Udostępnij za pośrednictwem

Konfigurowanie zasobu rozpoznawania mowy bring your own storage (BYOS)

  • Artykuł

Bring your own storage (BYOS) to technologia sztucznej inteligencji platformy Azure dla klientów, którzy mają wysokie wymagania dotyczące zabezpieczeń i prywatności danych. Podstawową technologią jest możliwość skojarzenia konta usługi Azure Storage, które użytkownik jest właścicielem i w pełni kontroluje zasób usługi Mowa. Zasób usługi Mowa następnie używa tego konta magazynu do przechowywania różnych artefaktów związanych z przetwarzaniem danych użytkownika, zamiast przechowywać te same artefakty w środowisku lokalnym usługi Mowa, co w regularnych przypadkach. Takie podejście umożliwia korzystanie ze wszystkich funkcji zabezpieczeń konta usługi Azure Storage, w tym szyfrowania danych przy użyciu kluczy zarządzanych przez klienta, używania prywatnych punktów końcowych w celu uzyskania dostępu do danych itp.

W scenariuszach byOS cały ruch między zasobem usługi Mowa a kontem magazynu jest utrzymywany przy użyciu globalnej sieci platformy Azure, innymi słowy, cała komunikacja jest wykonywana przy użyciu sieci prywatnej, całkowicie pomijając publiczny Internet. Zasób mowy w scenariuszu byOS korzysta z mechanizmu zaufanych usług platformy Azure w celu uzyskania dostępu do konta magazynu, korzystając z tożsamości zarządzanych przypisanych przez system jako metody uwierzytelniania i kontroli dostępu opartej na rolach (RBAC) jako metody autoryzacji.

Istnieje jeden wyjątek: jeśli używasz funkcji Zamiana tekstu na mowę, a zasób usługi Mowa i skojarzone konto usługi Storage znajdują się w różnych regionach świadczenia usługi Azure, publiczny Internet jest używany do operacji obejmujących sygnaturę dostępu współdzielonego delegowania użytkownika. Zobacz szczegóły w tej sekcji.

Usługa BYOS może być używana z kilkoma usługami azure AI. W przypadku mowy można go używać w następujących scenariuszach:

Zamiana mowy na tekst

Zamiana tekstu na mowę

Jeden zasób mowy — kombinacja konta magazynu może być używana dla wszystkich czterech scenariuszy jednocześnie we wszystkich kombinacjach.

W tym artykule opisano sposób tworzenia i obsługi zasobu rozpoznawania mowy z obsługą systemu BYOS oraz stosowania ich do wszystkich wymienionych scenariuszy. Zapoznaj się z informacjami specyficznymi dla scenariusza w odpowiednich artykułach.

Zasób rozpoznawania mowy z obsługą systemu BYOS: podstawowe reguły

Podczas planowania konfiguracji zasobów usługi Mowa z obsługą systemu BYOS należy wziąć pod uwagę następujące reguły:

  • Zasób mowy może być włączony tylko przez system BYOS podczas tworzenia. Nie można przekonwertować istniejącego zasobu usługi Mowa na usługę BYOS. Nie można przekonwertować zasobu mowy z obsługą systemu BYOS na "konwencjonalny" (inny niż BYOS).
  • Skojarzenie konta magazynu z zasobem usługi Mowa jest deklarowane podczas tworzenia zasobu usługi Mowa. Nie można go zmienić później. Oznacza to, że nie można zmienić konta magazynu skojarzonego z istniejącym zasobem rozpoznawania mowy z obsługą systemu BYOS. Aby użyć innego konta magazynu, musisz utworzyć inny zasób usługi Mowa z obsługą usługi BYOS.
  • Podczas tworzenia zasobu usługi Mowa z obsługą usługi BYOS można użyć istniejącego konta magazynu lub utworzyć je automatycznie podczas aprowizacji zasobów usługi Mowa (ta ostatnia jest prawidłowa tylko w przypadku korzystania z witryny Azure Portal).
  • Jedno konto magazynu może być skojarzone z wieloma zasobami usługi Mowa. Zalecamy używanie jednego konta usługi Storage na jeden zasób usługi Mowa.
  • Konto magazynu i powiązany zasób rozpoznawania mowy z obsługą systemu BYOS mogą znajdować się w tych samych lub różnych regionach świadczenia usługi Azure. Zalecamy użycie tego samego regionu w celu zminimalizowania opóźnienia. Z tego samego powodu nie zalecamy wybierania zbyt zdalnych regionów dla konfiguracji z wieloma regionami. (Na przykład nie zalecamy umieszczania konta magazynu w regionie Wschodnie stany USA i skojarzonego zasobu usługi Mowa w regionie Europa Zachodnia).

