共用方式為

設定自備儲存體 (BYOS) 語音資源

  • 發行項

自備儲存體 (BYOS) 是 Azure AI 技術，適用於具有高資料安全性和隱私權需求的客戶。 技術的核心是能夠建立 Azure 儲存體帳戶的關聯性，讓使用者擁有並完全控制語音資源。 語音資源接著會使用此儲存體帳戶來儲存與使用者資料處理相關的不同成品，而不是在語音服務內部部署中儲存與一般案例相同的成品。 此方法允許使用 Azure 儲存體帳戶的所有安全性功能，包括使用客戶自控金鑰加密資料、使用私人端點來存取資料等等。

在 BYOS 案例中，語音資源和儲存體帳戶之間的所有流量都會使用 Azure 全域網路來維護，換句話說，所有通訊都是使用私人網路執行，完全略過公用網際網路。 BYOS 案例中的語音資源是使用 Azure 信任的服務機制來存取儲存體帳戶、依賴系統指派的受控識別作為驗證方法，以及角色型存取控制 (RBAC) 做為授權方法。

有一個例外狀況：如果您使用文字轉換語音，而您的語音資源和相關聯的儲存體帳戶位於不同的 Azure 區域中，則公用網際網路會用於涉及使用者委派 SAS 的作業。 請參閱本節中的詳細資料。

BYOS 可以搭配數個 Azure AI 服務使用。 針對語音，它可用於下列案例：

語音轉換文字

文字轉換語音

一個語音資源 – 儲存體帳戶組合可以同時用於所有組合中的所有四個案例。

本文說明如何建立及維護已啟用 BYOS 功能的語音資源，並適用於所有提及的案例。 請參閱對應文章中的案例特定資訊。

已啟用 BYOS 的語音資源：基本規則

規劃已啟用 BYOS 的語音資源設定時，請考慮下列規則：

  • 語音資源只能在建立期間啟用 BYOS。 現有的語音資源無法轉換為已啟用 BYOS。 已啟用 BYOS 的語音資源無法轉換成「傳統」資源 (非 BYOS)。
  • 語音資源建立期間會宣告與語音資源的儲存體帳戶關聯。 這項設定無法在往後進行變更。 也就是說，您無法變更哪些儲存體帳戶與已啟用 BYOS 的現有語音資源相關聯。 若要使用另一個儲存體帳戶，您必須建立另一個已啟用 BYOS 的語音資源。
  • 建立已啟用 BYOS 的語音資源時，您可以使用現有的儲存體帳戶，或在語音資源佈建期間自動建立一個帳戶 (後者只有在使用 Azure 入口網站時才有效)。
  • 一個儲存體帳戶可以與許多語音資源相關聯。 我們建議每一個語音資源使用一個儲存體帳戶。
  • 儲存體帳戶和已啟用 BYOS 的相關語音資源可以位於相同或不同的 Azure 區域中。 建議您使用相同的區域來將延遲降到最低。 基於相同的理由，我們不建議針對多重區域設定選取太遠端的區域。 (例如，我們不建議將儲存體帳戶放在美國東部，並將相關聯的語音資源放在西歐)。

建立及設定已啟用 BYOS 的語音資源

本節說明如何建立已啟用 BYOS 的語音資源。

要求 Azure 訂用帳戶的 BYOS 存取權

您必須針對您打算使用的每個 Azure 訂用帳戶要求 BYOS 功能的存取權。 若要要求存取權，請填寫並提交認知服務和套用的 AI 客戶管理密鑰，以及自備 儲存體 存取要求表單。 等候要求獲得核准。

（選擇性）檢查 Azure 訂用帳戶是否可以存取 BYOS

您可以快速檢查您的 Azure 訂用帳戶是否可存取 BYOS。 這項檢查會使用 Azure 的預覽功能 。

此功能無法透過 Azure 入口網站 取得。

注意

您可以檢視指定 Azure 訂用帳戶的預覽功能清單，如本文所述，但請注意，並非所有預覽功能，包括 BYOS 都以這種方式顯示。

規劃和準備儲存體帳戶

如果您使用 Azure 入口網站建立已啟用 BYOS 的語音資源，則可以自動建立相關聯的儲存體帳戶。 針對所有其他佈建方法 (Azure CLI、PowerShell、REST API 要求)，您必須使用現有的儲存體帳戶。

