Chaves gerenciadas pelo cliente para serviços gerenciados

Para ter controle adicional de seus dados, adicione sua própria chave para proteger e controlar o acesso a alguns tipos de dados. O Azure Databricks tem três recursos de chave gerenciados pelo cliente para diferentes tipos de dados e locais. Para compará-las, veja chaves gerenciadas pelo cliente para criptografia.

Os dados de serviços gerenciados no plano de controle do Azure Databricks são criptografados em repouso. É possível adicionar uma chave gerenciada pelo cliente para serviços gerenciados a fim de ajudar a proteger e controlar o acesso aos seguintes tipos de dados criptografados:

• Fonte do notebook no plano de controle do Azure Databricks
• Os resultados de notebooks executados interativamente (não como trabalhos) armazenados no plano de controle. Por padrão, resultados maiores também são armazenados no bucket raiz do workspace. É possível configurar o Azure Databricks para armazenar todos os resultados de notebook interativos na sua conta de nuvem.
• Segredos armazenados pelas APIs do gerenciador de segredos.
• Painéis de IA/BI.
• Espaços Genie de IA/BI.
• Consultas e histórico de consultas do SQL do Databricks.
• Tokens de acesso pessoal (PAT) ou outras credenciais usadas para configurar a integração do Git com as pastas Git do Databricks.

Depois de adicionar uma chave gerenciada pelo cliente para criptografia de serviços gerenciados para um workspace, o Azure Databricks usará sua chave para controlar o acesso à chave que criptografa futuras operações de gravação nos dados de serviços gerenciados do seu workspace. Os dados existentes não são criptografados novamente. A chave de criptografia de dados é armazenada em cache na memória para várias operações de leitura e gravação e é removida da memória em um intervalo regular. Novas solicitações para esses dados exigem outra solicitação para o sistema de gerenciamento de chaves do serviço de nuvem. Ao excluir ou revogar sua chave, ocorrerá uma falha na leitura ou gravação nos dados protegidos ao final do intervalo de tempo do cache. É possível girar (atualizar) a chave gerenciada pelo cliente posteriormente.

Esse recurso não criptografa os dados armazenados fora do plano de controle. Para criptografar os dados na sua conta de armazenamento do workspace, consulte Customer-managed keys for DBFS root (Chaves gerenciadas pelo cliente para a raiz do DBFS).

Você pode habilitar chaves gerenciadas pelo usuário usando cofres do Azure Key Vault ou Azure Key Vault HSM.

• Habilitar chaves gerenciadas pelo cliente para serviços gerenciados
• Habilitar as chaves gerenciadas pelo cliente do HSM para serviços gerenciados