Tworzenie i konfigurowanie zasobu rozpoznawania mowy z obsługą systemu BYOS

W tej sekcji opisano sposób tworzenia zasobu usługi Mowa z obsługą usługi BYOS.

Żądanie dostępu do usługi BYOS dla subskrypcji platformy Azure

Musisz zażądać dostępu do funkcji byOS dla każdej subskrypcji platformy Azure, której planujesz używać. Aby zażądać dostępu, wypełnij i prześlij klucze zarządzane przez klienta usług Cognitive Services i Zastosowane klucze sztucznej inteligencji oraz formularz żądania dostępu do usługi Bring Your Own Storage. Poczekaj na zatwierdzenie żądania.

(Opcjonalnie) Sprawdzanie, czy subskrypcja platformy Azure ma dostęp do usługi BYOS

Możesz szybko sprawdzić, czy subskrypcja platformy Azure ma dostęp do usługi BYOS. Ta kontrola korzysta z funkcji w wersji zapoznawczej platformy Azure.

Ta funkcja nie jest dostępna w witrynie Azure Portal.

Uwaga

Możesz wyświetlić listę funkcji w wersji zapoznawczej dla danej subskrypcji platformy Azure, jak wyjaśniono w tym artykule, jednak należy pamiętać, że nie wszystkie funkcje w wersji zapoznawczej, w tym byOS, są widoczne w ten sposób.

Planowanie i przygotowywanie konta magazynu

Jeśli tworzysz zasób rozpoznawania mowy z obsługą usługi BYOS przy użyciu witryny Azure Portal, skojarzone konto magazynu można utworzyć automatycznie. W przypadku wszystkich innych metod aprowizacji (interfejs wiersza polecenia platformy Azure, programu PowerShell, żądania interfejsu API REST) należy użyć istniejącego konta magazynu.

Jeśli chcesz użyć istniejącego konta magazynu i nie zamierzasz używać metody witryny Azure Portal na potrzeby aprowizacji zasobów usługi Mowa z obsługą systemu BYOS, zwróć uwagę na następujące kwestie dotyczące tego konta magazynu:

  • Potrzebny jest pełny identyfikator zasobu platformy Azure konta usługi Storage. Aby uzyskać go, przejdź do konta magazynu w witrynie Azure Portal, a następnie wybierz menu Punkty końcowe w grupie Ustawienia . Skopiuj i zapisz wartość pola Identyfikator zasobu konta magazynu.
  • Aby w pełni skonfigurować usługę BYOS, musisz mieć co najmniej prawo właściciela zasobu dla wybranego konta magazynu.

Uwaga

Prawo właściciela zasobu konta magazynu lub nowsze nie jest wymagane do korzystania z zasobu mowy z włączoną obsługą systemu BYOS. Jednak jest to wymagane podczas jednorazowej konfiguracji początkowej konta magazynu na potrzeby użycia w scenariuszu byOS. Zobacz szczegóły w tej sekcji.

Tworzenie zasobu usługi Mowa z obsługą systemu BYOS

Przed podjęciem próby utworzenia zasobu usługi Mowa upewnij się, że subskrypcja platformy Azure jest włączona do korzystania z usługi BYOS. Zobacz tę sekcję.

Istnieją dwa sposoby tworzenia zasobu rozpoznawania mowy z obsługą systemu BYOS:

  • Za pomocą witryny Azure Portal.
  • Za pomocą interfejsu API usług Cognitive Services (program PowerShell, interfejs wiersza polecenia platformy Azure, żądanie REST).