如果您想要使用現有的儲存體帳戶，而不想針對已啟用 BYOS 的語音資源佈建使用 Azure 入口網站方法，請注意下列關於此儲存體帳戶：

  • 您需要儲存體帳戶的完整 Azure 資源識別碼。 若要取得它，請瀏覽至 Azure 入口網站中的儲存體帳戶，然後從 [設定] 群組中選取 [端點] 功能表。 複製並儲存 [儲存體帳戶資源識別碼] 欄位的值。
  • 若要完整設定 BYOS，您至少需要所選儲存體帳戶的資源擁有者權限。

注意

不需要儲存體帳戶資源擁有者權限或更高版本，即可使用已啟用 BYOS 的語音資源。 不過，針對 BYOS 中的使用方式，儲存體帳戶的一次性初始設定期間是必要的。 請參閱本節中的詳細資料。

建立已啟用 BYOS 的語音資源

嘗試建立語音資源之前，請確定您的 Azure 訂用帳戶已啟用使用 BYOS。 請參閱本節。

有兩種方式可以建立已啟用 BYOS 的語音資源：

  • 使用 Azure 入口網站。
  • 使用認知服務 API (PowerShell、Azure CLI、REST 要求)。

Azure 入口網站選項具有更嚴格的需求：

  • 用於已啟用 BYOS 的語音資源佈建帳戶應該具有訂用帳戶擁有者的權限。
  • BYOS 相關聯的儲存體帳戶應該只位於與語音資源相同的區域中。

如果上述任何額外需求不符合您的案例，請使用認知服務 API 選項 (PowerShell、Azure CLI、REST 要求)。

若要使用上述任何方法，您需要獲指派角色的 Azure 帳戶，以允許在您的訂用帳戶中建立資源，例如 訂用帳戶參與者。

注意

如果您使用 Azure 入口網站建立已啟用 BYOS 的語音資源，建議您選取建立新儲存體帳戶的選項。

若要使用 Azure 入口網站建立已啟用 BYOS 的語音資源，您需要存取一些入口網站預覽功能。 執行下列步驟：

  1. 使用此連結瀏覽至 [建立語音] 頁面。
  2. 請注意頁面底部的 [儲存體帳戶] 區段。
  3. 針對 [自備儲存體] 選項選取 [是]。
  4. 設定必要的儲存體帳戶設定，並繼續建立語音資源。

如果您使用 Azure 入口網站來建立已啟用 BYOS 的語音資源，則它已完全可供使用。 如果您使用任何其他方法，則必須在相關聯的儲存體帳戶範圍內執行語音資源受控識別的角色指派。 在所有情況下，您也需要檢閱與資料安全性相關的不同儲存體帳戶設定。 請參閱本節。

(選擇性) 驗證語音資源 BYOS 設定

您一律可以檢查是否有任何指定的語音資源已啟用 BYOS，以及相關聯的 儲存體 帳戶。 您可以透過 Azure 入口網站或認知服務 API 來執行此動作。

若要使用 Azure 入口網站檢查語音資源的 BYOS 設定，您需要存取一些入口網站預覽功能。 執行下列步驟：

  1. 使用此連結瀏覽至 [建立語音] 頁面。
  2. 在右上角按 [X] 以關閉 [建立語音] 畫面。
  3. 如果系統要求同意捨棄未儲存的變更。
  4. 瀏覽至您想要檢查的語音資源。
  5. 選取 [資源管理] 群組中的 [儲存體] 功能表。
  6. 請檢查：
    1. [連結的儲存體] 欄位包含 BYOS 相關聯儲存體帳戶的 Azure 資源識別碼。
    2. [身分識別類型] 已選取 [系統指派]。

如果 [資源管理] 群組中遺漏 [儲存體] 功能表項目，則選取的語音資源未啟用 BYOS。

設定 BYOS 相關聯的儲存體帳戶

若要達到數據的高安全性和隱私權，您必須正確設定 BYOS 相關 儲存體 帳戶的設定。 如果您未使用 Azure 入口網站來建立已啟用 BYOS 的語音資源，您也必須執行角色指派的必要步驟。

指派資源存取角色

如果您未使用 Azure 入口網站來建立已啟用 BYOS 的語音資源，則此步驟是必要的。

BYOS 會使用儲存體帳戶的 Blob 儲存體。 因此，已啟用 BYOS 的語音資源受控識別需要在 BYOS 相關聯儲存體帳戶的範圍內的 儲存體 Blob 資料參與者 角色指派。

