暗号化用のカスタマー マネージド キー

このページでは、暗号化のためのカスタマー マネージド キーの概要を示します。 一部のサービスとデータでは、暗号化されたデータへのアクセスを保護および制御するために、カスタマー マネージド キーの追加がサポートされています。 ご利用のクラウド内でキー管理サービスを使用して、カスタマー マネージド暗号化キーを維持することができます。

Azure Databricks では、Azure Key Vault コンテナーと Azure Key Vault Managed HSM (ハードウェア セキュリティ モジュール) からのカスタマー マネージド キーがサポートされています。

カスタマー マネージド キーのユース ケース

Azure Databricks には、さまざまな種類のデータに対するカスタマー マネージド キーの機能が 3 つあります。

• Azure マネージド ディスク用のカスタマー マネージド キー
• マネージド サービス用のカスタマー マネージド キー
• DBFS ルート用のカスタマー マネージド キー

次の表に、どの種類のデータにどのカスタマー マネージド キー機能が使用されるかを示します。

Azure サブスクリプション内のワークスペース ストレージ アカウント インスタンスのセキュリティを強化するために、二重暗号化とファイアウォール サポートを有効にすることができます。 「DBFS ルート用に二重暗号化を構成する」と「ワークスペース ストレージ アカウントのファイアウォール サポートを有効にする」を参照してください。

サーバーレス コンピューティングとカスタマー マネージド キー

Databricks SQL サーバーレスは、次をサポートします。

• Databricks SQL のクエリとクエリ履歴のためのマネージド サービスのカスタマー マネージド キー。

• Databricks SQL の結果のDBFS ルート ストレージのカスタマー マネージド キー。

  マネージド ディスク ストレージ用のカスタマー マネージド キーは、サーバーレス コンピューティング リソースには適用されません。 サーバーレス コンピューティング リソース用のディスクは有効期間が短く、サーバーレス ワークロードのライフサイクルに関連付けられています。 コンピューティング リソースが停止またはスケールダウンされると、VM とそのストレージは破棄されます。

Model Serving

サーバーレス コンピューティング機能である Model Serving のリソースは、通常、次の 2 つのカテゴリに分類されます。

• モデル用に作成したリソースは、ワークスペースのルート ストレージに格納されます。 これには、モデルの成果物とバージョンメタデータが含まれます。 ワークスペース モデル レジストリと MLflow の両方で、このストレージが使用されます。 このストレージは、カスタマー マネージド キーを使用するように構成できます。
• Azure Databricks がユーザーに代わって直接作成するリソースには、モデル イメージとエフェメラル サーバーレス コンピューティング ストレージが含まれます。 これらは Databricks マネージド キーで暗号化されます。カスタマー マネージド キーはサポートされていません。