Opcja witryny Azure Portal ma ściślejsze wymagania:

  • Konto używane do aprowizacji zasobów rozpoznawania mowy z obsługą systemu BYOS powinno mieć prawo właściciela subskrypcji.
  • Skojarzone z systemem BYOS konto magazynu powinno znajdować się tylko w tym samym regionie co zasób usługi Mowa.

Jeśli którekolwiek z tych dodatkowych wymagań nie pasuje do twojego scenariusza, użyj opcji interfejsu API usług Cognitive Services (program PowerShell, interfejs wiersza polecenia platformy Azure, żądanie REST).

Aby użyć dowolnej z powyższych metod, musisz mieć konto platformy Azure, które ma przypisaną rolę umożliwiającą tworzenie zasobów w ramach subskrypcji, takich jak Współautor subskrypcji.

Uwaga

Jeśli używasz witryny Azure Portal do tworzenia zasobu usługi Mowa z obsługą usługi BYOS, zalecamy wybranie opcji utworzenia nowego konta magazynu.

Aby utworzyć zasób rozpoznawania mowy z obsługą systemu BYOS w witrynie Azure Portal, musisz uzyskać dostęp do niektórych funkcji portalu w wersji zapoznawczej. Wykonaj następujące kroki:

  1. Przejdź do strony Tworzenie mowy przy użyciu tego linku.
  2. Zwróć uwagę na sekcję Konto magazynu w dolnej części strony.
  3. Wybierz pozycję Tak dla opcji Przynieś własny magazyn .
  4. Skonfiguruj wymagane ustawienia konta magazynu i kontynuuj tworzenie zasobów usługi Mowa.

Jeśli do tworzenia zasobu mowy z włączoną obsługą usługi BYOS użyto witryny Azure Portal, jest ona w pełni gotowa do użycia. Jeśli użyto innej metody, musisz wykonać przypisanie roli dla tożsamości zarządzanej zasobu usługi Mowa w zakresie skojarzonego konta magazynu. We wszystkich przypadkach należy również przejrzeć różne ustawienia konta magazynu związane z zabezpieczeniami danych. Zobacz tę sekcję.

(Opcjonalnie) Weryfikowanie konfiguracji zasobu usługi Mowa w usłudze BYOS

Zawsze możesz sprawdzić, czy dany zasób usługi Mowa jest włączony przez system BYOS i jakie jest skojarzone konto magazynu. Można to zrobić za pośrednictwem witryny Azure Portal lub interfejsu API usług Cognitive Services.

Aby sprawdzić konfigurację byOS zasobu usługi Mowa w witrynie Azure Portal, musisz uzyskać dostęp do niektórych funkcji portalu w wersji zapoznawczej. Wykonaj następujące kroki:

  1. Przejdź do strony Tworzenie mowy przy użyciu tego linku.
  2. Zamknij ekran Tworzenie mowy , naciskając X w prawym górnym rogu.
  3. Jeśli zostanie wyświetlony monit o zaakceptowanie niezapisanych zmian.
  4. Przejdź do zasobu usługi Mowa, który chcesz sprawdzić.
  5. Wybierz menu Magazyn w grupie Zarządzanie zasobami.
  6. Sprawdź, czy:
    1. Dołączone pole magazynu zawiera identyfikator zasobu platformy Azure skojarzonego z systemem BYOS konta magazynu.
    2. Typ tożsamości ma wybraną opcję Przypisane przez system.

Jeśli w grupie zarządzania zasobami brakuje elementu menu Magazyn, wybrany zasób usługi Mowa nie jest włączony przez system BYOS.

Konfigurowanie skojarzonego z systemem BYOS konta magazynu

Aby zapewnić wysoki poziom zabezpieczeń i prywatności danych, należy prawidłowo skonfigurować ustawienia skojarzonego z systemem BYOS konta magazynu. Jeśli nie użyto witryny Azure Portal do utworzenia zasobu rozpoznawania mowy z obsługą systemu BYOS, musisz również wykonać obowiązkowy krok przypisania roli.

Przypisywanie roli dostępu do zasobów

Ten krok jest obowiązkowy, jeśli nie użyto witryny Azure Portal do utworzenia zasobu usługi Mowa z obsługą systemu BYOS.

