BigQuery ML supporta le chiavi di crittografia gestite dal cliente (CMEK). Oltre alla crittografia predefinita fornita da BigQuery, i clienti possono ora iniziare a utilizzare le proprie chiavi Cloud KMS per la crittografia dei modelli di machine learning. Supportiamo anche la crittografia dei modelli TensorFlow importati.
Scopri di più su come proteggere i dati con le chiavi Cloud KMS in BigQuery.
Crea un modello criptato con una chiave Cloud KMS
Per creare un modello criptato, utilizza l'istruzione CREATE MODEL
e specifica KMS_KEY_NAME
nelle opzioni di addestramento.
CREATE MODEL my_dataset.my_model
OPTIONS(
model_type='linear_reg',
input_label_cols=['your_label'],
kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key')
AS SELECT * FROM my_dataset.my_data
La stessa sintassi si applica anche all'importazione del modello Tensorflow.
CREATE MODEL my_dataset.my_model
OPTIONS(
model_type='tensorflow',
path='gs://bucket/path/to/saved_model/*',
kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key')
AS SELECT * FROM my_dataset.my_data
Limitazioni
Le chiavi di crittografia gestite dal cliente sono soggette alle seguenti limitazioni durante la crittografia dei modelli di machine learning:
Le chiavi CMEK della regione
Global
non sono supportate durante la creazione di modelli DNN, Wide and Deep, Autoencoder e Boosted Tree.Le chiavi CMEK della regione
Global
e le chiavi CMEK in più regioni, ad esempioeu
ous
, non sono supportate durante la creazione di modelli Tabella AutoML.
Determina se un modello è protetto da Cloud KMS
Quando un modello è protetto dalla chiave Cloud KMS, la chiave può essere visualizzata utilizzando il comando bq show
. La chiave utilizzata per la crittografia è disponibile in kmsKeyName
.
bq show -m my_dataset.my_model
Puoi anche utilizzare la console Google Cloud per scoprire la chiave Cloud KMS per un modello criptato. Scopri di più su come mostrare la chiave Cloud KMS in BigQuery.
Modifica la chiave Cloud KMS per un modello criptato
Utilizza il comando bq update
con il flag --destination_kms_key
per modificare la chiave in un modello protetto da Cloud KMS.
bq update --destination_kms_key \
projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key \
-t my_dataset.my_model
Scopri di più su come modificare la chiave in BigQuery.
Chiave Cloud KMS predefinita di progetto e set di dati
Gli utenti possono configurare chiavi Cloud KMS predefinite a livello di progetto e/o di set di dati in BigQuery. In BigQuery ML, queste chiavi predefinite sono supportate anche durante la creazione di modelli. Quando un progetto ha una chiave Cloud KMS predefinita, il modello creato all'interno di questo progetto viene automaticamente criptato dalla chiave predefinita. L'utente può anche specificare le proprie chiavi nelle opzioni di addestramento per criptare il modello. Lo stesso vale per il set di dati che ha una chiave predefinita.
Scopri di più sull'impostazione di una chiave predefinita per il set di dati in BigQuery.
Altre funzioni di BigQuery ML
Tutte le altre funzioni BigQuery ML, incluse le funzioni di valutazione
(ML.EVALUATE
,
ML.ROC_CURVE
,
ML.CONFUSION_MATRIX
),
Funzioni di previsione (ML.PREDICT
),
Funzioni di ispezione di modelli e funzionalità
(ML.TRAINING_INFO
,
ML.FEATURE_INFO
,
ML.WEIGHTS
,
{22/