源的受控識別已知問題。
將客戶管理的金鑰儲存在 Azure 金鑰保存庫
若要啟用客戶管理的金鑰，您必須使用 Azure 金鑰保存庫 來儲存金鑰。 您必須在金鑰保存庫上啟用 虛刪除 和 [不要清除 ] 屬性。
Azure AI 服務加密只支援大小為 2048 的 RSA 金鑰。 如需金鑰的詳細資訊，請參閱關於 Azure 金鑰保存庫 金鑰、秘密和憑證中的 金鑰保存庫 金鑰。
輪替客戶管理的金鑰
您可以根據您的合規性政策，在 Azure 中輪替客戶管理的密鑰 金鑰保存庫。 輪替金鑰時，您必須更新 Azure AI 服務資源，以使用新的金鑰 URI。 若要瞭解如何更新資源以使用 Azure 入口網站 中的新版密鑰，請參閱使用 Azure 入口網站 設定 Azure AI 服務客戶管理的金鑰中的金鑰版本一節。
輪替金鑰不會觸發資源中的數據重新加密。 使用者不需要採取進一步的動作。
撤銷客戶自控金鑰的存取權
若要撤銷客戶管理的密鑰存取權，請使用 PowerShell 或 Azure CLI。 如需詳細資訊，請參閱 Azure 金鑰保存庫 PowerShell 或 Azure 金鑰保存庫 CLI。 撤銷存取權可有效封鎖 Azure AI 服務資源中所有資料的存取，因為 Azure AI 服務無法存取加密金鑰。