Configurare le chiavi gestite dal cliente per Microsoft Foundry

Questo articolo illustra come configurare la crittografia con chiavi gestite dal cliente (CMK) per una risorsa Microsoft Foundry utilizzando Azure Key Vault o Azure Managed HSM. La crittografia con chiave gestita dal cliente si applica ai dati archiviati negli account di archiviazione associati alla risorsa Foundry, inclusi gli artefatti del progetto, i file caricati e i dati di valutazione.

Per comprendere gli ambiti coperti da CMK nelle funzionalità di Foundry e nello stack di elaborazione prima di configurarlo, vedere Crittografia con chiavi gestite dal cliente in Microsoft Foundry.

Vantaggi delle chiavi gestite dal cliente

• Possibilità di usare chiavi personalizzate per crittografare i dati a riposo.
• Integrazione con i criteri di sicurezza e conformità dell'organizzazione.
• Possibilità di ruotare o revocare le chiavi per un controllo avanzato sull'accesso ai dati crittografati.

Prerequisiti

Per configurare una CMK (Chiave Gestita dal Cliente) per Foundry, è necessario:

• Una sottoscrizione Azure attiva per creare e gestire le risorse Azure.

• Un key vault esistente o un HSM gestito per archiviare le tue chiavi. Questi requisiti si applicano anche:

  • Distribuire l'archivio chiavi e la risorsa Foundry nella stessa area Azure.
  • Abilitare l'eliminazione reversibile e la protezione da eliminazione definitiva nell'archivio delle chiavi per tutelare le chiavi gestite dal cliente da eliminazioni accidentali o dolose (richiesto da Azure).

  Per creare un insieme di credenziali, vedere Guida rapida: Creare un insieme di credenziali usando il portale di Azure. Per creare un modulo di protezione hardware gestito, vedere Quickstart: Effettuare il provisioning e attivare un modulo di protezione hardware gestito usando il portale di Azure.

• Configurazione dell'identità gestita:

  • Identità gestita assegnata dal sistema abilitata per la risorsa Foundry.
  • Identità gestita assegnata dall'utente. Vedere Creare un'identità gestita assegnata dall'utente.

• Permessi del Keystore:

  • Per Key Vault con controllo degli accessi in base al ruolo di Azure, assegnare il ruolo di utente della crittografia di Key Vault all'identità gestita.
  • Per Key Vault con criteri di accesso all'insieme di credenziali, concedere autorizzazioni specifiche della chiave all'identità gestita, ad esempio unwrapKey e wrapKey.
  • Per HSM gestito, assegnare il ruolo di "Utente di crittografia HSM gestito" all'identità gestita nell'ambito corretto. Per altre informazioni, vedere Ruoli predefiniti RBAC locale del modulo HSM gestito.

• Autorizzazioni Azure sufficienti:

  • Ruolo Proprietario o Amministratore dell'accesso utente nell'insieme di credenziali delle chiavi per assegnare i ruoli RBAC. Per l'HSM gestito, il ruolo di amministratore dell'HSM gestito viene utilizzato per assegnare ruoli RBAC locali.
  • Ruolo Collaboratore o Proprietario nella risorsa Foundry per configurare le impostazioni di crittografia.

Prima di configurare un CMK, assicurarsi di distribuire le risorse in un'area supportata. Per altre informazioni sul supporto a livello di area per le funzionalità di Foundry, vedere Microsoft Disponibilità delle funzionalità Foundry tra aree cloud.

Configurazioni di rete dell'archivio chiavi

Quando usi reti private con la risorsa Foundry, l'Azure Key Vault fornito dal cliente o l'HSM gestito che ospita il CMK supporta le configurazioni seguenti:

• Endpoint di collegamento privato con l'opzione "Consenti servizi Microsoft attendibili" abilitata: l'archivio delle chiavi usa un endpoint privato per la connettività e consente inoltre l'accesso a servizi Microsoft attendibili. Questa è la configurazione consigliata per gli ambienti che richiedono la connettività privata.
• "Consenti servizi Microsoft attendibili" abilitato (senza un endpoint privato): l'archivio chiavi consente l'accesso dai servizi Microsoft attendibili attraverso l'endpoint pubblico. Abilitare questa impostazione per assicurarsi che la risorsa Foundry possa accedere all'archivio chiavi per le operazioni di crittografia.

Per configurare l'accesso ai servizi attendibili, vedere Configurare Azure Key Vault firewall e reti virtuali o Gestione della sicurezza di rete HSM.

