Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Een Azure Quantum werkruimte slaat taakinvoer en -uitvoer op in een gekoppeld Azure Storage account dat ofwel beheerd is of door de klant wordt aangeleverd. Hoe dan ook, behandel het opslagaccount als onderdeel van de beveiligingsgrens van de werkruimte.
Important
Iedereen met machtigingen voor toegang tot werkruimtegegevens heeft toegang tot alle jobs in de werkruimte en alle gegevens in het bijbehorende opslagaccount. Azure Quantum biedt geen ondersteuning voor toegangsbeheerlijsten voor afzonderlijke taken.
Begrijp de effectieve beveiligingsgrens
Azure Quantum gebruikt de door het systeem toegewezen identiteit van de werkruimte om gegevens in het gekoppelde opslagaccount te lezen en te schrijven. Gebruikers en apps met de vereiste machtigingen voor werkruimtegegevens hebben toegang tot die gegevens via de werkruimte.
Azure rollen kunnen machtigingen voor resourcebeheer, werkruimtegegevensmachtigingen of beide verlenen. Een rol waarmee een gebruiker of app de werkruimteresource kan weergeven of beheren, verleent niet altijd toegang tot taakgegevens. Controleer de roldefinitie voordat u deze toewijst.
Zie Inzicht in op rollen gebaseerde toegang tot uw Azure Quantum werkruimte voor meer informatie.
Een principal met toegang tot werkruimtegegevens kan:
- Bekijk alle jobs in de werkruimte.
- Toegang tot taakinvoer en -uitvoer.
- Open de inhoud van het gekoppelde opslagaccount via het autorisatiemodel voor werkruimten.
Directe Azure Storage autorisatie is een afzonderlijk toegangspad. Toewijzingen van opslagrollen, accountsleutels en handtekeningen voor gedeelde toegang kunnen meer toegang verlenen buiten de Azure Quantum werkruimte.
Opslagopties vergelijken
Azure Quantum ondersteunt twee opslagopties, beheerde opslag en door de klant geleverde opslag.
| Consideratie | Beheerd opslagaccount | Door de klant opgegeven opslagaccount |
|---|---|---|
| Oprichting | Azure Quantum maakt het account aan wanneer u de werkruimte aanmaakt. | U selecteert een bestaand account wanneer u de werkruimte maakt. |
| Location | Azure maakt het account in een beheerde resourcegroep in uw abonnement. | Het account blijft in de resourcegroep die u beheert. |
| Beoogd gebruik | Azure Quantum Standaard wordt het account toegewezen aan één werkruimte. | Het account kan andere gegevens bevatten of meerdere werkruimten ondersteunen. |
| Directe toegang | Azure beperkt uw rechtstreekse gebruik van het account. | U regelt direct gebruik via Azure Storage autorisatie. |
| Werkruimte verwijderen | Azure verwijdert het account wanneer u de werkruimte verwijdert. | Azure verwijdert het account niet wanneer u de werkruimte verwijdert. |
| Aanbevolen gebruik | Gebruik deze optie voor de eenvoudigste afzonderlijke grens. | Gebruik een afzonderlijk account dat geen gegevens met verschillende toegangsvereisten bevat. |
De beveiligingsgrens van de werkruimte is van toepassing op beide opties. Een door de klant opgegeven account scheidt werkruimtegebruikers niet van gegevens die zich al in dat account bevinden.
Afzonderlijke beveiligingsgrenzen maken
Gebruik afzonderlijke werkruimten en opslagaccounts wanneer gebruikers, teams, toepassingen of gegevens verschillende toegangsmachtigingen vereisen.
Voorbeeld:
- Groep A toegang verlenen tot werkruimte A en werkruimte A koppelen aan Opslag A.
- Verleen groep B toegang tot werkruimte B en koppel werkruimte B aan Opslag B.
- Geef geen van beide groepen toegang tot de werkruimte of het opslagaccount van de andere groep.
Deel geen opslagaccount tussen werkruimte A en Werkruimte B als de werkruimten verschillende geautoriseerde gebruikers hebben. Een gebruiker die toegang heeft tot de gegevens van een van beide werkruimten, heeft toegang tot alle gegevens in het gedeelde account.
Gebruik geen logische scheiding als beveiligingsbarrière
Azure Quantum beheert de toegang tot de hele werkruimte, niet afzonderlijke jobs. Mappen, blobpaden, taak-id's en vergelijkbare naamconventies helpen bij het organiseren van gegevens, maar ze beperken de toegang via Azure Quantum niet.
Vertrouw niet op logische scheiding binnen één opslagaccount wanneer voor de gegevens een andere autorisatie is vereist. Als uw organisatie een account moet delen, stelt u een onafhankelijk Azure Storage autorisatiemodel in voor de vereiste resources. Valideer het volledige toegangspad voor elke gebruiker, toepassing en werkruimte-identiteit voordat u die configuratie behandelt als een beveiligingsgrens.
De levenscyclus van resources plannen
Beheerde en door de klant geleverde opslagaccounts hebben verschillende levenscyclusgedrag:
- Wanneer u een werkruimte verwijdert die gebruikmaakt van beheerde opslag, verwijdert Azure ook het beheerde opslagaccount en de bijbehorende gegevens.
- Wanneer u een werkruimte verwijdert die gebruikmaakt van door de klant geleverde opslag, blijven het opslagaccount en de bijbehorende gegevens behouden.
- Wanneer u een door de klant verstrekt opslagaccount koppelt aan meerdere werkruimten, kan elke werkruimte toegang verlenen tot de gegevens van het account.
Voordat u een werkruimte verwijdert of migreert, controleert u de vereisten voor gegevensretentie en de toegangstoewijzingen in het gekoppelde opslagaccount. Zie Resources Azure Quantum beveiligen met ARM-vergrendelingen om onbedoeld verwijderen te voorkomen.