Usługa BYOS używa magazynu obiektów blob konta usługi Storage. W związku z tym tożsamość zarządzana zasobu usługi Mowa z obsługą systemu BYOS wymaga przypisania roli Współautor danych obiektu blob usługi Storage w zakresie skojarzonego z systemem BYOS konta magazynu.

Uwaga

Nie używaj przypisań ról niestandardowych zamiast wbudowanej roli Współautor danych obiektu blob usługi Storage.

Niepowodzenie tego działania najprawdopodobniej spowoduje trudne debugowanie błędów usługi i problemów związanych z uzyskiwaniem dostępu do skojarzonego z systemem BYOS konta magazynu.

Jeśli użyto witryny Azure Portal do utworzenia zasobu rozpoznawania mowy z włączoną usługą BYOS, możesz pominąć pozostałą część tej podsekcji. Przypisanie roli zostało już wykonane. W przeciwnym razie wykonaj następujące kroki.

Ważne

Aby wykonać operację w następnych krokach, musisz przypisać rolę Właściciel konta magazynu lub wyższego zakresu (na przykład Subskrypcja). Wszystko dlatego, że tylko rola Właściciel pozwala przypisywać role innym osobom. Więcej szczegółów można znaleźć tutaj.

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.
  2. Wybierz konto magazynu.
  3. Wybierz menu Kontrola dostępu (IAM) w okienku po lewej stronie.
  4. Wybierz pozycję Dodaj przypisanie roli w kafelku Udziel dostępu do tego zasobu .
  5. Wybierz pozycję Współautor danych obiektu blob usługi Storage w obszarze Rola , a następnie wybierz pozycję Dalej.
  6. Wybierz pozycję Tożsamość zarządzana w obszarze Członkowie>Przypisz dostęp do.
  7. Przypisz tożsamość zarządzaną zasobu usługi Mowa, a następnie wybierz pozycję Przejrzyj i przypisz.
  8. Po potwierdzeniu ustawień wybierz pozycję Przejrzyj i przypisz.

Konfigurowanie ustawień zabezpieczeń konta magazynu dla zamiany mowy na tekst

W tej sekcji opisano sposób konfigurowania ustawień zabezpieczeń konta magazynu, jeśli zamierzasz używać skojarzonego z systemem BYOS konta magazynu tylko w scenariuszach zamiany mowy na tekst. Jeśli używasz skojarzonego z systemem BYOS konta magazynu dla zamiany tekstu na mowę lub kombinacji zarówno zamiany mowy na tekst, jak i zamiany tekstu na mowę, użyj tej sekcji.

W przypadku zamiany mowy na tekst byOS używa zaufanego mechanizmu zabezpieczeń usług platformy Azure do komunikowania się z kontem usługi Storage. Mechanizm umożliwia ustawienie reguł dostępu do danych konta magazynu z ograniczeniami.

W przypadku wykonywania wszystkich akcji w sekcji konto usługi Storage znajduje się w następującej konfiguracji:

W efekcie konto usługi Storage staje się całkowicie "zablokowane" i może być dostępne tylko przez zasób usługi Mowa, który będzie mógł:

  • Pisanie artefaktów przetwarzania danych usługi Mowa (zobacz szczegóły w artykułach korespondentów)
  • Przeczytaj pliki, które były już obecne po zastosowaniu nowej konfiguracji. Na przykład źródłowe pliki audio dla transkrypcji usługi Batch lub pliki zestawu danych na potrzeby trenowania i testowania modelu niestandardowego.

Należy rozważyć tę konfigurację jako model, jeśli chodzi o bezpieczeństwo danych i dostosować je zgodnie z potrzebami.

Na przykład możesz zezwolić na ruch z wybranych publicznych adresów IP i sieci wirtualnych platformy Azure. Możesz również skonfigurować dostęp do konta usługi Storage przy użyciu prywatnych punktów końcowych (zobacz również ten samouczek), ponownie włączyć dostęp przy użyciu klucza konta usługi Storage, zezwolić na dostęp do innych zaufanych usług platformy Azure itp.

