Azure AI Foundry를 사용한 암호화를 위한 고객 관리형 키
Azure AI Foundry 포털의 CMK(고객 관리형 키)는 데이터 암호화에 대한 향상된 제어를 제공합니다. CMK를 사용하면 사용자 고유의 암호화 키를 관리하여 보호 계층을 추가하고 규정 준수 요구 사항을 보다 효과적으로 충족할 수 있습니다.
Azure AI Foundry 포털의 암호화 정보
Azure Machine Learning 및 Azure AI 서비스를 기반으로 하는 Azure AI Foundry 계층 기본적으로 이러한 서비스는 Microsoft 관리형 암호화 키를 사용합니다.
허브 및 프로젝트 리소스는 Azure Machine Learning 작업 영역의 구현이며 전송 중 및 미사용 데이터를 암호화합니다. 더 자세한 내용은 Azure Machine Learning을 사용하여 데이터 암호화를 참조하세요.
Azure AI 서비스 데이터는 FIPS 140-2 호환 256비트 AES 암호화를 사용하여 암호화 및 복호화됩니다. 암호화 및 암호 해독은 투명하므로 암호화 및 액세스가 자동으로 관리됩니다. 데이터는 기본적으로 안전하며 암호화를 활용하기 위해 코드 또는 애플리케이션을 수정할 필요가 없습니다.
고객 관리형 키를 사용하는 경우 구독의 데이터 스토리지
허브 리소스는 고객 관리형 키를 사용할 때 Azure 구독에 메타데이터를 저장합니다. 데이터는 Azure Storage 계정, Azure Cosmos DB 리소스 및 Azure AI Search를 포함하는 Microsoft 관리 리소스 그룹에 저장됩니다.
Important
고객 관리형 키를 사용하는 경우 암호화된 데이터가 구독에 저장되기 때문에 구독에 대한 비용이 더 높아집니다. 비용을 예측하려면 Azure 가격 계산기를 사용합니다.
허브를 만들 때 제공하는 암호화 키는 Microsoft 관리형 리소스에 저장된 데이터를 암호화하는 데 사용됩니다. 동일한 허브를 사용하는 모든 프로젝트는 이름으로 azureml-rg-hubworkspacename_GUID식별되는 관리되는 리소스 그룹의 리소스에 데이터를 저장합니다. 프로젝트는 이러한 리소스와 상호 작용할 때 Microsoft Entra ID 인증을 사용합니다. 허브에 프라이빗 링크 엔드포인트가 있는 경우 관리되는 리소스에 대한 네트워크 액세스가 제한됩니다. 허브가 삭제되면 관리되는 리소스 그룹이 삭제됩니다.
다음 데이터는 관리되는 리소스에 저장됩니다.
| 서비스 | 사용 대상 | 예시 |
|---|---|---|
| Azure Cosmos DB | Azure AI 프로젝트 및 도구에 대한 메타데이터 저장 | 인덱스 이름, 태그; 흐름 만들기 타임스탬프; 배포 태그; 평가 메트릭 |
| Azure AI 검색 | Azure AI Foundry 콘텐츠를 쿼리하는 데 사용되는 인덱스를 저장합니다. | 모델 배포 이름을 기반으로 하는 인덱스 |
| Azure Storage Account | 사용자 지정 작업을 오케스트레이션하는 방법에 대한 지침을 저장합니다. | Azure AI Foundry 포털에서 만든 흐름의 JSON 표현 |
Important
Azure AI Foundry는 모델을 미세 조정하거나 흐름을 빌드하는 경우와 같이 Microsoft 구독에서 관리되는 Azure 컴퓨팅을 사용합니다. 해당 디스크는 Microsoft 관리형 키로 암호화됩니다. 컴퓨팅은 임시입니다. 즉, 작업이 완료된 후 가상 머신이 프로비전 해제되고 OS 디스크가 삭제됩니다. '코드' 환경에 사용되는 컴퓨팅 인스턴스 컴퓨터는 지속형입니다. OS 디스크에는 Azure Disk Encryption이 지원되지 않습니다.
(미리 보기) 고객 관리형 키를 사용할 때 암호화된 데이터의 서비스 쪽 스토리지
허브를 사용한 고객 관리형 키 암호화에 대한 새로운 아키텍처는 미리 보기로 제공되며 관리되는 리소스 그룹에 대한 종속성을 확인합니다. 이 새 모델에서 암호화된 데이터는 구독의 관리되는 리소스 대신 Microsoft 관리 리소스에 서비스 쪽에 저장됩니다. 메타데이터는 문서 수준 CMK 암호화를 사용하여 다중 테넌트 리소스에 저장됩니다. Azure AI Search 인스턴스는 고객별 및 각 허브에 대해 Microsoft 쪽에서 호스트됩니다. 전용 리소스 모델로 인해 Azure 비용은 허브 리소스를 통해 구독에 청구됩니다.
