Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Un Azure Quantum área de trabajo almacena entradas y salidas de trabajo en una Azure Storage cuenta asociada que puede estar administrada o proporcionada por el cliente. En cualquier caso, trate la cuenta de almacenamiento como parte del límite de seguridad del área de trabajo.
Importante
Cualquier persona con permiso para acceder a los datos del área de trabajo puede acceder a todos los trabajos del área de trabajo y a todos los datos de su cuenta de almacenamiento asociada. Azure Quantum no admite listas de control de acceso para trabajos individuales.
Comprenda el límite de seguridad efectivo
Azure Quantum usa la identidad asignada por el sistema del área de trabajo para leer y escribir datos en la cuenta de almacenamiento asociada. Los usuarios y las aplicaciones con los permisos de datos del área de trabajo necesarios pueden acceder a esos datos a través del área de trabajo.
Azure roles pueden conceder permisos de administración de recursos, permisos de datos del área de trabajo o ambos. Un rol que permite que un usuario o una aplicación vean o administren el recurso del área de trabajo no siempre concede acceso a los datos del trabajo. Revise la definición del rol antes de asignarla.
Para más información, consulte Información sobre el acceso basado en roles a su Azure Quantum área de trabajo.
Un principal con acceso a los datos del área de trabajo puede:
- Vea todas las tareas del área de trabajo.
- Acceda a las entradas y salidas del trabajo.
- Acceda al contenido de la cuenta de almacenamiento asociada a través del modelo de autorización del área de trabajo.
La autorización directa Azure Storage es una ruta de acceso independiente. Las asignaciones de roles de almacenamiento, las claves de cuenta y las firmas de acceso compartido pueden conceder más acceso fuera del área de trabajo Azure Quantum.
Comparación entre las opciones de almacenamiento
Azure Quantum admite dos opciones de almacenamiento, almacenamiento administrado y almacenamiento proporcionado por el cliente.
| Consideration | Cuenta de almacenamiento administrada | Cuenta de almacenamiento proporcionada por el cliente |
|---|---|---|
| Creación | Azure Quantum crea la cuenta al crear el área de trabajo. | Al crear el área de trabajo, seleccione una cuenta existente. |
| Location | Azure crea la cuenta en un grupo de recursos administrado en su suscripción. | La cuenta permanece en el grupo de recursos que administra. |
| Uso previsto | De forma predeterminada, Azure Quantum asigna la cuenta a un área de trabajo. | La cuenta puede tener otros datos o admitir más de un área de trabajo. |
| Acceso directo | Azure restringe su uso directo de la cuenta. | Puede controlar el uso directo mediante la autorización Azure Storage. |
| Eliminación del área de trabajo | Azure elimina la cuenta cuando eliminas el área de trabajo. | Azure no elimina la cuenta al eliminar el área de trabajo. |
| Uso recomendado | Use esta opción para el contorno dedicado más sencillo. | Use una cuenta dedicada que no tenga datos con requisitos de acceso diferentes. |
El límite de seguridad del área de trabajo se aplica a ambas opciones. Una cuenta proporcionada por el cliente no separa a los usuarios del área de trabajo de los datos que ya están en esa cuenta.
Crear perímetros de aislamiento de seguridad independientes
Utilice áreas de trabajo independientes y cuentas de almacenamiento cuando los usuarios, equipos, aplicaciones o datos requieran permisos de acceso diferentes.
Por ejemplo:
- Conceda al grupo A acceso al área de trabajo A y asocie el área de trabajo A al almacenamiento A.
- Conceda al grupo B acceso a Workspace B y asocie Workspace B con Storage B.
- No conceda a ninguno de los dos grupos acceso al área de trabajo o a la cuenta de almacenamiento del otro grupo.
No comparta una cuenta de almacenamiento entre el área de trabajo A y el área de trabajo B si las áreas de trabajo tienen usuarios autorizados diferentes. Un usuario que puede acceder a los datos de cualquier área de trabajo puede acceder a todos los datos de la cuenta compartida.
No use la separación lógica como límite de seguridad
Azure Quantum controla el acceso a todo el área de trabajo, no a los trabajos individuales. Las carpetas, las rutas de acceso de blobs, los identificadores de trabajo y las convenciones de nomenclatura similares ayudan a organizar los datos, pero no restringen el acceso a través de Azure Quantum.
No dependa de la separación lógica dentro de una cuenta de almacenamiento cuando los datos requieran una autorización diferente. Si su organización necesita compartir una cuenta, configure un modelo de autorización independiente Azure Storage para los recursos necesarios. Valide la ruta de acceso completa para cada identidad de usuario, aplicación y área de trabajo antes de tratar esa configuración como perímetro de seguridad.
Planeamiento del ciclo de vida de los recursos
Las cuentas de almacenamiento administradas y proporcionadas por el cliente tienen un comportamiento de ciclo de vida diferente:
- Al eliminar un área de trabajo que usa almacenamiento administrado, Azure también elimina la cuenta de almacenamiento administrada y sus datos.
- Al eliminar un área de trabajo que usa almacenamiento proporcionado por el cliente, la cuenta de almacenamiento y sus datos permanecen.
- Al vincular una cuenta de almacenamiento proporcionada por el cliente a varias áreas de trabajo, cada área de trabajo puede conceder acceso a los datos de la cuenta.
Antes de eliminar o migrar un área de trabajo, revise los requisitos de retención de datos y las asignaciones de acceso en la cuenta de almacenamiento vinculada. Para evitar la eliminación accidental, consulte Proteger Azure Quantum recursos con bloqueos de ARM.