Azure Quantum ワークスペースは、管理対象または顧客が指定した関連付けられたAzure Storage アカウントにジョブの入力と出力を格納します。 どちらの方法でも、ストレージ アカウントをワークスペースのセキュリティ境界の一部として扱います。
Important
ワークスペース データにアクセスするアクセス許可を持つすべてのユーザーは、ワークスペース内のすべてのジョブとそれに関連付けられているストレージ アカウント内のすべてのデータにアクセスできます。 Azure Quantum では、個々のジョブのアクセス制御リストはサポートされていません。
有効なセキュリティ境界を理解する
Azure Quantum は、ワークスペースのシステム割り当て ID を使用して、関連付けられているストレージ アカウント内のデータの読み取りと書き込みを行います。 必要なワークスペース データのアクセス許可を持つユーザーとアプリは、ワークスペースを介してそのデータにアクセスできます。
Azureロールは、リソース管理のアクセス許可、ワークスペース データのアクセス許可、またはその両方を付与できます。 ユーザーまたはアプリがワークスペース リソースを表示または管理できるロールは、常にジョブ データへのアクセス権を付与するとは限りません。 ロール定義を割り当てる前に確認してください。
詳細については、「Azure Quantum ワークスペースへのロールベースのアクセスについて理解する」を参照してください。
ワークスペース データ アクセスを持つセキュリティ プリンシパルは、次のことができます。
- ワークスペース内のすべてのジョブを表示します。
- ジョブの入力と出力にアクセスします。
- ワークスペース承認モデルを使用して、関連付けられているストレージ アカウントの内容にアクセスします。
直接 Azure Storage 認可は別のアクセス パスです。 ストレージ ロールの割り当て、アカウント キー、および共有アクセス署名は、 Azure Quantum ワークスペースの外部でより多くのアクセス権を付与できます。
ストレージ オプションの比較
Azure Quantum では、マネージド ストレージと顧客が提供するストレージの 2 つのストレージ オプションがサポートされています。
| Consideration | マネージド ストレージ アカウント | 顧客が提供するストレージ アカウント |
|---|---|---|
| 作成 | ワークスペースを作成すると、Azure Quantum アカウントが作成されます。 | ワークスペースを作成するときに、既存のアカウントを選択します。 |
| Location | Azureは、サブスクリプションのマネージド リソース グループにアカウントを作成します。 | アカウントは、管理するリソース グループに残ります。 |
| 使用目的 | 既定では、Azure Quantum はアカウントを 1 つのワークスペース専用に設定します。 | アカウントには他のデータを含めたり、複数のワークスペースを持つことができます。 |
| 直接アクセス | Azureは、お客様によるアカウントの直接使用を制限します。 | ユーザーはAzure Storage承認によって直接使用を制御します。 |
| ワークスペースの削除 | Azureワークスペースを削除すると、アカウントが削除されます。 | ワークスペースを削除しても、Azureはアカウントを削除しません。 |
| 推奨される使用方法 | このオプションは、最も単純な専用境界用のオプションです。 | 異なるアクセス要件のデータを含まない専用アカウントを使用してください。 |
ワークスペースのセキュリティ境界は、両方のオプションに適用されます。 顧客提供のアカウントでは、ワークスペース ユーザーをそのアカウントに既に存在するデータから分離しません。
個別のセキュリティ境界を作成する
ユーザー、チーム、アプリケーション、またはデータに異なるアクセス許可が必要な場合は、個別のワークスペースとストレージ アカウントを使用します。
例えば次が挙げられます。
- グループ A にワークスペース A へのアクセス権を付与し、ストレージ A をワークスペース A に関連付けます。
- グループ B にワークスペース B へのアクセス権を付与し、ワークスペース B をストレージ B に関連付けます。
- どちらのグループにも、相手側のワークスペースまたはストレージ アカウントへのアクセス権を付与しないでください。
ワークスペースに承認されたユーザーが異なる場合は、ワークスペース A とワークスペース B の間でストレージ アカウントを共有しないでください。 いずれかのワークスペースのデータにアクセスできるユーザーは、共有アカウント内のすべてのデータにアクセスできます。
論理分離をセキュリティ境界として使用しない
Azure Quantum は、個々のジョブではなく、ワークスペース全体へのアクセスを制御します。 フォルダー、BLOB パス、ジョブ ID、および同様の名前付け規則は、データの整理に役立ちますが、 Azure Quantumによるアクセスは制限されません。
データに異なる認可が必要な場合は、1 つのストレージ アカウント内での論理的な分離に依存しないでください。 組織でアカウントを共有する必要がある場合は、必要なリソースに対して独立した Azure Storage 認可モデルを設定します。 その構成をセキュリティ境界として扱う前に、すべてのユーザー、アプリケーション、ワークスペース ID の完全なアクセス パスを検証します。
リソースのライフサイクルを計画する
マネージド ストレージ アカウントと顧客が提供するストレージ アカウントのライフサイクル動作は異なります。
- マネージド ストレージを使用するワークスペースを削除すると、Azureはマネージド ストレージ アカウントとそのデータも削除します。
- 顧客が指定したストレージを使用するワークスペースを削除すると、ストレージ アカウントとそのデータは残ります。
- 顧客が指定したストレージ アカウントを複数のワークスペースにリンクすると、各ワークスペースからアカウントのデータにアクセスできるようになります。
ワークスペースを削除または移行する前に、リンクされたストレージ アカウントのデータ保持要件とアクセス割り当てを確認してください。 誤って削除されないようにするには、「 ARM ロックを使用して Azure Quantum リソースを保護する」を参照してください。