如果您使用 Azure 入口網站 來建立已啟用 BYOS 的語音資源，您可以略過此小節的其餘部分。 您的角色指派已完成。 否則，請遵循下列步驟。

重要

您必須獲指派 儲存體 帳戶或更高範圍的擁有者角色，才能在下一個步驟中執行作業。 這是因為只有擁有者角色才能指派角色給其他人。 請參閱此處的詳細資料。

  1. 前往 Azure 入口網站並登入 Azure 帳戶。
  2. 選取儲存體帳戶。
  3. 選取左窗格中的 [存取控制 （IAM） 選單。
  4. 在 [授與此資源存取權] 圖格中選取 [新增角色指派]。
  5. 選取 [角色] 底下的 [儲存體 Blob 資料參與者]，然後選取 [下一步]。
  6. 選取 [成員>指派存取權] 底下的 [受控識別]。
  7. 指派語音資源的受控識別，然後選取 [ 檢閱 + 指派]。
  8. 確認設定之後，選取 [檢閱 + 指派]。

設定適用於語音轉換文字的儲存體帳戶安全性設定

本節說明如何設定儲存體帳戶安全性設定，如果您只想針對語音轉換文字案例使用 BYOS 相關聯的儲存體帳戶。 如果您使用 BYOS 相關聯的儲存體帳戶進行文字轉換語音，或是語音轉換文字和文字轉換語音的組合，請使用本節。

針對語音轉換文字 BYOS，會使用受信任的 Azure 服務安全性機制來與儲存體帳戶通訊。 機制允許設定受限制的記憶體帳戶數據存取規則。

如果您在區段中執行所有動作，則 儲存體 帳戶位於下列組態中：

因此，您的儲存體帳戶實際上會完全「鎖定」，而且只能由您的語音資源存取，這可以：

  • 撰寫語音資料處理的成品 (請參閱對應文章中的詳細資料)，
  • 讀取套用新設定時已存在的檔案。 例如，批次謄寫的來源音訊檔案，或自訂模型定型和測試的資料集檔案。

視資料的安全性而定，您應該將此設定視為一種模式，並根據需求加以自訂。

例如，您可以允許來自所選公用IP位址和 Azure 虛擬網路的流量。 您也可以使用私人端點來設定 儲存體 帳戶的存取權（請參閱本教學課程），使用 儲存體 帳戶密鑰重新啟用存取權、允許存取其他 Azure 信任的服務等。

注意

不需要使用適用於語音的私人端點，就能保護儲存體帳戶。 適用於語音的私人端點可保護語音 API 要求的通道，並可作為解決方案中的額外元件。

限制對儲存體帳戶的存取權

  1. 前往 Azure 入口網站並登入 Azure 帳戶。
  2. 選取儲存體帳戶。
  3. 在左窗格中的 [設定] 群組中，選取 [組態]。
  4. 針對 [允許 Blob 公用存取] 選取 [已停用]。
  5. 針對 [允許記憶體帳戶金鑰存取] 選取 [停用]
  6. 選取 [儲存]。

如需詳細資訊，請參閱防止匿名公開讀取容器和 Blob，以及防止 Azure 儲存體 帳戶的共用密鑰授權。

設定 Azure 儲存體 防火牆

對儲存體帳戶有限制的存取權，您必須授與語音資源受控識別的網路存取權。 請遵循下列步驟來新增語音資源的存取權。

  1. 前往 Azure 入口網站並登入 Azure 帳戶。

  2. 選取儲存體帳戶。

  3. 在左窗格中的 [安全性 + 網路] 群組中，選取 [網路]。

  4. 在 [防火牆和虛擬網路] 索引標籤中，選取 [從選取的虛擬網路和 IP 位址啟用]。

  5. 取消全選核取方塊。

  6. 請確定已選取 [Microsoft 網路路由]。

  7. 在 [ 資源實例] 區段下，選取 [Microsoft.CognitiveServices/accounts ] 作為資源類型，然後選取您的語音資源作為實例名稱。

