Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Um Azure Quantum espaço de trabalho armazena entradas e saídas de trabalhos numa Armazenamento do Azure conta associada que é gerida ou fornecida pelo cliente. De qualquer forma, trate a conta de armazenamento como parte do limite de segurança do espaço de trabalho.
Importante
Qualquer pessoa com permissão para aceder aos dados do espaço de trabalho pode aceder a todas as tarefas no espaço de trabalho e a todos os dados na conta de armazenamento associada. Azure Quantum Não suporta listas de controlo de acesso para trabalhos individuais.
Compreender o limite de segurança efetivo
Azure Quantum utiliza a identidade atribuída pelo sistema do workspace para ler e escrever dados na conta de armazenamento associada. Utilizadores e aplicações com as permissões necessárias para os dados do espaço de trabalho podem aceder a esses dados através do espaço de trabalho.
As funções do Azure podem conceder permissões de gestão de recursos, permissões de dados do workspace, ou ambas. Uma função que permite a um utilizador ou aplicação visualizar ou gerir o recurso do espaço de trabalho nem sempre concede acesso aos dados do trabalho. Revise a definição da função antes de a atribuir.
Para mais informações, consulte Compreender o acesso baseado em funções ao seu Azure Quantum espaço de trabalho.
Um principal com acesso a dados do espaço de trabalho pode:
- Veja todas as tarefas na área de trabalho.
- Aceda às entradas e saídas da tarefa.
- Aceda ao conteúdo da conta de armazenamento associada através do modelo de autorização do espaço de trabalho.
A autorização direta Armazenamento do Azure é um caminho de acesso separado. Atribuições de funções de armazenamento, chaves de conta e assinaturas de acesso partilhadas podem conceder mais acesso fora do espaço de trabalho Azure Quantum.
Comparar opções de armazenamento
Azure Quantum suporta duas opções de armazenamento, armazenamento gerido e armazenamento fornecido pelo cliente.
| Consideration | Conta de armazenamento gerida | Conta de armazenamento fornecida pelo cliente |
|---|---|---|
| Criação | Azure Quantum cria a conta quando crias o espaço de trabalho. | Selecionas uma conta existente quando crias o espaço de trabalho. |
| Location | O Azure cria a conta num grupo de recursos geridos na sua subscrição. | A conta mantém-se no grupo de recursos que geres. |
| Utilização prevista | Por defeito, Azure Quantum atribui a conta a um espaço de trabalho. | A conta pode ter outros dados ou suportar mais do que um espaço de trabalho. |
| Acesso direto | O Azure restringe a sua utilização direta da conta. | Controla o uso direto através Armazenamento do Azure da autorização. |
| Eliminação de espaços de trabalho | O Azure apaga a conta quando apaga o espaço de trabalho. | O Azure não apaga a conta quando apagas o espaço de trabalho. |
| Utilização recomendada | Utilize esta opção para o limite dedicado mais simples. | Use uma conta dedicada que não tenha dados com requisitos de acesso diferentes. |
A fronteira de segurança do espaço de trabalho aplica-se a ambas as opções. Uma conta fornecida pelo cliente não separa os utilizadores do espaço de trabalho dos dados que já estão nessa conta.
Criar fronteiras de segurança separadas
Utilize espaços de trabalho e contas de armazenamento separados quando utilizadores, equipas, aplicações ou dados necessitarem de permissões de acesso diferentes.
Por exemplo:
- Conceda ao Grupo A acesso ao Espaço de Trabalho A e associe o Espaço de Trabalho A ao Armazenamento A.
- Conceda ao Grupo B acesso ao Espaço de Trabalho B e associe o Espaço de Trabalho B ao Armazenamento B.
- Não conceda a nenhum dos grupos acesso ao espaço de trabalho ou à conta de armazenamento do outro grupo.
Não partilhe uma conta de armazenamento entre o Workspace A e o Workspace B se os workspaces tiverem utilizadores autorizados diferentes. Um utilizador que consiga aceder aos dados de qualquer um dos espaços de trabalho pode aceder a todos os dados da conta partilhada.
Não use a separação lógica como fronteira de segurança
Azure Quantum Controla o acesso a todo o espaço de trabalho, não a jobs individuais. Pastas, caminhos de blobs, IDs de trabalhos e convenções de nomenclatura semelhantes ajudam a organizar os dados, mas não restringem o acesso através de Azure Quantum.
Não dependas da separação lógica dentro de uma conta de armazenamento quando os dados requerem uma autorização diferente. Se a sua organização precisar de partilhar uma conta, configure um modelo de autorização independente Armazenamento do Azure para os recursos necessários. Valide o caminho de acesso completo para cada identidade de utilizador, aplicação e espaço de trabalho antes de tratar essa configuração como um limite de segurança.
Planeie o ciclo de vida dos recursos
Contas de armazenamento geridas e fornecidas pelo cliente têm comportamentos diferentes no ciclo de vida:
- Quando elimina um espaço de trabalho que utiliza armazenamento gerido, o Azure também elimina a conta de armazenamento gerido e os seus dados.
- Quando elimina um espaço de trabalho que utiliza armazenamento fornecido pelo cliente, a conta de armazenamento e os seus dados permanecem.
- Quando liga uma conta de armazenamento fornecida pelo cliente a múltiplos espaços de trabalho, cada espaço pode dar acesso aos dados da conta.
Antes de eliminar ou migrar um espaço de trabalho, reveja os seus requisitos de retenção de dados e as atribuições de acesso na conta de armazenamento ligada. Para evitar eliminação acidental, consulte Proteger Azure Quantum recursos com bloqueios ARM.