Compartir vía

Claves administradas por el cliente para procesos de cifrado

  • Artículo

Azure AI se basa en varios servicios de Azure. Aunque los datos de los clientes se almacenan de forma segura usando las claves de cifrado que Microsoft proporciona de manera predeterminada, usted puede mejorar su seguridad proporcionando sus propias claves (administradas por el cliente). Las claves que proporcione se almacenan de forma segura en Azure Key Vault.

Requisitos previos

  • Suscripción a Azure.
  • Una instancia de Azure Key Vault. El almacén de claves contiene las claves usadas para cifrar los servicios.
    • La instancia del almacén de claves debe habilitar la eliminación temporal y la protección de purga.
    • La identidad administrada de los servicios protegidos mediante una clave administrada por el cliente debe tener los permisos siguientes en el almacén de claves:
      • encapsular clave
      • desencapsular clave
      • get

¿Qué son las claves administradas por el cliente?

De manera predeterminada, Microsoft crea y administra sus recursos en una suscripción de Azure propiedad de Microsoft y utiliza una clave administrada por Microsoft para cifrar los datos.

Cuando usa una clave administrada por el cliente, estos recursos residen en su suscripción de Azure y se cifran con su propia clave. Aunque existan en su suscripción, estos recursos siguen siendo administrados por Microsoft. Se crean y configuran automáticamente al crear el área de trabajo de Azure AI.

Estos recursos administrados por Microsoft se encuentran en un nuevo grupo de recursos de Azure que se crea en la suscripción. Este grupo de recursos existe además del grupo de recursos de su proyecto. Contiene los recursos administrados por Microsoft con los que se usa la clave. El grupo de recursos se denomina mediante la fórmula de <Azure AI resource group name><GUID>. No es posible cambiar la nomenclatura de los recursos de este grupo de recursos administrados.

Sugerencia

Si el recurso de Azure AI usa un punto de conexión privado, este grupo de recursos también contendrá una instancia de Azure Virtual Network administrada por Microsoft. Esta red virtual se usa para proteger las comunicaciones entre los servicios administrados y el proyecto. No puede proporcionar su propia red virtual propia para usarla con los recursos administrados por Microsoft. Tampoco puede modificar la red virtual. Por ejemplo, no puede cambiar el rango de direcciones IP que usa.

Importante

Si la suscripción no tiene suficiente cuota para estos servicios, se producirá un error.

Importante

Cuando se usa una clave administrada por el cliente, los costos de la suscripción serán mayores, ya que estos recursos están en su suscripción. Puede usar la calculadora de precios de Azure para calcular los costos.

Advertencia

No elimine el grupo de recursos administrado ninguno de los recursos creados automáticamente en este grupo. Si necesita eliminar el grupo de recursos o los servicios administrados por Microsoft que contiene, deberá eliminar los recursos de Azure AI que lo utilizan. Los recursos del grupo de recursos se eliminan cuando se elimina el recurso de AI asociado.

Habilitar claves administradas del cliente

El proceso para habilitar las claves administradas por el cliente con Azure Key Vault para los servicios de Azure AI varía según el producto. Use estos vínculos para obtener instrucciones específicas de cada servicio:

Cómo se almacenan los datos de proceso

Azure AI usa recursos para la instancia de proceso y el proceso sin servidor al ajustar modelos o crear flujos. En la tabla siguiente se describen las opciones de proceso y cómo cifran los datos cada una de ellas:

Proceso Cifrado
Instancia de proceso El disco temporal local está cifrado.
Proceso sin servidor Disco del sistema operativo cifrado en Azure Storage con claves administradas por Microsoft. El disco temporal está cifrado.

instancia de proceso El disco del sistema operativo para la instancia de proceso se cifra con claves administradas por Microsoft en cuentas de almacenamiento administradas por Microsoft. Si el proyecto se creó con el hbi_workspace parámetro establecido en TRUE, el disco temporal local en la instancia de proceso se cifra con claves administradas por Microsoft. El cifrado de claves administradas por el cliente no se admite para discos del sistema operativo y discos temporales.

Proceso sin servidor El disco del sistema operativo de cada nodo de proceso almacenado en Azure Storage se cifra mediante claves administradas por Microsoft. Este destino de proceso es efímero y, por lo general, los clústeres se reducen verticalmente cuando no hay ningún trabajo en cola. La máquina virtual subyacente se desaprovisiona y el disco del sistema operativo se elimina. Azure Disk Encryption no se admite con el disco del sistema operativo.

Cada máquina virtual tiene también un disco local temporal para las operaciones del sistema operativo. Si quiere, puede usar el disco para almacenar temporalmente los datos de entrenamiento. Este entorno es de corta duración (solo dura el tiempo del trabajo), y la compatibilidad con el cifrado se limita únicamente a las claves administradas por el sistema.

Limitaciones

  • Las claves de cifrado no pasan del recurso de Azure AI a recursos dependientes, incluidos los servicios de Azure AI y Azure Storage cuando se configuran en el recurso de Azure AI. Debe establecer el cifrado específicamente en cada recurso.
  • La clave administrada por el cliente para el cifrado solo se puede actualizar a las claves de la misma instancia de Azure Key Vault.
  • Después de la implementación, no puede cambiar de claves administradas por Microsoft a claves administradas por el cliente o viceversa.
  • Los recursos que se crean en el grupo de recursos de Azure administrado por Microsoft en la suscripción no se pueden modificar ni se le pueden proporcionar en el momento de la creación como recursos existentes.
  • No se pueden eliminar los recursos administrados por Microsoft que se usan para las claves administradas por el cliente sin eliminar también el proyecto.

Contenido relacionado