Crittografia dei dati inattivi del servizio Language Understanding
Importante
LUIS verrà ritirato il 1 ottobre 2025 e a partire dal 1 aprile 2023 non è più possibile creare nuove risorse LUIS. Si consiglia di eseguire la migrazione delle applicazioni LUIS alla comprensione del linguaggio di conversazione per sfruttare appieno un supporto costante per i prodotti e le funzionalità multilingue.
Il servizio Language Understanding crittografa automaticamente i dati quando vengono salvati in modo permanente nel cloud. La crittografia dei Servizi di Language Understanding protegge i dati e consente di soddisfare i requisiti sulla sicurezza e conformità dell'organizzazione.
Informazioni sulla crittografia dei servizi di intelligenza artificiale di Azure
I dati vengono crittografati e decrittografati usando la crittografia AES a 256 bit conforme a FIPS 140-2. La crittografia e la decrittografia sono trasparenti, ovvero la crittografia e l'accesso vengono gestiti per l'utente. I dati sono protetti per impostazione predefinita e non è necessario modificare il codice o le applicazioni per sfruttare la crittografia.
Informazioni sulla gestione delle chiavi di crittografia
Per impostazione predefinita, la sottoscrizione usa chiavi di crittografia gestite da Microsoft. È anche possibile gestire la sottoscrizione con le proprie chiavi con chiavi gestite dal cliente. Le chiavi gestite dal cliente offrono maggiore flessibilità per creare, ruotare, disabilitare e revocare i controlli di accesso. È anche possibile controllare le chiavi di crittografia usate per proteggere i dati.
Chiavi gestite dal cliente con Azure Key Vault
È anche possibile gestire la sottoscrizione con chiavi personalizzate. Le chiavi gestite dal cliente, note anche come Bring Your Own Key (BYOK), offrono maggiore flessibilità per creare, ruotare, disabilitare e revocare i controlli di accesso. È anche possibile controllare le chiavi di crittografia usate per proteggere i dati.
È necessario usare Azure Key Vault per archiviare le chiavi gestite dal cliente. È possibile creare chiavi personalizzate e archiviarle in un insieme di credenziali delle chiavi oppure usare le API Azure Key Vault per generare chiavi. La risorsa dei Servizi di Azure AI e l'insieme di credenziali delle chiavi devono trovarsi nella stessa area e nello stesso tenant di Microsoft Entra, ma possono trovarsi in sottoscrizioni diverse. Per altre informazioni su Azure Key Vault, vedere Informazioni su Azure Key Vault.
Limiti
Esistono alcune limitazioni quando si usa il livello E0 con le applicazioni create in precedenza o esistenti:
- La migrazione a una risorsa E0 verrà bloccata. Gli utenti potranno eseguire la migrazione delle app solo alle risorse F0. Dopo aver eseguito la migrazione di una risorsa esistente a F0, è possibile creare una nuova risorsa nel livello E0.
- Lo spostamento di applicazioni da o verso una risorsa E0 verrà bloccato. Una soluzione alternativa a questa limitazione consiste nell'esportare l'applicazione esistente e importarla come risorsa E0.
- La funzionalità Controllo ortografico Bing non è supportata.
- La registrazione del traffico dell'utente finale è disabilitata se l'applicazione è E0.
- La funzionalità di priming voce del Servizio di Azure AI Bot non è supportata per le applicazioni nel livello E0. Questa funzionalità è disponibile tramite il Servizio di Azure AI Bot, che non supporta la chiave gestita dal cliente.
- La funzionalità di priming vocale dal portale richiede Archiviazione BLOB di Azure. Per altre informazioni, vedere Bring Your Own Storage (Usare risorse di archiviazione personali).
Abilitare chiavi gestite dal cliente
Una nuova risorsa di Servizi di Azure AI viene sempre crittografata usando chiavi gestite da Microsoft. Non è possibile abilitare le chiavi gestite dal cliente al momento della creazione della risorsa. Le chiavi gestite dal cliente vengono archiviate in Azure Key Vault e l'insieme di credenziali delle chiavi deve essere sottoposto a provisioning con criteri di accesso che concedono le autorizzazioni all'identità gestita associata alla risorsa Servizi di Azure AI. L'identità gestita è disponibile solo dopo la creazione della risorsa usando il piano tariffario per la chiave gestita dal cliente.
Per informazioni su come usare le chiavi gestite dal cliente con Azure Key Vault per la crittografia di Servizi di Azure AI, vedere:
L'abilitazione delle chiavi gestite dal cliente abiliterà anche un'identità gestita assegnata dal sistema, una funzionalità di Microsoft Entra ID. Dopo aver abilitato l'identità gestita assegnata dal sistema, questa risorsa verrà registrata in Microsoft Entra ID. Dopo la registrazione, all'identità gestita verrà concesso l'accesso all'insieme di credenziali delle chiavi selezionato durante la configurazione della chiave gestita dal cliente. Vedere altre informazioni sulle identità gestite.
Importante
Se si disabilitano le identità gestite assegnate dal sistema, l'accesso all'insieme di credenziali delle chiavi verrà rimosso e gli eventuali dati crittografati con le chiavi del cliente non saranno più accessibili. Tutte le funzionalità dipendenti da questi dati smetteranno di funzionare.
Importante
Le identità gestite attualmente non supportano gli scenari tra directory. Quando si configurano le chiavi gestite dal cliente nel portale di Azure, viene assegnata automaticamente un'identità gestita. Se successivamente si sposta la sottoscrizione, il gruppo di risorse o la risorsa da una directory di Microsoft Entra a un'altra, l'identità gestita associata alla risorsa non viene trasferita al nuovo tenant, quindi le chiavi gestite dal cliente potrebbero non funzionare più. Per altre informazioni, vedere Trasferimento di una sottoscrizione tra directory di Microsoft Entra in Domande frequenti e problemi noti nell'uso di identità gestite per le risorse di Azure.
Archiviare le chiavi gestite dal cliente in Azure Key Vault
Per abilitare le chiavi gestite dal cliente, è necessario usare Azure Key Vault per archiviare le chiavi. È necessario abilitare entrambe le proprietà Eliminazione temporanea e Protezione dall'eliminazione nell'insieme di credenziali delle chiavi.
Solo le chiavi RSA di dimensioni 2048 sono supportate con la crittografia di Servizi di Azure AI. Per altre informazioni sulle chiavi, vedere Chiavi Key Vault in Informazioni su chiavi, segreti e certificati di Azure Key Vault.
Ruotare le chiavi gestite dal cliente
È possibile ruotare una chiave gestita dal cliente in Azure Key Vault in base ai criteri di conformità. Quando la chiave viene ruotata, è necessario aggiornare la risorsa dei Servizi di Azure AI per usare il nuovo URI della chiave. Per informazioni su come aggiornare la risorsa per usare una nuova versione della chiave nel portale di Azure, vedere la sezione Aggiornare la versione della chiave in Configurare le chiavi gestite dal cliente per Servizi di Azure AI.
La rotazione della chiave non attiva la ri-crittografia dei dati nella risorsa. Non sono necessarie altre azioni da parte dell'utente.
Revocare l'accesso alle chiavi gestite dal cliente
Per revocare l'accesso alle chiavi gestite dal cliente, usare PowerShell o l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere PowerShell per Azure Key Vault o Interfaccia della riga di comando per Azure Key Vault. La revoca dell'accesso blocca di fatto l'accesso a tutti i dati nella risorsa di Servizi di Azure AI, perché ai Servizi di Azure AI non è consentito l’accesso alla chiave di crittografia.