Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Um Azure Quantum workspace armazena entradas e saídas de trabalho em uma conta Armazenamento do Azure associada que é gerenciada ou fornecida pelo cliente. De qualquer forma, trate a conta de armazenamento como parte do limite de segurança do workspace.
Importante
Qualquer pessoa com permissão para acessar dados do workspace pode acessar todos os trabalhos no workspace e todos os dados em sua conta de armazenamento associada. Azure Quantum não dá suporte a listas de controle de acesso para trabalhos individuais.
Entenda o perímetro de segurança efetivo
Azure Quantum usa a identidade atribuída pelo sistema do workspace para ler e gravar dados na conta de armazenamento associada. Usuários e aplicativos com as permissões de dados de workspace necessárias podem acessar esses dados por meio do workspace.
As funções do Azure podem conceder permissões de gerenciamento de recursos, permissões de dados do workspace ou ambas. Uma função que permite que um usuário ou aplicativo exiba ou gerencie o recurso de workspace nem sempre concede acesso aos dados do job. Examine a definição de função antes de atribuí-la.
Para obter mais informações, consulte Noções básicas sobre o acesso baseado em função ao seu Azure Quantum espaço de trabalho.
Um principal com acesso aos dados do workspace pode:
- Exiba todas as tarefas no workspace.
- Acesse as entradas e saídas do job.
- Acesse o conteúdo da conta de armazenamento associada por meio do modelo de autorização do workspace.
A autorização direta Armazenamento do Azure é um caminho de acesso separado. Atribuições de função de armazenamento, chaves de conta e assinaturas de acesso compartilhado podem conceder mais acesso fora do espaço de trabalho Azure Quantum.
Comparar opções de armazenamento
Azure Quantum dá suporte a duas opções de armazenamento, armazenamento gerenciado e armazenamento fornecido pelo cliente.
| Consideration | Conta de armazenamento gerenciada | Conta de armazenamento fornecida pelo cliente |
|---|---|---|
| Criação | Azure Quantum cria a conta quando você cria o workspace. | Você seleciona uma conta existente ao criar o workspace. |
| Localização | Azure cria a conta em um grupo de recursos gerenciado em sua assinatura. | A conta permanece no grupo de recursos que você gerencia. |
| Utilização pretendida | Por padrão, Azure Quantum vincula a conta a um workspace. | A conta pode ter outros dados ou dar suporte a mais de um workspace. |
| Acesso direto | Azure restringe o seu uso direto da conta. | Você controla o uso direto por meio da Armazenamento do Azure autorização. |
| Exclusão do Workspace | Azure exclui a conta quando você exclui o workspace. | Azure não exclui a conta quando você exclui o workspace. |
| Uso recomendado | Use essa opção para a fronteira dedicada mais simples. | Use uma conta dedicada que não contenha dados sujeitos a diferentes requisitos de acesso. |
O limite de segurança do workspace se aplica a ambas as opções. Uma conta fornecida pelo cliente não separa os usuários do workspace dos dados que já estão nessa conta.
Criar limites de segurança separados
Use workspaces separados e contas de armazenamento quando usuários, equipes, aplicativos ou dados exigem permissões de acesso diferentes.
Por exemplo:
- Conceda ao Grupo A acesso ao Workspace A e associe o Workspace A ao Armazenamento A.
- Conceda ao Grupo B acesso ao Workspace B e associe o Workspace B ao Armazenamento B.
- Não conceda a nenhum dos grupos acesso ao workspace nem à conta de armazenamento do outro grupo.
Não compartilhe uma conta de armazenamento entre o Workspace A e o Workspace B se os workspaces tiverem usuários autorizados diferentes. Um usuário que pode acessar os dados de um dos dois workspaces pode acessar todos os dados na conta compartilhada.
Não use a separação lógica como uma fronteira de segurança
Azure Quantum controla o acesso a todo o workspace, não a jobs individuais. Pastas, caminhos de blob, IDs de trabalho e convenções de nomenclatura semelhantes ajudam a organizar dados, mas não restringem o acesso por meio de Azure Quantum.
Não dependa da separação lógica em uma conta de armazenamento quando os dados exigirem autorização diferente. Se sua organização precisar compartilhar uma conta, configure um modelo de autorização independente Armazenamento do Azure para os recursos necessários. Valide o caminho de acesso completo para cada usuário, aplicativo e identidade de workspace antes de tratar essa configuração como um limite de segurança.
Planejar o ciclo de vida do recurso
As contas de armazenamento gerenciadas e fornecidas pelo cliente têm um comportamento de ciclo de vida diferente:
- Quando você exclui um workspace que usa o armazenamento gerenciado, Azure também exclui a conta de armazenamento gerenciada e seus dados.
- Quando você exclui um workspace que usa o armazenamento fornecido pelo cliente, a conta de armazenamento e seus dados permanecem.
- Quando você vincula uma conta de armazenamento fornecida pelo cliente a vários workspaces, cada workspace pode dar acesso aos dados da conta.
Antes de excluir ou migrar um workspace, examine os requisitos de retenção de dados e as atribuições de acesso na conta de armazenamento vinculada. Para evitar a exclusão acidental, consulte Proteger Azure Quantum recursos com bloqueios do ARM.