Configurare una chiave gestita dal cliente

La configurazione di una CMK richiede tre passaggi. Innanzitutto, crea o importa una chiave nel tuo Key Vault o Managed HSM. Concedi quindi all'identità gestita della risorsa Foundry l'autorizzazione a usare quella chiave. Infine, abilita la CMK sulla risorsa Foundry usando il portale, Bicep, ARM o l’interfaccia della riga di comando di Azure. Le sezioni seguenti illustrano ogni passaggio.

Creare o importare una chiave nell'archivio chiavi

Per generare una chiave in Azure Key Vault:

1. Nel portale di Azure, andare al Key Vault.

2. In Impostazioni selezionare Chiavi.

3. Selezionare + Genera/Importa.

4. Immettere un nome di chiave, scegliere il tipo di chiave (ad esempio RSA o HSM supportato) e configurare le dimensioni della chiave (minimo a 2048 bit) e i dettagli di scadenza.

5. Selezionare Crea per salvare la nuova chiave.

   La nuova chiave viene visualizzata nell'elenco Chiavi .

Per generare una chiave in Azure Managed HSM, vedere Creare una chiave HSM.

Tenere presenti queste considerazioni:

• I progetti possono essere aggiornati da chiavi gestite da Microsoft a chiavi gestite dal cliente, ma non possono essere riportati indietro.
• I CMK del progetto possono essere aggiornati solo alle chiavi nello stesso archivio delle chiavi.
• Gli addebiti correlati all'archiviazione per la crittografia delle chiavi gestite dal cliente continuano a essere applicati durante la conservazione dopo l'eliminazione temporanea.

Per altre informazioni, vedere Informazioni sulle chiavi.

Per importare una chiave in Key Vault:

1. Nel tuo Key Vault, vai alla sezione Chiavi.

2. Selezionare + Genera/Importa e quindi scegliere l'opzione Importa .

3. Caricare il materiale della chiave e specificare i dettagli necessari per la configurazione della chiave.

4. Seguire le istruzioni per completare il processo di importazione.

Per importare una chiave in un Managed HSM, vedere Importare chiavi protette da HSM in un Managed HSM.

Concedere alle identità gestite le autorizzazioni dell'archivio delle chiavi

Configurare le autorizzazioni appropriate per l'identità gestita assegnata dal sistema o assegnata dall'utente per accedere all'archivio chiavi:

Key Vault

1. Nel portale di Azure, andare al Key Vault.

2. Selezionare Controllo di accesso (IAM).

3. Selezionare + Aggiungi assegnazione di ruolo.

4. Assegnare il ruolo di Utente della crittografia di Key Vault all'identità gestita assegnata dal sistema per la risorsa Foundry o all'identità gestita assegnata dall'utente.

   L'identità gestita appare nell'elenco delle assegnazioni dei ruoli per l'insieme di credenziali delle chiavi.

Modulo di sicurezza hardware gestito (HSM)

L'HSM gestito utilizza un sistema locale di controllo degli accessi in base al ruolo separato da Azure RBAC. Assegnare ruoli usando az keyvault role assignment create o il piano dati dell'HSM gestito:

1. In qualità di amministratore del modulo di protezione hardware gestito, assegnare il ruolo utente di crittografia del modulo di protezione hardware gestito all'identità gestita assegnata dal sistema o assegnata dall'utente della risorsa Foundry. Definire l'ambito dell'assegnazione alla chiave o al contesto appropriato per lo scenario.

2. Verificare l'assegnazione con az keyvault role assignment list.

Per altre informazioni, vedere Controllo di accesso HSM gestito.

Abilitare la CMK

È possibile abilitare i cmk durante la creazione di una risorsa Foundry o aggiornando una risorsa esistente. Scegliere il metodo adatto al flusso di lavoro:

resource account 'Microsoft.CognitiveServices/accounts@2026-05-01' = {
  name: aiFoundryName
  location: location
  kind: 'AIServices'
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${userAssignedIdentityId}': {}
    }
  }
  properties: {
    encryption: {
      keySource: 'Microsoft.KeyVault'
      keyVaultProperties: {
        keyVaultUri: keyVaultUri
        keyName: keyName
        keyVersion: keyVersion // Optional — omit to enable automatic key rotation.
        identityClientId: userAssignedIdentityClientId
      }
    }
  }
}

// main.bicep — First deployment: create the resource with SystemAssigned identity
resource account 'Microsoft.CognitiveServices/accounts@2026-05-01' = {
  name: aiFoundryName
  location: location
  identity: {
    type: 'SystemAssigned'
  }
  kind: 'AIServices'
  sku: {
    name: 'S0'
  }
  properties: {
    publicNetworkAccess: 'Enabled'
    allowProjectManagement: true
    customSubDomainName: aiFoundryName
    disableLocalAuth: false
  }
}

