メインコンテンツまでスキップ

暗号化用の顧客管理キー

注記

この機能には Enterprise レベルが必要です。

このページでは、顧客が管理する暗号化キーの概要について説明します。 一部のサービスとデータでは、暗号化されたデータへのアクセスを保護および制御するために、顧客管理キーの追加がサポートされています。 クラウドのキー管理サービスを使用して、顧客管理の暗号化キーを管理できます。

キーを構成する方法については、「 暗号化用に顧客管理キーを構成する」を参照してください。

顧客管理キーの使用例

Databricks には、さまざまな種類のデータと場所を含む 2 つの顧客管理の主要なユースケースがあります。

Unity Catalog では、KMS 暗号化が有効になっている S3 バケットの読み取りと書き込みを行う機能もサポートされています。「AWS S3 バケットにアクセスするストレージ認証情報の作成」を参照してください。

注記

サーバレス ワークスペース (パブリックプレビュー) では、マネージドサービスのキーを設定するだけで、ワークスペースストレージとルートストレージに適用されます。

:::

マネージドサービスの顧客管理キー

Databricks コントロール プレーン内のマネージド サービス データは、保存時に暗号化されます。マネージドサービスに顧客管理キーを追加すると、次のタイプの暗号化データへのアクセスを保護および制御できます。

注記

サーバレス ワークスペースは デフォルトストレージを使用するため、マネージドサービスのユースケースは、ジョブ結果、 Databricks SQL 結果、ノートブックリビジョン、その他のワークスペースデータを含むワークスペースストレージとルートストレージにも適用されます。

マネージドサービスの顧客管理キーを構成するには、「 暗号化用の顧客管理キーの構成」を参照してください。

important

2024 年 11 月 1 日以降に作成された AI/BI ダッシュボードのみが暗号化され、顧客管理キーと互換性があります。

ワークスペース ストレージの顧客管理キー

ワークスペースストレージに顧客管理キーを追加して、次のタイプの暗号化データへのアクセスを保護および制御できます。

  • ワークスペース ストレージ バケット : ワークスペース ストレージ暗号化キーを追加すると、Databricks は、ワークスペースのセットアップ時に指定した AWS アカウントの Amazon S3 バケット (ワークスペース ストレージ バケットと呼ばれます) のデータを暗号化します。DBFSこのバケットには、FileStore 領域、MLflow モデル、 ルートLakeflow DBFS(DBFS マウントではない) の 宣言型パイプライン データを含む ルート が含まれています。バケットには、ジョブの結果、Databricks SQL の結果、ノートブックのリビジョン、その他のワークスペースデータを含むワークスペースシステムデータも含まれます。詳細については、「 ワークスペースデプロイ用の S3 バケットを作成する」を参照してください。
  • クラスタリングの EBS ボリューム (オプション): Databricks Runtimeクラシックコンピュートプレーン 内の クラスタリングノードおよびその他のコンピュートリソースの場合、オプションでキーを使用して VM のリモート EBS ボリュームを暗号化できます。
注記

この機能は DBFSルートに影響しますが、追加の DBFS マウントでデータを暗号化するためには使用されません。S3 DBFS マウントの場合、他の方法を使用して、キーを使用して暗号化されたデータを書き込むことができます。詳細については、「S3 バケット内のデータを暗号化する」を参照してください。マウントは、従来のアクセス パターンです。Databricks では、すべてのデータ アクセスの管理に Unity Catalog を使用することをお勧めします。「Unity Catalog を使用してクラウド オブジェクト ストレージに接続する」を参照してください。

顧客管理キーのユースケースの比較

次の表は、カスタマーマネージドキー機能がどのタイプのデータに使用されるかを示しています。

注記

暗号化のユースケースは、ワークスペースのタイプによって異なります。サーバレス ワークスペース は、マネージドサービス ユースケースのみを使用します。

データのタイプ

場所

使用するカスタマーマネージドキー機能

AI/BIダッシュボード

コントロールプレーン

マネージドサービス

ノートブックのソースとメタデータ

コントロールプレーン

マネージドサービス

個人用アクセス トークン (PAT) または Git と Databricks Git フォルダーの統合に使用されるその他の資格情報

コントロールプレーン

マネージドサービス

シークレットマネージャー によって保存されたシークレットAPI

コントロールプレーン

マネージドサービス

Databricks SQL クエリとクエリ履歴

コントロールプレーン

マネージドサービス

ベクトル検索 インデックスとメタデータ

サーバレス コンピュート plane

マネージドサービス

Databricks Runtimeクラスターノードおよびその他のコンピューティングリソース用のリモートEBSボリューム

Traditional ワークスペース: Classic コンピュート plane in your AWS アカウント
サーバレス ワークスペース: 該当なし (サーバレス コンピュートでは保存が一時的です)