Uwaga

Używanie prywatnych punktów końcowych dla usługi Mowa nie jest wymagane do zabezpieczenia konta magazynu. Prywatne punkty końcowe dla usługi Mowa zabezpieczają kanały żądań interfejsu API rozpoznawania mowy i mogą być używane jako dodatkowy składnik w rozwiązaniu.

Ograniczanie dostępu do konta magazynu

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.
  2. Wybierz konto magazynu.
  3. W grupie Ustawienia w okienku po lewej stronie wybierz pozycję Konfiguracja.
  4. Wybierz pozycję Wyłączone , aby zezwolić na dostęp publiczny obiektu blob.
  5. Wybierz pozycję Wyłączone dla opcji Zezwalaj na dostęp do klucza konta magazynu
  6. Wybierz pozycję Zapisz.

Aby uzyskać więcej informacji, zobacz Zapobieganie anonimowemu publicznemu dostępowi do odczytu do kontenerów i obiektów blob oraz Zapobieganie autoryzacji klucza współdzielonego dla konta usługi Azure Storage.

Konfigurowanie zapory usługi Azure Storage

Po ograniczeniu dostępu do konta magazynu należy udzielić dostępu sieciowego do tożsamości zarządzanej zasobu usługi Mowa. Wykonaj następujące kroki, aby dodać dostęp do zasobu usługi Mowa.

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.

  2. Wybierz konto magazynu.

  3. W grupie Zabezpieczenia i sieć w okienku po lewej stronie wybierz pozycję Sieć.

  4. Na karcie Zapory i sieci wirtualne wybierz pozycję Włączone z wybranych sieci wirtualnych i adresów IP.

  5. Usuń zaznaczenie wszystkich pól wyboru.

  6. Upewnij się, że wybrano routing sieciowy firmy Microsoft.

  7. W sekcji Wystąpienia zasobów wybierz pozycję Microsoft.CognitiveServices/accounts jako typ zasobu i wybierz zasób usługi Mowa jako nazwę wystąpienia.

  8. Wybierz pozycję Zapisz.

    Uwaga

    Propagacja zmian sieci może potrwać do 5 minut.

Konfigurowanie ustawień zabezpieczeń konta magazynu dla zamiany tekstu na mowę

W tej sekcji opisano sposób konfigurowania ustawień zabezpieczeń konta magazynu, jeśli zamierzasz używać skojarzonego z systemem BYOS konta magazynu dla zamiany tekstu na mowę lub kombinacji zarówno zamiany mowy na tekst, jak i zamiany tekstu na mowę. Jeśli używasz skojarzonego z systemem BYOS konta magazynu dla usługi Mowa tylko do tekstu, użyj tej sekcji.

Uwaga

Zamiana tekstu na mowę wymaga bardziej zrelaksowanych ustawień zapory konta magazynu w porównaniu z zamianą mowy na tekst. Jeśli używasz zarówno mowy, jak i zamiany tekstu na mowę i potrzebujesz maksymalnie ograniczonych ustawień zabezpieczeń konta magazynu w celu ochrony danych, możesz rozważyć użycie różnych kont magazynu i odpowiednich zasobów usługi Mowa na potrzeby zadań zamiany mowy na tekst i tekst na mowę.

W przypadku wykonywania wszystkich akcji w sekcji konto usługi Storage znajduje się w następującej konfiguracji:

  • Dozwolony jest ruch w sieci zewnętrznej.
  • Dostęp do konta magazynu przy użyciu klucza konta magazynu jest zabroniony.
  • Dostęp do magazynu obiektów blob konta magazynu przy użyciu sygnatur dostępu współdzielonego (SAS) jest zabroniony. (Z wyjątkiem Sygnatura dostępu współdzielonego delegowania użytkownika)
  • Dostęp do zasobu rozpoznawania mowy z włączoną obsługą systemu BYOS jest dozwolony przy użyciu tożsamości zarządzanej przypisanej przez system zasobów i sygnatury dostępu współdzielonego delegowania użytkownika.

Są to najbardziej ograniczone ustawienia zabezpieczeń dla scenariusza zamiany tekstu na mowę. Można je dodatkowo dostosować zgodnie z potrzebami.

