Klucze zarządzane przez klienta do szyfrowania

Ta strona zawiera omówienie kluczy zarządzanych przez klienta na potrzeby szyfrowania. Niektóre usługi i dane obsługują dodawanie klucza zarządzanego przez klienta, aby chronić i kontrolować dostęp do zaszyfrowanych danych. Usługę zarządzania kluczami w chmurze można użyć do obsługi klucza szyfrowania zarządzanego przez klienta.

Usługa Azure Databricks obsługuje klucze zarządzane przez klienta z magazynów usługi Azure Key Vault i zarządzane moduły HSM usługi Azure Key Vault (sprzętowe moduły zabezpieczeń).

Przypadki użycia klucza zarządzanego przez klienta

Usługa Azure Databricks ma trzy kluczowe funkcje zarządzane przez klienta dla różnych typów danych:

• Klucze zarządzane przez klienta dla dysków zarządzanych platformy Azure
• Zarządzane przez klienta klucze do usług zarządzanych
• Klucze zarządzane przez klienta dla katalogu głównego DBFS

W poniższej tabeli wymieniono funkcje klucza zarządzanego przez klienta, dla których typów danych są używane.

Aby uzyskać dodatkowe zabezpieczenia dla instancji konta magazynowego przestrzeni roboczej w ramach subskrypcji platformy Azure, możesz włączyć obsługę podwójnego szyfrowania i zapory sieciowej. Zobacz, jak skonfigurować podwójne szyfrowanie dla katalogu głównego systemu plików DBFS i jak włączyć obsługę zapory dla konta magazynu przestrzeni roboczej.

Bezserwerowe klucze obliczeniowe i klucze zarządzane przez klienta

Databricks SQL Serverless obsługuje:

• Klucze i usługi zarządzane przez klienta dla zapytań i historii zapytań w Databricks SQL.

• Klucze zarządzane przez klienta dla przechowywania głównego DBFS w wynikach Databricks SQL.

  Klucze zarządzane przez klienta dla magazynu dysków zarządzanych nie mają zastosowania do zasobów obliczeniowych serverless. Dyski dla bezserwerowych zasobów obliczeniowych są krótkotrwałe i powiązane z cyklem życia obciążenia bezserwerowego. Gdy zasoby obliczeniowe są zatrzymywane lub skalowane w dół, maszyny wirtualne i ich magazyn są niszczone.

Modelowa obsługa

Zasoby obsługujące model — funkcja obliczeniowa bezserwerowa — zazwyczaj należą do dwóch kategorii:

• Zasoby tworzone dla modelu są przechowywane w magazynie głównym obszaru roboczego. Obejmuje to artefakty modelu i metadane wersji. Zarówno rejestr modelu obszaru roboczego, jak i MLflow używają tego magazynu. Ten magazyn można skonfigurować tak, aby używał kluczy zarządzanych przez klienta.
• Zasoby tworzone przez usługę Azure Databricks bezpośrednio w Twoim imieniu obejmują obraz modelu i efemeryczny magazyn obliczeniowy bezserwerowy. Są one szyfrowane przy użyciu kluczy zarządzanych przez usługę Databricks i nie obsługują kluczy zarządzanych przez klienta.