Partilhar via

Criptografia de segurança de conteúdo do Azure AI de dados em repouso

  • Artigo

O Azure AI Content Safety criptografa automaticamente seus dados quando eles persistem na nuvem. A encriptação protege os seus dados e ajuda-o a cumprir os seus compromissos organizacionais de segurança e conformidade. Este artigo aborda como o Azure AI Content Safety lida com a criptografia de dados em repouso.

Sobre a criptografia de serviços de IA do Azure

O Azure AI Content Safety faz parte dos serviços de IA do Azure. Os dados dos serviços de IA do Azure são criptografados e descriptografados usando criptografia AES de 256 bits compatível com FIPS 140-2. A encriptação e a desencriptação são transparentes, o que significa que a encriptação e o acesso são geridos por si. Os dados estão protegidos por predefinição e não precisa de modificar o código ou as aplicações para tirar partido da encriptação.

Sobre o gerenciamento de chaves de criptografia

Por predefinição, a subscrição utiliza chaves de encriptação geridas pela Microsoft. Há também a opção de gerenciar sua assinatura com suas próprias chaves chamadas chaves gerenciadas pelo cliente (CMK). A CMK oferece uma maior flexibilidade para criar, rodar, desativar e revogar controlos de acesso. Também pode auditar as chaves de encriptação utilizadas para proteger os dados.

Chaves geridas pelo cliente com o Azure Key Vault

As chaves gerenciadas pelo cliente (CMK), também conhecidas como Bring your own key (BYOK), oferecem maior flexibilidade para criar, girar, desabilitar e revogar controles de acesso. Também pode auditar as chaves de encriptação utilizadas para proteger os dados.

Tem de utilizar o Azure Key Vault para armazenar as chaves geridas pelo cliente. Você pode criar suas próprias chaves e armazená-las em um cofre de chaves ou pode usar as APIs do Cofre de Chaves do Azure para gerar chaves. O recurso de serviços de IA do Azure e o cofre de chaves devem estar na mesma região e no mesmo locatário do Microsoft Entra, mas podem estar em assinaturas diferentes. Para obter mais informações sobre o Azure Key Vault, consulte O que é o Azure Key Vault?.

Para habilitar chaves gerenciadas pelo cliente, você também deve habilitar as propriedades Excluir suavemente e Não limpar no cofre de chaves.

Apenas as chaves RSA de tamanho 2048 são suportadas com a encriptação de serviços de IA do Azure. Para obter mais informações sobre chaves, consulte Chaves do Cofre de Chaves em Sobre chaves, segredos e certificados do Cofre de Chaves do Azure.

Habilite chaves gerenciadas pelo cliente para seu recurso

Para habilitar chaves gerenciadas pelo cliente no portal do Azure, siga estas etapas:

  1. Vá para o recurso de serviços de IA do Azure.
  2. À esquerda, selecione Criptografia.
  3. Em Tipo de criptografia, selecione Chaves gerenciadas pelo cliente, conforme mostrado na captura de tela a seguir.

Captura de ecrã do separador encriptação no portal do Azure.

Especificar uma chave

Depois de habilitar chaves gerenciadas pelo cliente, você pode especificar uma chave para associar ao recurso de serviços de IA do Azure.

Para especificar uma chave como um URI, siga estes passos:

  1. No portal do Azure, vá para o cofre da chave.

  2. Em Configurações, selecione Teclas.

  3. Selecione a chave desejada e, em seguida, selecione a chave para visualizar suas versões. Selecione uma versão chave para visualizar as configurações dessa versão.

  4. Copie o valor Key Identifier , que fornece o URI.

    Captura de ecrã da página do portal do Azure para uma versão chave. A caixa Identificador de Chave contém um espaço reservado para um URI de chave.

  5. Volte ao seu recurso de serviços de IA do Azure e selecione Criptografia.

  6. Em Chave de criptografia, selecione Inserir URI da chave.

  7. Cole o URI copiado na caixa URI de chave.

    Captura de ecrã da página Encriptação de um recurso de serviços de IA do Azure. A opção URI da tecla Enter está selecionada e a caixa URI da chave contém um valor.

