gcloud jobsで復号鍵を提供するトレーニングを依頼する

Question

私は最初にGoogle Cloud MLエンジンでネットワークを訓練しましたが、データを暗号化するために自分の暗号化キーを提供することで設定を少し安全にしようとしています。 the manualで説明したように、暗号化されていない場所に自分のカスタム暗号化キーを格納する代わりに、自分のデータをCloud Storageにコピーしました。

しかし、私のセットアップ（明らかに！）が壊れました。私がMLエンジンに提出したPythonコードは、ファイルを復号化できないためです。 --decrypt-key〜gcloud ml-engine jobs submit trainingのようなオプションが必要ですが、そのようなオプションは見つかりません。私のコードがデータを解読できるようにこのキーを提供する方法？

Answer 1

短い答え：解読キーをトレーニングジョブに渡すべきではありません。代わりにhttps://cloud.google.com/kms/docs/store-secrets

長い答え：技術的には、トレーニングジョブ定義を通過するフラグを解読キーにすることができますが、これはリストトレーニングジョブにアクセスできるユーザーに公開されます。代わりにGoogle Cloud Key Management Serviceにキーを配置し、そこからキーを取得するためのMLトレーニングジョブの実行権限をサービスアカウントに与える必要があります。

あなたはhttps://cloud.google.com/ml-engine/docs/how-tos/working-with-data#using_a_cloud_storage_bucket_from_a_different_project

編集に記載された手順に従ってトレーニングジョブを実行するサービスアカウントを決定することができます。また、アレクセイは以下のコメントで言っていることに注意してください。 Tensorflowは現在、GCSからファイルを直接読み取ったり復号したりすることはできません。gsutil cpに提供された鍵を持つすべての作業者のローカルディスクにコピーする必要があります。