Azure OpenAI 在 Microsoft Foundry 中建模靜態資料加密

備註

本文件指的是 Microsoft Foundry（經典版） 入口網站。

🔍 請參閱 Microsoft Foundry（新）文件 以了解新入口網站。

Azure OpenAI 會在資料保存至雲端時自動加密資料。 加密可保護您的資料安全，並協助您符合組織安全性和合規性承諾。 本文涵蓋 Azure OpenAI 如何處理靜態資料的加密，特別是訓練資料和微調模型。 如需如何處理、使用及儲存您向服務所提供資料的資訊，請參閱資料、隱私權和安全性一文。

關於 Azure OpenAI 加密

Azure OpenAI 數據會使用 符合 FIPS 140-2 規範 的 256 位 AES 加密進行加密和解密。 加密和解密是透明的，這表示系統會為您管理加密和存取。 根據預設，您的資料會受到保護，因此您無須修改程式碼或應用程式來利用加密功能。

關於加密金鑰管理

根據預設，您的訂用帳戶會使用由 Microsoft 管理的加密金鑰。 您也可以使用自己名為客戶自控金鑰 (CMK) 的金鑰來管理訂用帳戶。 CMK 可讓您以更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。

使用客戶自控金鑰搭配 Azure Key Vault

客戶自控金鑰 (CMK) 也稱為自備金鑰 (BYOK)，可提供更大的彈性來建立、輪替、停用及撤銷存取控制。 您也可稽核用來保護資料的加密金鑰。

您必須使用 Azure Key Vault 來儲存客戶自控金鑰。 您可以建立自己的金鑰並將其儲存在金鑰保存庫中，或是使用 Azure Key Vault API 來產生金鑰。 Azure OpenAI 資源和金鑰庫必須位於相同的區域和相同的 Microsoft Entra 租戶中，但可以在不同的訂閱中。 如需 Azure Key Vault 的詳細資訊，請參閱什麼是 Azure Key Vault。

若要啟用客戶管理的金鑰，包含金鑰的金鑰保存庫必須符合下列需求：

• 您必須在金鑰保存庫上同時啟用虛刪除和不要清除屬性。
• 如果您使用 Key Vault 防火牆，則必須允許受信任的 Microsoft 服務存取金鑰保存庫。
• 金鑰庫權限：
  • 如果你使用 Azure RBAC，，請將 Key Vault Crypto 服務加密使用者角色指派給受控身分識別。
  • 如果您使用 保存庫存取原則，請授與金鑰特定權限給系統指派或使用者指派的 Azure OpenAI 資源受控身份識別，包括取得、解包裹金鑰及包裹金鑰。

Azure OpenAI 加密僅支援大小為 2048 的 RSA 和 RSA-HSM 金鑰。 如需金鑰的詳細資訊，請參閱關於 Azure Key Vault 金鑰、祕密和憑證中的 Key Vault 金鑰。

啟用 Azure OpenAI 資源的受控識別

1. 移至您的 Azure OpenAI 資源。
2. 在左側的 [資源管理]下，選取 [身分識別]。
3. 將系統指派的管理身份狀態切換為 開啟 ，或新增使用者指派的管理身份。
4. 儲存您的變更。

授與受控身分識別金鑰保存庫權限

為 系統指派 或 使用者指派的管理身份 設定適當的權限，以存取金鑰庫。

1. 請前往 Azure 入口網站中的金鑰保存庫。
2. 選取 [存取控制 (IAM)]。
3. 選取 [+ 新增角色指派]。
4. 將 Key Vault Crypto 服務加密使用者角色指派給系統指派或使用者指派的 Azure OpenAI 資源受控身份識別。

在 Azure OpenAI 資源上啟用客戶自控金鑰

若要在 Azure 入口網站中啟用客戶自控金鑰，請遵循下列步驟：

1. 移至您的 Azure OpenAI 資源。

2. 在左側的 [資源管理]下，選取 [加密]。

3. 在 [加密類型] 下，選取 [客戶自控金鑰]，如下列螢幕擷取畫面所示。

   

指定金鑰

啟用客戶管理的金鑰之後，您可以指定要與 Azure OpenAI 資源建立關聯的金鑰。

以 URI 形式指定金鑰

若要將金鑰指定為 URI，請遵循下列步驟：

1. 在 Azure 入口網站中，前往您的金鑰保存庫。

2. 在 [物件] 下，選取 [金鑰]。

3. 選取所需的金鑰，並選取金鑰以檢視其版本。 選取金鑰版本以檢視該版本的設定。

4. 複製 [金鑰識別碼] 值，以提供 URI。

   

5. 返回您的 Azure OpenAI 資源，然後選取 [ 加密]。

6. 在 [加密金鑰] 下，選取 [輸入金鑰 URI]。

7. 將複製的 URI 貼至 [金鑰 URI] 方塊中。

   