참고 항목
- 이 미리 보기 키 회전 및 사용자 할당 ID 기능은 지원되지 않습니다. 현재 서비스 쪽 암호화는 공용 네트워크 액세스가 사용하지 않도록 설정된 암호화 키를 저장하기 위해 Azure Key Vault를 참조하여 지원되지 않습니다.
- 미리 보기 서버 쪽 스토리지를 사용하는 경우 일시 삭제 보존 기간 동안 Azure 요금이 계속 발생합니다.
Azure Key Vault에서 고객 관리형 키 사용
고객 관리형 키를 저장하려면 Azure Key Vault를 사용해야 합니다. 사용자 고유의 키를 만들어 키 자격 증명 모음에 저장할 수도 있고, Azure Key Vault API를 사용하여 키를 생성할 수도 있습니다. Azure AI 서비스 리소스와 키 자격 증명 모음은 동일한 지역 및 동일한 Microsoft Entra 테넌트에 있어야 하지만 서로 다른 구독에 있을 수 있습니다. Azure Key Vault에 대한 자세한 내용은 Azure Key Vault란?을 참조하세요.
고객 관리형 키를 사용하도록 설정하려면 키가 포함된 키 자격 증명 모음이 다음 요구 사항을 충족해야 합니다.
- 키 자격 증명 모음에서 일시 삭제 및 제거 안 함 속성을 둘 다 사용하도록 설정해야 합니다.
- Key Vault 방화벽을 사용하는 경우 신뢰할 수 있는 Microsoft 서비스가 키 자격 증명 모음에 액세스하도록 허용해야 합니다.
- 키 자격 증명 모음에 대한 다음 권한을 허브 및 Azure AI Services 리소스의 시스템 할당 관리 ID에 부여해야 합니다. 키 가져오기, 키 래핑, 래핑 해제.
Azure AI Services에는 다음과 같은 제한 사항이 있습니다.
- 레거시 액세스 정책이 있는 Azure Key Vault만 지원됩니다.
- Azure AI 서비스 암호화에는 크기가 2048인 RSA 및 RSA-HSM 키만 지원됩니다. 키에 대한 자세한 내용은 Azure Key Vault 키, 비밀 및 인증서 정보의 Key Vault 키를 참조하세요.
Azure AI Services 리소스의 관리 ID 사용
Azure AI Services 또는 Azure OpenAI와 같은 Azure AI Services의 변형에 연결하는 경우 고객 관리형 키를 사용하기 위한 필수 조건으로 관리 ID를 사용하도록 설정해야 합니다.
- Azure AI 서비스 리소스로 이동합니다.
- 왼쪽의 리소스 관리에서 ID를 선택합니다.
- 시스템이 할당한 관리 ID 상태를 켜짐으로 전환합니다.
- 변경 내용을 저장하고 시스템이 할당한 관리 ID를 사용하도록 설정할지 확인합니다.
고객 관리형 키 사용
Azure AI Foundry는 Azure Machine Learning 작업 영역, Azure AI Services의 구현으로 허브를 기반으로 하며 Azure의 다른 리소스와 연결할 수 있습니다. 각 리소스에 대해 암호화를 구체적으로 설정해야 합니다.
고객 관리형 키 암호화는 각 Azure 리소스에 대해 비슷한 방식으로 Azure Portal을 통해 구성됩니다.
- Azure Portal에서 새 Azure 리소스를 만듭니다.
- 암호화 탭에서 암호화 키를 선택합니다.
또는 자동화를 위해 코드로서의 인프라 옵션을 사용합니다. Azure AI Foundry에 대한 예제 Bicep 템플릿은 Azure 빠른 시작 리포지토리에서 사용할 수 있습니다.
제한 사항
- 암호화를 위한 고객 관리형 키는 동일한 Azure Key Vault 인스턴스의 키로만 업데이트할 수 있습니다.
- 배포 후 허브는 Microsoft 관리형 키에서 고객 관리형 키로 전환하거나 그 반대로 전환할 수 없습니다.
- Azure AI 서비스 고객 관리형 키 요청 양식 은 Azure Speech 및 Content Moderator 기능과 함께 고객 관리형 키를 사용해야 합니다.
- 만들 때 구독의 Microsoft 관리 Azure 리소스 그룹에서 만든 리소스를 제공하거나 수정할 수 없습니다.
- 허브를 삭제하지 않고는 고객 관리형 키에 사용되는 Microsoft 관리형 리소스를 삭제할 수 없습니다.
- Speech 및 Content Moderator에는 Azure AI 서비스 고객 관리형 키 요청 양식이 계속 필요합니다.
- 서버 쪽 미리 보기를 사용하는 경우 일시 삭제 보존 기간 동안 Azure 요금이 계속 발생합니다.