Ograniczanie dostępu do konta magazynu

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.
  2. Wybierz konto magazynu.
  3. W grupie Ustawienia w okienku po lewej stronie wybierz pozycję Konfiguracja.
  4. Wybierz pozycję Wyłączone , aby zezwolić na dostęp publiczny obiektu blob.
  5. Wybierz pozycję Wyłączone dla opcji Zezwalaj na dostęp do klucza konta magazynu
  6. Wybierz pozycję Zapisz.

Aby uzyskać więcej informacji, zobacz Zapobieganie anonimowemu publicznemu dostępowi do odczytu do kontenerów i obiektów blob oraz Zapobieganie autoryzacji klucza współdzielonego dla konta usługi Azure Storage.

Konfigurowanie zapory usługi Azure Storage

Niestandardowy neuronowy głos używa sygnatury dostępu współdzielonego delegowania użytkownika do odczytywania danych na potrzeby niestandardowego trenowania modelu neuronowego głosu. Wymaga to zezwolenia na dostęp ruchu sieciowego zewnętrznego do konta magazynu.

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.
  2. Wybierz konto magazynu.
  3. W grupie Zabezpieczenia i sieć w okienku po lewej stronie wybierz pozycję Sieć.
  4. Na karcie Zapory i sieci wirtualne wybierz pozycję Włączone ze wszystkich sieci.
  5. Wybierz pozycję Zapisz.

Konfigurowanie skojarzonego z systemem BYOS konta magazynu do użycia z usługą Speech Studio

Wiele operacji usługi Speech Studio , takich jak przekazywanie zestawu danych, trenowanie i testowanie modelu niestandardowego, nie wymaga żadnej specjalnej konfiguracji zasobu usługi Mowa z obsługą systemu BYOS.

Jeśli jednak musisz odczytywać dane przechowywane przy użyciu konta magazynu skojarzonego z systemem BYOS za pomocą interfejsu sieci Web usługi Speech Studio, musisz skonfigurować więcej ustawień skojarzonego z systemem BYOS konta magazynu. Na przykład wymagane jest wyświetlenie zawartości zestawu danych.

Konfigurowanie współużytkowania zasobów między źródłami (CORS)

Program Speech Studio musi mieć uprawnienia do wprowadzania żądań do magazynu obiektów blob skojarzonego z usługą Storage skojarzonego z systemem BYOS. Aby przyznać takie uprawnienie, należy użyć współużytkowania zasobów między źródłami (CORS). Wykonaj te czynności.

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.
  2. Wybierz konto magazynu.
  3. W grupie Ustawienia w okienku po lewej stronie wybierz pozycję Udostępnianie zasobów (CORS).
  4. Upewnij się, że wybrano kartę Blob Storage .
  5. Skonfiguruj następujący rekord:
    • Dozwolone źródła: https://speech.microsoft.com
    • Dozwolone metody: GET, OPTIONS
    • Dozwolone nagłówki: *
    • Uwidocznione nagłówki: *
    • Maksymalny wiek: 1000
  6. Wybierz pozycję Zapisz.

Ostrzeżenie

Pole Dozwolone źródła powinno zawierać adres URL bez końcowego ukośnika. Oznacza to, że powinien to być https://speech.microsoft.com, a nie https://speech.microsoft.com/. Dodanie końcowego ukośnika spowoduje, że program Speech Studio nie wyświetla szczegółów zestawów danych i testów modelu.

Konfigurowanie zapory usługi Azure Storage

Musisz zezwolić na dostęp do maszyny, na której uruchamiasz przeglądarkę przy użyciu usługi Speech Studio. Jeśli ustawienia zapory konta magazynu zezwalają na dostęp publiczny ze wszystkich sieci, możesz pominąć tę podsekcję. W przeciwnym razie wykonaj następujące kroki.

  1. Przejdź do witryny Azure Portal i zaloguj się na swoje konto platformy Azure.
  2. Wybierz konto magazynu.
  3. W grupie Zabezpieczenia i sieć w okienku po lewej stronie wybierz pozycję Sieć.
  4. W sekcji Zapora wprowadź adres IP maszyny, na której jest uruchamiana przeglądarka internetowa lub podsieć IP, do której należy adres IP maszyny.
  5. Wybierz pozycję Zapisz.

Następne kroki