従来のワークスペース: ワークスペース storage
サーバレス ワークスペース: 該当なし

ルートストレージデータ

従来のワークスペース: DBFSルート あなたの ワークスペース ストレージ バケット あなたの AWS アカウント。これには、FileStore 領域も含まれます。
サーバレス ワークスペース: ワークスペースのデフォルトストレージ

従来のワークスペース: ワークスペース storage
サーバレス ワークスペース: マネージドサービス

ジョブ 結果

Traditional ワークスペース: ワークスペース storage bucket in your AWS アカウント
サーバレス ワークスペース: ワークスペースのデフォルトストレージ

従来のワークスペース: ワークスペース storage
サーバレス ワークスペース: マネージドサービス

Databricks SQL クエリ結果

Traditional ワークスペース: ワークスペース storage bucket in your AWS アカウント
サーバレス ワークスペース: ワークスペースのデフォルトストレージ

従来のワークスペース: ワークスペース storage
サーバレス ワークスペース: マネージドサービス

MLflowモデル

Traditional ワークスペース: ワークスペース storage bucket in your AWS アカウント
サーバレス ワークスペース: ワークスペースのデフォルトストレージ

従来のワークスペース: ワークスペース storage
サーバレス ワークスペース: マネージドサービス

Lakeflow 宣言型パイプライン

Traditional ワークスペース: DBFSルートでDBFSパスを使用すると、これは AWS アカウントのワークスペース ストレージ バケットに保存されます。これは、他のデータソースへのマウントポイントを表すDBFSパスには適用されません。
サーバレス ワークスペース: ワークスペースのデフォルトストレージ

従来のワークスペース: ワークスペース storage
サーバレス ワークスペース: マネージドサービス

対話型ノートブックの結果

Traditional ワークスペース: デフォルトでは、ノートブックを (ジョブとしてではなく) 対話的に実行すると、パフォーマンスのために結果がコントロール プレーンに保存され、いくつかの大きな結果は AWS アカウントのワークスペース ストレージ バケットに保存されます。 すべての対話型ノートブックの結果を AWS アカウントに格納するように Databricks を構成することを選択できます。
サーバレス ワークスペース: ワークスペースのデフォルトストレージ

Traditional ワークスペース: コントロールプレーンで部分的な結果を得るには、マネージドサービスに顧客管理キーを使用します。 すべての結果ストレージに対して 構成 できるワークスペースストレージバケットの結果については、ワークスペースストレージに顧客管理キーを使用します。
サーバレス ワークスペース: マネージドサービス

サーバレス コンピュート and 顧客管理キー

Databricks SQL サーバレスサーバレス コンピュートのサポート:

  • マネージドサービスのキー ( Databricks SQL クエリ、クエリ履歴、ノートブック ソースとメタデータ、ベクトル検索インデックスとメタデータなど)。
  • Databricks SQL とノートブックの結果のルート ストレージを含むワークスペース ストレージ キー。

サーバレス コンピュート リソースのディスクは存続期間が短く、サーバレス ワークロードのライフサイクルに関連付けられているため、リモート EBS ボリュームの暗号化はサーバレス コンピュートには適用されません。 サーバレス コンピュート リソースが停止またはスケールダウンされると、VM とそのストレージは破棄されます。

モデルサービング

リソース for モデルサービング, a サーバレス コンピュート フィーチャーは、一般的に次の 2 つのカテゴリに分類されます。

  • モデル用に作成したリソースは、ワークスペースのルートストレージに格納されます。これには、モデルのアーティファクトとバージョンメタデータが含まれます。ワークスペース モデルレジストリと MLflow の両方がこのストレージを使用します。 顧客管理キーを使用するようにこのストレージを構成できます。
  • Databricksがユーザーに代わって直接作成するリソースには、モデルイメージと一時的なサーバレスコンピューティングストレージが含まれます。これらはDatabricksが管理するキーで暗号化されており、カスタマーマネージドキーはサポートされていません。