Protezione dei modelli con chiavi di crittografia gestite dal cliente

BigQuery ML supporta le chiavi di crittografia gestite dal cliente (CMEK). Oltre alla crittografia predefinita fornita da BigQuery, i clienti possono iniziare a utilizzare le proprie chiavi Cloud KMS per la crittografia dei modelli di machine learning. Supportiamo anche la crittografia dei modelli TensorFlow importati.

Scopri di più sulla protezione dei dati con le chiavi Cloud KMS in BigQuery.

Creare un modello criptato con una chiave Cloud KMS

Per creare un modello criptato, utilizza l'istruzione CREATE MODEL e specifica KMS_KEY_NAME nelle opzioni di addestramento, tra gli altri.

CREATE MODEL my_dataset.my_model
OPTIONS(
  model_type='linear_reg',
  input_label_cols=['your_label'],
  kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key')
AS SELECT * FROM my_dataset.my_data

La stessa sintassi si applica anche all'importazione del modello Tensorflow.

CREATE MODEL my_dataset.my_model
OPTIONS(
  model_type='tensorflow',
  path='gs://bucket/path/to/saved_model/*',
  kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key')
AS SELECT * FROM my_dataset.my_data

Limitazioni

Le chiavi di crittografia gestite dal cliente hanno le seguenti limitazioni durante la crittografia dei modelli di machine learning:

Le chiavi CMEK della regione Global non sono supportate durante la creazione di modelli DNN, Wide-and-Deep, Autoencoder e Boosted Tree.
L'utilizzo di CMEK non è supportata per i modelli di Tabella AutoML.

Determina se un modello è protetto da Cloud KMS

Quando un modello è protetto dalla chiave Cloud KMS, la chiave può essere visualizzata utilizzando il comando bq show. La chiave utilizzata per la crittografia si trova in kmsKeyName.

bq show -m my_dataset.my_model

Puoi anche utilizzare Google Cloud Console per scoprire la chiave Cloud KMS per un modello criptato. Scopri di più su come mostrare la chiave Cloud KMS in BigQuery.

Modifica la chiave Cloud KMS per un modello criptato

Utilizza il comando bq update con il flag --destination_kms_key per modificare la chiave di una tabella protetta da Cloud KMS.

bq update --destination_kms_key \
projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key \
-t my_dataset.my_model

Scopri di più su come modificare la chiave in BigQuery.

Chiave Cloud KMS del progetto e del set di dati predefinita

Gli utenti possono configurare chiavi Cloud KMS predefinite a livello di progetto e/o di set di dati in BigQuery. In BigQuery ML, queste chiavi predefinite sono supportate anche durante la creazione dei modelli. Quando un progetto ha una chiave Cloud KMS predefinita, il modello creato all'interno di questo progetto viene automaticamente criptato dalla chiave predefinita. L'utente può anche specificare le proprie chiavi nelle opzioni di addestramento per criptare il modello. Lo stesso vale per il set di dati che ha una chiave predefinita.

Scopri di più sull'impostazione di una chiave predefinita di un set di dati in BigQuery.

Altre funzioni di BigQuery ML

Tutte le altre funzioni di BigQuery ML, incluse le funzioni di valutazione (ML.EVALUATE, ML.ROC_CURVE, ML.CONFUSION_MATRIX), le funzioni di previsione (ML.PREDICT), le funzioni di ispezione di modelli e funzionalità (ML.TRAINING_INFO, ML.FEATURE_INFO, ML.WEIGHTS, {22/specificare se ne è necessaria una senza crittografia