Azure Quantum工作空間會將工作輸入和輸出儲存在一個關聯Azure 儲存體的帳號中，該帳號要麼是受管理的，要麼是客戶提供的。 不管怎樣，把儲存體帳戶當作工作空間安全邊界的一部分來處理。
Important
任何有權限存取工作區資料的人，都可以存取工作區中的所有工作及其相關儲存體帳戶中的所有資料。 Azure Quantum 不支援個別作業的存取控制清單。
了解有效的安全邊界
Azure Quantum 使用 Workspace 系統指派的身分識別來讀取及寫入相關聯儲存體帳戶中的資料。 擁有所需工作區資料權限的使用者與應用程式，可以透過工作區存取這些資料。
Azure 角色可以授予資源管理權限、工作空間資料權限，或兩者兼有。 讓使用者或應用程式查看或管理工作區資源的角色，並不一定會授權工作資料的存取權。 在指派角色前，請先檢視角色定義。
欲了解更多資訊，請參閱 「了解以角色為基礎存取您的 Azure Quantum 工作空間」。
擁有工作空間資料存取權的主體身分可以：
- 查看工作區中的所有職缺。
- 存取工作輸入與輸出。
- 透過工作空間授權模型存取相關儲存帳號的內容。
直接 Azure 儲存體 授權是獨立的存取路徑。 儲存角色指派、帳號金鑰和共用存取簽章可以授與超出 Azure Quantum 工作區範圍的更多存取權限。
比較儲存體選項
Azure Quantum 支援兩種儲存選項：管理儲存與客戶提供的儲存空間。
| 考慮事項 | 管理式儲存帳戶 | 客戶提供的儲存體帳戶 |
|---|---|---|
| 建立作業 | Azure Quantum 建立工作區時會建立帳號。 | 建立工作區時，你會選擇一個現有帳號。 |
| Location | Azure 會在你的訂閱中的受控資源群組內建立帳戶。 | 帳號會保留在你管理的資源群組中。 |
| 預期用途 | 預設情況下，Azure Quantum 帳號預設會指派給一個工作區。 | 帳號可以有其他資料，或支援多個工作區。 |
| 直接存取 | Azure 限制你直接使用該帳號。 | 你可透過 Azure 儲存體 授權直接使用。 |
| 工作區刪除 | 當你刪除工作區時，Azure 也會刪除帳號。 | Azure 不會在你刪除工作區時刪除帳號。 |
| 建議使用 | 用這個選項來設定最簡單的專用邊界。 | 使用不含存取需求不同資料的專用帳號。 |
工作區安全邊界適用於這兩種選項。 客戶提供的帳號不會將工作區使用者與該帳號中已有的資料分開。
建立獨立的安全邊界
當使用者、團隊、應用程式或資料需要不同的存取權限時，請使用不同的工作區和儲存帳號。
例如：
- 授權 Group A 存取工作區 A，並將工作區 A 與儲存裝置 A 關聯。
- 授權 Group B 存取工作區 B，並將工作區 B 與儲存體 B 關聯起來。
- 不要讓任一群組存取對方的工作空間或儲存帳號。
如果工作區 A 和工作區 B 有不同的授權使用者，不要在工作區 A 和工作區 B 之間共用儲存帳戶。 能存取任一工作區資料的使用者，都可以存取共用帳號中的所有資料。
不要把邏輯分隔當作安全邊界
Azure Quantum 控制的是整個工作區的存取，而不是單一工作。 資料夾、blob 路徑、工作 ID 等命名規則有助於組織資料，但不會限制透過 Azure Quantum 的存取。
當資料需要不同授權時，不要依賴在同一個儲存帳號內邏輯分離。 如果您的組織需要共用帳戶，請為所需資源建立獨立 Azure 儲存體 授權模式。 在將該組態視為安全邊界之前，先驗證每個使用者、應用程式和工作空間身分的完整存取路徑。
規劃資源生命週期
受管理的儲存帳號與客戶提供的儲存帳號有不同的生命週期行為：
- 當你刪除使用受管理儲存的工作區時，Azure 也會刪除該受管理儲存帳號及其資料。
- 當你刪除使用客戶提供儲存空間的工作區時，儲存帳號及其資料仍會保留。
- 當你將客戶提供的儲存帳號連結到多個工作區時，每個工作區都能存取該帳號的資料。
在刪除或遷移工作區之前，請先檢視你的資料保留要求以及連結儲存帳號的存取權分配。 為防止意外刪除，請參閱 「使用 ARM 鎖保護 Azure Quantum 資源」。