Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Un espace de travail Azure Quantum stocke les entrées et les sorties des tâches dans un compte stockage Azure associé, qui est géré ou fourni par le client. Dans les deux cas, considérez le compte de stockage comme faisant partie du périmètre de sécurité de l’espace de travail.
Important
Toute personne disposant de l’autorisation d’accéder aux données de l’espace de travail peut accéder à toutes les tâches de l’espace de travail et à toutes les données de son compte de stockage associé. Azure Quantum ne prend pas en charge les listes de contrôle d'accès pour les tâches individuelles.
Comprendre le périmètre de sécurité effectif
Azure Quantum utilise l'identité affectée par le système de l'espace de travail pour lire et écrire des données dans le compte de stockage associé. Les utilisateurs et les applications disposant des autorisations de données d’espace de travail requises peuvent accéder à ces données via l’espace de travail.
Les rôles Azure peuvent accorder des autorisations de gestion des ressources, des autorisations de données d’espace de travail ou les deux. Un rôle permettant à un utilisateur ou à une application d'afficher ou de gérer la ressource de l'espace de travail n'accorde pas toujours l'accès aux données des tâches. Passez en revue la définition de rôle avant de l’affecter.
Pour plus d’informations, consultez Comprendre l’accès en fonction du rôle à votre Azure Quantum espace de travail.
Un principal disposant d’un accès aux données d’espace de travail peut :
- Afficher toutes les tâches de l'espace de travail.
- Accéder aux entrées et sorties de la tâche.
- Accédez au contenu du compte de stockage associé via le modèle d’autorisation de l’espace de travail.
L’autorisation directe stockage Azure est un chemin d’accès distinct. Les attributions de rôles de stockage, les clés de compte et les signatures d’accès partagé peuvent accorder davantage d’accès en dehors de l’espace Azure Quantum de travail.
Comparer les options de stockage
Azure Quantum prend en charge deux options de stockage, le stockage géré et le stockage fourni par le client.
| Considérations | Compte de stockage géré | Compte de stockage fourni par le client |
|---|---|---|
| Création | Azure Quantum crée le compte lorsque vous créez l’espace de travail. | Vous sélectionnez un compte existant lorsque vous créez l’espace de travail. |
| Location | Azure crée le compte dans un groupe de ressources managé dans votre abonnement. | Le compte reste dans le groupe de ressources que vous gérez. |
| Usage prévu | Par défaut, Azure Quantum réserve le compte à un seul espace de travail. | Le compte peut avoir d’autres données ou prendre en charge plusieurs espaces de travail. |
| Accès direct | Azure restreint votre utilisation directe du compte. | Vous contrôlez l'utilisation directe au moyen de l'autorisation stockage Azure. |
| Suppression de l’espace de travail | Azure supprime le compte lorsque vous supprimez l’espace de travail. | Azure ne supprime pas le compte lorsque vous supprimez l'espace de travail. |
| Utilisation recommandée | Utilisez cette option pour mettre en place la limite de sécurité dédiée la plus simple. | Utilisez un compte dédié qui ne contient pas de données nécessitant des niveaux d’accès différents. |
La limite de sécurité de l’espace de travail s’applique aux deux options. Un compte fourni par le client ne sépare pas les utilisateurs de l’espace de travail des données qui se trouvent déjà dans ce compte.
Créer des limites de sécurité distinctes
Utilisez des espaces de travail et des comptes de stockage distincts lorsque les utilisateurs, les équipes, les applications ou les données nécessitent des autorisations d’accès différentes.
Par exemple:
- Accordez au groupe A un accès à l’espace de travail A et associez l’espace de travail A au stockage A.
- Accordez au groupe B l’accès à l’espace de travail B et associez l’espace de travail B au stockage B.
- N’accordez à aucun des deux groupes l’accès à l’espace de travail ou au compte de stockage de l’autre groupe.
Ne partagez pas de compte de stockage entre l’espace de travail A et l’espace de travail B si les espaces de travail ont des utilisateurs autorisés différents. Un utilisateur qui peut accéder aux données de l’un ou l’autre espace de travail peut accéder à toutes les données du compte partagé.
N’utilisez pas la séparation logique comme barrière de sécurité
Azure Quantum contrôle l'accès à l'ensemble de l'espace de travail, et non aux tâches individuelles. Les dossiers, les chemins d'accès aux objets blob, les ID de travail et les conventions d'affectation de noms similaires permettent d'organiser les données, mais ne restreignent pas l'accès via Azure Quantum.
Ne dépendez pas de la séparation logique au sein d’un compte de stockage lorsque les données nécessitent une autorisation différente. Si votre organisation doit partager un compte, configurez un modèle d’autorisation indépendant stockage Azure pour les ressources requises. Validez l'intégralité du chemin d'accès pour chaque utilisateur, application et identité d'espace de travail avant de considérer cette configuration comme une limite de sécurité.
Planifier le cycle de vie des ressources
Les comptes de stockage gérés et fournis par le client ont un comportement de cycle de vie différent :
- Lorsque vous supprimez un espace de travail qui utilise le stockage managé, Azure supprime également le compte de stockage managé et ses données.
- Lorsque vous supprimez un espace de travail qui utilise le stockage fourni par le client, le compte de stockage et ses données restent.
- Lorsque vous liez un compte de stockage fourni par le client à plusieurs espaces de travail, chaque espace de travail peut donner accès aux données du compte.
Avant de supprimer ou de migrer un espace de travail, passez en revue vos exigences de rétention des données et les affectations d’accès sur le compte de stockage lié. Pour éviter la suppression accidentelle, consultez Protéger les Azure Quantum ressources avec des verrous ARM.