// Second deployment: grant key vault access and apply encryption
module encryptionUpdate 'updateEncryption.bicep' = {
  name: 'updateEncryption'
  params: {
    aiFoundryName: account.name
    aiFoundryPrincipal: account.identity.principalId
    keyVaultName: keyVaultName
    keyVaultUri: keyVaultUri
    keyName: keyName
    keyVersion: keyVersion
    location: location
  }
}

az cognitiveservices account show \
  --name <resource-name> \
  --resource-group <resource-group> \
  --query properties.encryption

# First deployment: create the resource with system-assigned identity (no encryption)
az cognitiveservices account create \
  --name <resource-name> \
  --resource-group <resource-group> \
  --location <location> \
  --kind AIServices \
  --sku S0 \
  --assign-identity

# Retrieve the system-assigned identity principal ID
principalId=$(az cognitiveservices account show \
  --name <resource-name> \
  --resource-group <resource-group> \
  --query identity.principalId -o tsv)

# Grant key vault access (RBAC model)
az role assignment create \
  --role "Key Vault Crypto User" \
  --assignee-object-id $principalId \
  --assignee-principal-type ServicePrincipal \
  --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<key-vault-name>

# Or grant key vault access (access policy model)
# az keyvault set-policy \
#   --name <key-vault-name> \
#   --object-id $principalId \
#   --key-permissions get wrapKey unwrapKey

# Second deployment: update the resource to enable CMK encryption
az cognitiveservices account update \
  --name <resource-name> \
  --resource-group <resource-group> \
  --encryption "{\"keySource\":\"Microsoft.KeyVault\",\"keyVaultProperties\":{\"keyVaultUri\":\"https://<key-vault-name>.vault.azure.net\",\"keyName\":\"<key-name>\",\"keyVersion\":\"<key-version>\"}}"

# Verify that CMK encryption is enabled
az cognitiveservices account show \
  --name <resource-name> \
  --resource-group <resource-group> \
  --query properties.encryption

Accesso all'insieme di credenziali: controllo degli accessi in base al ruolo di Azure e criteri di accesso dell'insieme di credenziali

Azure Key Vault supporta due modelli per la gestione delle autorizzazioni di accesso:

• Azure RBAC (Controllo degli Accessi Basato sui Ruoli) (scelta consigliata):

  • Fornisce il controllo di accesso centralizzato usando i ruoli di Microsoft Entra.
  • Semplifica la gestione delle autorizzazioni per le risorse in Azure.
  • Richiede il ruolo Key Vault Crypto User.

• Criteri di accesso all'insieme di credenziali:

  • Consentire un controllo di accesso granulare specifico alle risorse di Key Vault.
  • Sono adatti per le configurazioni in cui sono necessarie impostazioni di autorizzazione legacy o isolate.

Scegliere il modello allineato ai requisiti dell'organizzazione. Per le nuove distribuzioni, utilizzare Azure RBAC. Usare i criteri di accesso all'insieme di credenziali solo quando i requisiti dell'organizzazione esistenti li impongono.

Azure HSM gestito usa il proprio sistema RBAC locale, separato dal sistema RBAC di Azure. Per il Managed HSM, assegnare il ruolo di Managed HSM Crypto User all'identità gestita. Per altre informazioni, vedere Ruoli predefiniti RBAC locale del modulo HSM gestito.

Monitoraggio e rotazione delle chiavi

Per mantenere la sicurezza e la conformità ottimali, implementare le procedure seguenti:

• Abilita diagnostica: monitora l'attività di utilizzo e accesso delle chiavi abilitando il log diagnostico in Monitoraggio di Azure o Log Analytics per il Key Vault o il Managed HSM.
• Ruotare regolarmente le chiavi: creare periodicamente una nuova versione della chiave nell'archivio chiavi. Aggiornare la risorsa Foundry per fare riferimento alla versione della chiave più recente nelle impostazioni di crittografia.
• Comprendere l'impatto sulla revoca delle CMK: se una CMK viene revocata o eliminata, i dati crittografati con tale chiave diventano inaccessibili fino al ripristino della chiave. Non eliminare l'archivio chiavi o la versione della chiave senza prima verificare che i dati non siano più necessari.

Risoluzione dei problemi

Contenuto correlato

• Documentazione di Azure Key Vault
• Documentazione di Azure Managed HSM
• esempio GitHub Bicep: Chiavi gestite dal cliente con un'identità assegnata dall'utente
• Panoramica delle identità gestite di Azure