  8. Em Subscrição, selecione a subscrição que contém o cofre de chaves.

  9. Guardar as suas alterações.

Atualizar a versão principal

Ao criar uma nova versão de uma chave, atualize o recurso de serviços de IA do Azure para usar a nova versão. Siga estes passos:

  1. Vá para seu recurso de serviços de IA do Azure e selecione Criptografia.
  2. Insira o URI para a nova versão da chave. Como alternativa, você pode selecionar o cofre de chaves e, em seguida, selecionar a chave novamente para atualizar a versão.
  3. Guardar as suas alterações.

Use uma chave diferente

Para alterar a chave que utiliza para encriptação, siga estes passos:

  1. Vá para seu recurso de serviços de IA do Azure e selecione Criptografia.
  2. Insira o URI da nova chave. Como alternativa, você pode selecionar o cofre de chaves e, em seguida, selecionar uma nova chave.
  3. Guardar as suas alterações.

Girar chaves gerenciadas pelo cliente

Você pode girar uma chave gerenciada pelo cliente no Cofre de chaves de acordo com suas políticas de conformidade. Quando a chave é girada, você deve atualizar o recurso de serviços de IA do Azure para usar o novo URI de chave. Para saber como atualizar o recurso para usar uma nova versão da chave no portal do Azure, consulte Atualizar a versão da chave.

Girar a chave não aciona a recriptografia de dados no recurso. Nenhuma ação adicional é necessária do usuário.

Revogar uma chave gerenciada pelo cliente

Para revogar o acesso a chaves gerenciadas pelo cliente, use o PowerShell ou a CLI do Azure. Para obter mais informações, consulte Azure Key Vault PowerShell ou Azure Key Vault CLI. Revogar o acesso bloqueia efetivamente o acesso a todos os dados no recurso de serviços de IA do Azure, porque a chave de criptografia é inacessível pelos serviços de IA do Azure.

Desativar chaves gerenciadas pelo cliente

Quando você desabilita chaves gerenciadas pelo cliente, seu recurso de serviços de IA do Azure é criptografado com chaves gerenciadas pela Microsoft. Para desativar as chaves gerenciadas pelo cliente, siga estas etapas:

  1. Vá para seu recurso de serviços de IA do Azure e selecione Criptografia.
  2. Selecione Microsoft Managed Keys>Save.

Quando você habilitou anteriormente as chaves gerenciadas pelo cliente, isso também habilitou uma identidade gerenciada atribuída ao sistema, um recurso do Microsoft Entra ID. Assim que a identidade gerenciada atribuída ao sistema estiver habilitada, esse recurso será registrado com a ID do Microsoft Entra. Depois de ser registrada, a identidade gerenciada terá acesso ao Cofre da Chave selecionado durante a configuração da chave gerenciada pelo cliente. Você pode saber mais sobre Identidades Gerenciadas.

Importante

Se você desabilitar as identidades gerenciadas atribuídas ao sistema, o acesso ao cofre de chaves será removido e todos os dados criptografados com as chaves do cliente não estarão mais acessíveis. Quaisquer recursos que dependam desses dados deixarão de funcionar.

Importante

Atualmente, as identidades gerenciadas não oferecem suporte a cenários entre diretórios. Quando você configura chaves gerenciadas pelo cliente no portal do Azure, uma identidade gerenciada é atribuída automaticamente sob as capas. Se, posteriormente, você mover a assinatura, o grupo de recursos ou o recurso de um diretório do Microsoft Entra para outro, a identidade gerenciada associada ao recurso não será transferida para o novo locatário, portanto, as chaves gerenciadas pelo cliente podem não funcionar mais. Para obter mais informações, consulte Transferindo uma assinatura entre diretórios do Microsoft Entra em Perguntas frequentes e Problemas conhecidos com identidades gerenciadas para recursos do Azure.

Próximos passos