  8. 選取 [儲存]。

    注意

    網路變更最多可能需要 5 分鐘的時間才能傳播。

設定適用於文字轉換語音的儲存體帳戶安全性設定

本節說明如何設定儲存體帳戶安全性設定，如果您想要針對文字轉換語音使用 BYOS 相關聯的儲存體帳戶，或語音轉換文字和文字轉換語音語音的組合。 如果您只針對語音轉換文字使用 BYOS 相關聯的儲存體帳戶，請使用本節。

注意

相較於語音轉換文字，文字轉換語音需要更寬鬆的儲存體帳戶防火牆設定。 如果您使用語音轉換文字和文字到語音轉換，而且需要最大限制 儲存體 帳戶安全性設定來保護您的數據，則可以考慮使用不同的 儲存體 帳戶，以及語音轉換文字和文字到語音轉換工作的對應語音資源。

如果您在區段中執行所有動作，則 儲存體 帳戶位於下列組態中：

這些是文字到語音轉換案例所能限制的安全性設定。 您可以根據您的需求進一步自訂它們。

限制對儲存體帳戶的存取權

  1. 前往 Azure 入口網站並登入 Azure 帳戶。
  2. 選取儲存體帳戶。
  3. 在左窗格中的 設定 群組中，選取 [組態]。
  4. 針對 [允許 Blob 公用存取] 選取 [已停用]。
  5. 針對 [允許記憶體帳戶金鑰存取] 選取 [停用]
  6. 選取 [儲存]。

如需詳細資訊，請參閱防止匿名公開讀取容器和 Blob，以及防止 Azure 儲存體 帳戶的共用密鑰授權。

設定 Azure 儲存體 防火牆

自定義神經語音會使用 使用者委派 SAS 來讀取自定義神經語音模型定型的數據。 它需要允許外部網路流量存取儲存體帳戶。

  1. 前往 Azure 入口網站並登入 Azure 帳戶。
  2. 選取儲存體帳戶。
  3. 在左窗格中的 [安全性 + 網路] 群組中，選取 [網路]。
  4. 在 [防火牆與虛擬網路] 索引標籤上，選取 [從所有網路啟用]。
  5. 選取 [儲存]。

設定 BYOS 相關聯的儲存體帳戶以搭配 Speech Studio 使用

許多 語音 Studio 作業，例如數據集上傳，或自定義模型定型和測試不需要任何啟用 BYOS 功能的語音資源的特殊設定。

不過，如果您需要透過Speech Studio Web 介面讀取與 BYOS 相關聯的 儲存體 帳戶所儲存的數據，則必須設定更多與 BYOS 相關聯的 儲存體 帳戶設定。 例如，需要檢視資料集的內容。

設定跨原始來源資源共用 (CORS)

Speech Studio 需要對 BYOS 相關聯儲存體帳戶的 Blob 儲存體提出要求的權限。 若要授與這類權限，您可以使用跨原始來源資源分享 (CORS)。 請遵循下列步驟。

  1. 前往 Azure 入口網站並登入 Azure 帳戶。
  2. 選取儲存體帳戶。
  3. 在左窗格中的 [設定] 群組中，選取 [資源分享 (CORS)]。
  4. 確定已選取 [Blob 儲存體] 索引標籤。
  5. 設定下列記錄：
    • 允許的原始來源：https://speech.microsoft.com
    • 允許的方法：GET, OPTIONS
    • 允許的標頭：*
    • 公開的標頭：*
    • 存留期上限：1000
  6. 選取 [儲存]。

警告

允許的原始來源欄位應該包含不含尾端斜線的 URL。 也就是說，它應該是 https://speech.microsoft.com ，而不是 https://speech.microsoft.com/。 新增尾端斜線會導致 Speech Studio 未顯示資料集和模型測試的詳細資料。

設定 Azure 儲存體 防火牆

您必須允許電腦存取，您可以在其中使用 Speech Studio 執行瀏覽器。 如果您的 儲存體 帳戶防火牆設定允許來自所有網路的公用存取，您可以略過此小節。 否則，請遵循下列步驟。

  1. 前往 Azure 入口網站並登入 Azure 帳戶。
  2. 選取儲存體帳戶。
  3. 在左窗格中的 [安全性 + 網路] 群組中，選取 [網路]。
  4. 在 [防火牆] 區段中，輸入執行網頁瀏覽器的電腦 IP 位址，或該電腦所屬 IP 位址的 IP 子網路。
  5. 選取 [儲存]。

下一步