Protezione dei modelli con chiavi di crittografia gestite dal cliente

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

BigQuery ML supporta le chiavi di crittografia gestite dal cliente (CMEK). Oltre alla crittografia predefinita fornita da BigQuery, i clienti possono ora iniziare a utilizzare le proprie chiavi Cloud KMS per la crittografia dei modelli di machine learning. Supportiamo anche la crittografia dei modelli TensorFlow importati.

Scopri di più su come proteggere i dati con le chiavi Cloud KMS in BigQuery.

Crea un modello criptato con una chiave Cloud KMS

Per creare un modello criptato, utilizza l'istruzione CREATE MODEL e specifica KMS_KEY_NAME nelle opzioni di addestramento.

CREATE MODEL my_dataset.my_model
OPTIONS(
  model_type='linear_reg',
  input_label_cols=['your_label'],
  kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key')
AS SELECT * FROM my_dataset.my_data

La stessa sintassi si applica anche all'importazione del modello Tensorflow.

CREATE MODEL my_dataset.my_model
OPTIONS(
  model_type='tensorflow',
  path='gs://bucket/path/to/saved_model/*',
  kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key')
AS SELECT * FROM my_dataset.my_data

Limitazioni

Le chiavi di crittografia gestite dal cliente sono soggette alle seguenti limitazioni durante la crittografia dei modelli di machine learning:

  • Le chiavi CMEK della regione Global non sono supportate durante la creazione di modelli DNN, Wide and Deep, Autoencoder e Boosted Tree.

  • Le chiavi CMEK della regione Global e le chiavi CMEK in più regioni, ad esempio eu o us, non sono supportate durante la creazione di modelli Tabella AutoML.

Determina se un modello è protetto da Cloud KMS

Quando un modello è protetto dalla chiave Cloud KMS, la chiave può essere visualizzata utilizzando il comando bq show. La chiave utilizzata per la crittografia è disponibile in kmsKeyName.

bq show -m my_dataset.my_model

Puoi anche utilizzare la console Google Cloud per scoprire la chiave Cloud KMS per un modello criptato. Scopri di più su come mostrare la chiave Cloud KMS in BigQuery.

Modifica la chiave Cloud KMS per un modello criptato

Utilizza il comando bq update con il flag --destination_kms_key per modificare la chiave in un modello protetto da Cloud KMS.

bq update --destination_kms_key \
projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key \
-t my_dataset.my_model

Scopri di più su come modificare la chiave in BigQuery.

Chiave Cloud KMS predefinita di progetto e set di dati

Gli utenti possono configurare chiavi Cloud KMS predefinite a livello di progetto e/o di set di dati in BigQuery. In BigQuery ML, queste chiavi predefinite sono supportate anche durante la creazione di modelli. Quando un progetto ha una chiave Cloud KMS predefinita, il modello creato all'interno di questo progetto viene automaticamente criptato dalla chiave predefinita. L'utente può anche specificare le proprie chiavi nelle opzioni di addestramento per criptare il modello. Lo stesso vale per il set di dati che ha una chiave predefinita.

Scopri di più sull'impostazione di una chiave predefinita per il set di dati in BigQuery.

Altre funzioni di BigQuery ML

Tutte le altre funzioni BigQuery ML, incluse le funzioni di valutazione (ML.EVALUATE, ML.ROC_CURVE, ML.CONFUSION_MATRIX), Funzioni di previsione (ML.PREDICT), Funzioni di ispezione di modelli e funzionalità (ML.TRAINING_INFO, ML.FEATURE_INFO, ML.WEIGHTS, {22/