メインコンテンツまでスキップ

暗号化用の顧客管理キー

注記

この機能には Enterprise レベルが必要です。

このページでは、顧客が管理する暗号化キーの概要について説明します。 一部のサービスとデータでは、暗号化されたデータへのアクセスを保護および制御するために、顧客管理キーの追加がサポートされています。 クラウドのキー管理サービスを使用して、顧客管理の暗号化キーを管理できます。

キーを構成する方法については、暗号化用に顧客管理キーを構成するを参照してください。

顧客管理キーの使用例​

:::

Databricks には、さまざまな種類のデータと場所を含む 2 つの顧客管理の主要なユースケースがあります。

  • マネージドサービス : Databricks コントロール プレーン内のデータ (ノートブック、シークレット、Databricks SQL クエリ データ)。
  • ワークスペース ストレージ : 2 つのワークスペース ストレージ バケットと、コンピュート リソースの GCE 永続ディスク ボリューム。

マネージドサービスのための顧客管理キー​

Databricks コントロール プレーン内のマネージド サービス データは、保存時に暗号化されます。マネージドサービスに顧客管理キーを追加すると、次のタイプの暗号化データへのアクセスを保護および制御できます。

マネージドサービスの顧客管理キーを構成するには、「 暗号化用の顧客管理キーの構成」を参照してください。

important

2024 年 11 月 1 日以降に作成された AI/BI ダッシュボードのみが暗号化され、顧客管理キーと互換性があります。

ワークスペース ストレージのための顧客管理キー​

ワークスペースストレージに顧客管理キーを追加して、次のタイプの暗号化データへのアクセスを保護および制御できます。

  • ワークスペース ストレージ バケット : ワークスペース ストレージ暗号化キーを追加すると、Databricks は、ワークスペースの作成時に Databricks が作成した Google Cloud プロジェクトに関連付けられた 2 つの GCS バケット上のデータを暗号化します。これらは、ワークスペース ストレージ バケットと呼ばれます。1 つのバケットには、FileStore領域、MLflowモデル、Lakeflow宣言型パイプラインデータを含む(DBFSマウントではない)DBFSルート が含まれています。別のバケットには、ジョブの結果、Databricks SQL の結果、ノートブックのリビジョン、その他のワークスペースデータを含むワークスペースシステムデータが含まれています。
  • クラスタリングの GCE 永続ディスク: ワークスペース ストレージ暗号化キーは、Databricks Runtime クラシックコンピュート プレーン 内の クラスターノードおよびその他のコンピュート リソースの GCE 永続ディスクを暗号化するために使用されます。

顧客管理キーのユースケースの比較​

次の表は、カスタマーマネージドキー機能がどのタイプのデータに使用されるかを示しています。

データのタイプ

場所

使用するカスタマーマネージドキー機能

AI/BIダッシュボード

コントロールプレーン

マネージドサービス

ノートブックのソースとメタデータ

コントロールプレーン

マネージドサービス

個人用アクセス トークン (PAT) または Git と Databricks Git フォルダーの統合に使用されるその他の資格情報

コントロールプレーン

マネージドサービス

シークレットマネージャー によって保存されたシークレットAPI

コントロールプレーン

マネージドサービス

Databricks SQL クエリとクエリ履歴

コントロールプレーン

マネージドサービス

Databricks Runtime クラスター ノードおよびその他のコンピュート リソースのリモート GCE 永続ディスク ボリューム。

クラシックコンピュートプレーンをGoogle Cloud アカウントに入れます。

ワークスペースストレージ

顧客がアクセス可能なDBFSルートデータ

DBFSワークスペース ストレージ バケット内のルート。これには、FileStore 領域も含まれます。

ワークスペースストレージ

ジョブ 結果

Google Cloud アカウントのワークスペース ストレージ バケット

ワークスペースストレージ

Databricks SQL クエリ結果

Google Cloud アカウントのワークスペース ストレージ バケット

ワークスペースストレージ

MLflowモデル

Google Cloud アカウントのワークスペース ストレージ バケット

ワークスペースストレージ

Lakeflow 宣言型パイプライン

DBFSルートでDBFSパスを使用する場合、これはGoogle Cloudアカウントのワークスペースストレージバケットに保存されます。これは、他のデータソースへのマウントポイントを表すDBFSパスには適用されません。

ワークスペースストレージ

対話型ノートブックの結果

デフォルトでは、ノートブックを(ジョブとしてではなく)インタラクティブに実行すると、結果はパフォーマンスのためにコントロール プレーンに保存され、一部の大きな結果は Google Cloud アカウントのワークスペース ストレージ バケットに保存されます。 すべてのインタラクティブノートブックの結果を Google Cloud アカウントに保存するように Databricks を構成することを選択できます。 対話型ノートブックの結果の保存場所の構成を参照してください。

コントロールプレーンで部分的な結果を得るには、マネージドサービスに顧客管理のキーを使用します。 2 つの GCS バケットの結果 (すべての結果ストレージに対して構成可能) については、ワークスペースストレージに顧客管理キーを使用します。 対話型ノートブックの結果の保存場所の構成を参照してください。

サーバレス コンピュートと顧客管理キー​

Databricks SQL サーバレスとサーバレス コンピュートのサポート:

  • マネージドサービスのキー ( Databricks SQL クエリ、クエリ履歴、ノートブック ソースとメタデータ、ベクトル検索インデックスとメタデータなど)。
  • Databricks SQL とノートブックの結果のルート ストレージを含むワークスペース ストレージ キー。

サーバレス コンピュート リソースのディスクは存続期間が短く、サーバレス ワークロードのライフサイクルに関連付けられているため、リモート GCE 永続ディスク ボリュームの暗号化はサーバレス コンピュートには適用されません。 サーバレス コンピュート リソースが停止またはスケールダウンされると、VM とそのストレージは破棄されます。

モデルサービング​

サーバレスコンピュートの機能である モデルサービング のリソースは一般的に次の 2 つのカテゴリに分類されます。

  • モデル用に作成したリソースは、ワークスペースのルートストレージに格納されます。これには、モデルのアーティファクトとバージョンメタデータが含まれます。ワークスペース モデルレジストリと MLflow の両方がこのストレージを使用します。 顧客管理キーを使用するようにこのストレージを構成できます。
  • Databricksがユーザーに代わって直接作成するリソースには、モデルイメージと一時的なサーバレスコンピューティングストレージが含まれます。これらはDatabricksが管理するキーで暗号化されており、カスタマーマネージドキーはサポートされていません。
に最終更新