将客户管理的密钥与 Azure 机器学习配合使用

在客户管理的密钥概念文章中，你已了解 Azure 机器学习提供的加密功能。 现在请了解如何将客户管理的密钥与 Azure 机器学习配合使用。

Azure 机器学习依赖于使用客户管理的密钥的以下服务：

先决条件

• Azure 订阅。

• 必须注册以下 Azure 资源提供程序：

  资源提供程序	为什么需要它
  Microsoft.MachineLearningServices	创建 Azure 机器学习工作区。
  Microsoft.Storage	存储帐户用作工作区的默认存储。
  Microsoft.KeyVault	该工作区使用 Azure Key Vault 来存储机密。
  Microsoft.DocumentDB/databaseAccounts	用于记录工作区元数据的 Azure Cosmos DB 实例。
  Microsoft.Search/searchServices	Azure 搜索为工作区提供索引编制功能。

  有关注册资源提供程序的信息，请参阅解决资源提供程序注册错误。

限制

• 创建工作区后，工作区所依赖资源的客户管理的加密密钥只能更新为原始 Azure 密钥保管库资源中的其他密钥。
• 你的订阅中由 Azure 管理的资源无法将所有权转移给你。
• 如果不同时删除工作区，则无法删除用于客户托管密钥的 Azure 托管资源。
• 包含客户管理的密钥的密钥保管库必须与 Azure 机器学习工作区位于同一 Azure 订阅中。

创建 Azure Key Vault

若要创建密钥保管库，请参阅创建密钥保管库。 创建 Azure 密钥保管库时，必须启用软删除和清除保护。

创建密钥

1. 在 Azure 门户中选择密钥保管库实例。 然后在左侧选择“密钥”。

2. 在页面顶部选择“+ 生成/导入”。 使用以下值创建密钥：

   • 将“选项”设置为“生成”。
   • 输入密钥的名称。 该名称应该标识了目标用途。 例如，my-cosmos-key。
   • 将“密钥类型”设置为“RSA”。
   • 对于“RSA 密钥大小”，我们建议至少选择“3072”。
   • 将“已启用”设置为“是”。

   可以选择性地设置激活日期、过期日期和标记。

3. 选择“创建”以创建密钥。

允许 Azure Cosmos DB 访问密钥

1. 若要配置密钥保管库，请在 Azure 门户中选择它，然后从左侧菜单中选择“访问策略”。
2. 若要为 Azure Cosmos DB 创建权限，请在页面顶部选择“+ 创建”。 在“密钥权限”下，选择“获取”、“解包密钥”和“包装密钥”权限。
3. 在“主体”下，搜索“Azure Cosmos DB”并选择它。 此条目的主体 ID 是 a232010e-820c-4083-83bb-3ace5fc29d0b。
4. 选择“查看 + 创建”，然后选择“创建”。

创建使用客户管理的密钥的工作区

创建 Azure 机器学习工作区。 创建工作区时，必须选择“Azure 密钥保管库”和“密钥”。 根据创建工作区的方式，以不同的方式指定这些资源：

• Azure 门户：配置工作区时，从下拉输入框中选择密钥保管库和密钥。

• SDK、REST API 和 Azure 资源管理器模板：提供密钥保管库的 Azure 资源管理器 ID，以及密钥的 URL。 若要获取这些值，请使用 Azure CLI 和以下命令：

  # Replace `mykv` with your key vault name.
  # Replace `mykey` with the name of your key.
  
  # Get the Azure Resource Manager ID of the key vault
  az keyvault show --name mykv --query id
  # Get the URL for the key
  az keyvault key show --vault-name mykv -n mykey --query key.kid
  

  密钥保管库 ID 值类似于 /subscriptions/{GUID}/resourceGroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/mykv。 密钥的 URL 类似于 https://mykv.vault.azure.cn/keys/mykey/{GUID}。

有关创建使用客户管理密钥的工作区的示例，请参阅以下文章：

创建方法	项目
CLI	使用 Azure CLI 创建工作区
Azure 门户/ Python SDK	创建和管理工作区
Azure 资源管理器 模板	使用模板创建工作区
REST API	使用 REST 创建、运行和删除 Azure 机器学习资源

创建工作区后，你将注意到在你的订阅中创建了 Azure 资源组。 此组是对工作区资源组的补充。 此资源组将包含与你的密钥配合使用的 Microsoft 托管资源。 该资源组的命名格式为 <Azure Machine Learning workspace resource group name><GUID>。 其中包含 Azure Cosmos DB 实例、Azure 存储帐户和 Azure AI 搜索。

有关 Azure Cosmos DB 的客户管理的密钥的详细信息，请参阅为 Azure Cosmos DB 帐户配置客户管理的密钥。

Azure Kubernetes 服务

随时可以使用客户管理的密钥来加密已部署的 Azure Kubernetes 服务资源。 有关详细信息，请参阅在 Azure Kubernetes 服务中使用自己的密钥。

此过程允许加密 Kubernetes 群集中已部署的虚拟机的数据和 OS 磁盘。

后续步骤

• 将客户管理的密钥与 Azure 机器学习配合使用
• 使用 Azure CLI 创建工作区
• 创建和管理工作区
• 使用模板创建工作区
• 使用 REST 创建、运行和删除 Azure 机器学习资源