8. 在 [訂閱] 下，選取包含金鑰保存庫的訂閱。

9. 儲存您的變更。

從金鑰保存庫選取金鑰

若要指定金鑰保存庫中的金鑰，請先確定您有包含金鑰的金鑰保存庫。 接著，依照下列步驟執行：

1. 移至您的 Azure OpenAI 資源，然後選取 [ 加密]。

2. 在 [加密金鑰] 下，選取 [從 Key Vault 選取]。

3. 選取包含您所要使用金鑰的金鑰保存庫。

4. 選取您要使用的金鑰。

   

5. 儲存您的變更。

更新金鑰版本

當您建立新版本的金鑰時，請更新 Azure OpenAI 資源以使用新版本。 請遵循下列步驟：

1. 移至您的 Azure OpenAI 資源，然後選取 [ 加密]。
2. 輸入新金鑰版本的 URI。 或者，您可選取金鑰保存庫，並再次選取金鑰以更新版本。
3. 儲存您的變更。

使用不同的金鑰

若要變更用於加密的金鑰，請遵循下列步驟：

1. 移至您的 Azure OpenAI 資源，然後選取 [ 加密]。
2. 輸入新金鑰的 URI。 或者，您也可選取金鑰保存庫，並選取新的金鑰。
3. 儲存您的變更。

輪替客戶自控金鑰

您可根據您的合規性原則，在 Azure Key Vault 中輪替客戶自控金鑰。 輪替金鑰時，您必須更新 Azure OpenAI 資源以使用新的金鑰 URI。 若要了解如何更新資源以在 Azure 入口網站中使用新版本的金鑰，請參閱更新金鑰版本。

輪替金鑰不會觸發重新加密資源中的資料。 使用者不需要採取任何動作。

撤銷客戶管理金鑰

您可以變更存取原則或變更金鑰保存庫上的權限，或刪除金鑰，藉此撤銷客戶自控加密金鑰。

若要變更登錄所用受控識別的存取原則，請執行 az-keyvault-delete-policy 命令：

az keyvault delete-policy \
  --resource-group <resource-group-name> \
  --name <key-vault-name> \
  --key_id <key-vault-key-id>

若要刪除個別的金鑰版本，請執行 az-keyvault-key-delete 命令。 此作業需要「金鑰/刪除」權限。

az keyvault key delete  \
  --vault-name <key-vault-name> \
  --id <key-ID>                     

這很重要

在 CMK 仍處於啟用狀態時，撤銷對作用中客戶管理金鑰的存取權限將會阻止定型資料和結果檔案的下載、新模型的微調，以及微調模型的部署。 不過，先前部署的微調模型將會繼續運作並提供服務，直到刪除這些部署為止。

刪除訓練、驗證和訓練結果資料

這個檔案 API 可讓客戶上傳其訓練資料，以便微調模型。 資料會儲存在與資源相同區域中的 Azure 儲存體中，並以邏輯方式與其 Azure 訂用帳戶和 API 認證隔離。 使用者可以透過 DELETE API 作業來刪除上傳的檔案。

刪除微調的模型和部署

微調 API 可讓客戶根據您已透過檔案 API 上傳至服務的定型資料，從而建立自己的 OpenAI 模型微調版本。 經過訓練和微調的模型會儲存在相同區域的 Azure 儲存體內，在靜止狀態下使用加密（由 Microsoft 管理的金鑰或客戶自行管理的金鑰），並透過與其 Azure 訂用帳戶和 API 憑證進行邏輯隔離。 您可以藉由呼叫刪除 API 作業來刪除微調的模型和部署。

停用客戶管理金鑰

當您停用客戶管理的密鑰時，Azure OpenAI 資源接著會使用Microsoft管理的密鑰加密。 若要停用客戶自控金鑰，請遵循下列步驟：

1. 移至您的 Azure OpenAI 資源，然後選取 [ 加密]。
2. 選取 [Microsoft 自控金鑰]>[儲存]。

當您先前啟用客戶自控金鑰時，這也會啟用系統指派的受控識別，這是 Microsoft Entra ID 的功能。 啟用系統指派的受控識別之後，此資源將會向 Microsoft Entra 識別元註冊。 在註冊之後，受管理的身份將獲得在客戶自控金鑰設定期間選取的金鑰保存庫的存取權。 您可以深入了解受控識別。

這很重要

如果您停用系統指派的受控識別，即會移除金鑰保存庫的存取權，且無法再存取使用客戶金鑰加密的任何資料。 需要使用此資料的所有功能都將停止運作。

這很重要

受管理的身分識別目前不支援跨目錄情境。 當在 Azure 入口網站中設定客戶自控金鑰時，系統會在幕後自動指派受控識別。 如果您後續將訂用帳戶、資源群組或資源從某個 Microsoft Entra 目錄移至另一個目錄，則與資源相關聯的受控識別不會傳輸到新的租用戶，因此客戶受控金鑰可能無法再運作。 如需詳細資訊，請參閱 Azure 資源受控識別常見問題集與已知問題 中的 在 Microsoft Entra 目錄之間移轉訂閱。

後續步驟

• 深入了解 Azure Key Vault