Integrierte Azure-Richtliniendefinitionen für Azure KI-Suche

Note

Azure KI-Suche ist über das Azure Portal, REST-APIs und Azure SDKs verfügbar. Es unterstützt auch Foundry IQ, die verwaltete Wissensschicht, die Unternehmensinhalte in wiederverwendbare, berechtigungsfähige Wissensbasen für Agenten im Microsoft Foundry-Portal transformiert.

Diese Seite ist ein Index der integrierten Azure-Richtliniendefinitionen für Azure KI-Suche. Weitere Azure Policy-Integrationen für andere Dienste finden Sie unter Integrierte Azure Policy-Richtliniendefinitionen.

Die Namen der einzelnen integrierten Richtliniendefinitionen sind Links zur entsprechenden Richtliniendefinition im Azure-Portal. Verwenden Sie den Link in der Spalte Version, um die Quelle im Azure Policy-GitHub-Repository anzuzeigen.

Name
(Azure-Portal)		 BESCHREIBUNG Auswirkungen Version
(GitHub)
[Vorschau]: Der Dienst für Azure KI-Suche sollte zonenredundant sein. Der Dienst für Azure KI-Suche kann so konfiguriert werden, dass er zonenredundant oder nicht zonenredundant ist. Verfügbarkeitszonen werden verwendet, wenn Sie Ihrem Suchdienst zwei oder mehr Replikate hinzufügen. Jedes Replikat wird in einer anderen Verfügbarkeitszone innerhalb der Region platziert. Überprüfen, Verweigern, Deaktiviert 1.0.0-Vorschau
Azure KI Suchdienst sollte eine SKU mit Unterstützung von privater Verbindung verwenden Für die unterstützten SKUs von Azure KI-Suche können Sie mithilfe von Azure Private Link Ihr virtuelles Netzwerk mit Azure-Diensten verbinden, ohne dass eine öffentliche IP-Adresse an der Quelle oder am Ziel vorhanden ist. Die Private Link-Plattform verarbeitet die Konnektivität zwischen dem Consumer und den Diensten über das Azure-Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Ihrem Suchdienst wird das Risiko von Datenlecks verringert. Weitere Informationen finden Sie unter https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Überprüfen, Verweigern, Deaktiviert 1.0.1
Azure KI Suchdienste sollten den Zugriff auf öffentliche Netzwerke deaktivieren Die Deaktivierung des Zugriffs über öffentliche Netzwerke erhöht die Sicherheit, da Ihr Azure AI Search-Dienst nicht über das öffentliche Internet zugänglich ist. Durch das Erstellen privater Endpunkte können Sie die Offenlegung Ihres Suchdiensts einschränken. Weitere Informationen finden Sie unter https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Überprüfen, Verweigern, Deaktiviert 1.0.1
Für den Azure Web PubSub-Dienst müssen lokale Authentifizierungsmethoden deaktiviert sein Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure KI-Suche-Dienste ausschließlich Azure Active Directory-Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter https://aka.ms/azure-cognitive-search/rbac. Beachten Sie, dass der Parameter "Lokale Authentifizierung deaktivieren" zwar noch in der Vorschau angezeigt wird, der Verweigerungseffekt für diese Richtlinie kann zu eingeschränkter Funktionalität des Azure KI-Suche-Portals führen, da einige Features des Portals die GA-API verwenden, die den Parameter nicht unterstützt. Überprüfen, Verweigern, Deaktiviert 1.0.1
Azure KI-Suche-Dienste sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln Das Aktivieren der ruhenden Verschlüsselung mithilfe eines vom Kunden verwalteten Schlüssels in Ihren Azure KI-Suche-Diensten bietet zusätzliche Kontrolle über den Schlüssel, der zum Verschlüsseln ruhender Daten verwendet wird. Diese Funktion gilt häufig für Kunden mit speziellen Complianceanforderungen an das Verwalten von Datenverschlüsselungsschlüsseln mithilfe eines Schlüsseltresors. AuditIfNotExists, Deaktiviert 2.1.0
Bei Azure KI Services-Ressourcen sollte der Schlüsselzugriff deaktiviert sein (lokale Authentifizierung deaktivieren). Es wird empfohlen, den Schlüsselzugriff (lokale Authentifizierung) für die Sicherheit zu deaktivieren. Azure OpenAI Studio wird in der Regel in der Entwicklung und für Tests verwendet, erfordert Schlüsselzugriff und funktioniert nicht, wenn dieser deaktiviert ist. Nach dem Deaktivieren ist Microsoft Entra ID die einzige Zugriffsmethode, die das Aufrechterhalten des Minimalberechtigungsprinzips und der präzisen Steuerung ermöglicht. Weitere Informationen finden Sie unter: https://aka.ms/AI/auth Überprüfen, Verweigern, Deaktiviert 1.1.0
Azure KI Services-Ressourcen sollten den Netzwerkzugriff einschränken Durch Einschränken des Netzwerkzugriffs können Sie sicherstellen, dass nur zulässige Netzwerke auf den Dienst zugreifen können. Sie erreichen dies, wenn Sie die Netzwerkregeln so konfigurieren, dass nur Anwendungen aus zulässigen Netzwerken auf Azure KI Services zugreifen können. Überprüfen, Verweigern, Deaktiviert 3.3.0
Azure KI Services-Ressourcen sollten Azure Private Link nutzen Mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure-Diensten verbinden, ohne an der Quelle oder am Ziel eine öffentliche IP-Adresse zu verwenden. Die Private Link-Plattform reduziert das Risiko von Datenlecks, indem die Konnektivität zwischen dem Consumer und den Diensten über das Azure-Backbone-Netzwerk verarbeitet wird. Weitere Informationen zu privaten Verbindungen finden Sie unter https://aka.ms/AzurePrivateLink/Overview. Audit, deaktiviert 1.0.0
Konfigurieren des Azure KI Search-Dienstes zum Deaktivieren lokaler Authentifizierung Deaktivieren Sie lokale Authentifizierungsmethoden, damit Ihre Azure KI-Suche-Dienste ausschließlich Azure Active Directory-Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter https://aka.ms/azure-cognitive-search/rbac. Bearbeiten, Deaktivieren 2.0.0
Konfigurieren von Azure KI-Suche-Diensten zum Deaktivieren des öffentlichen Netzwerkzugriffs Deaktivieren Sie den öffentlichen Netzwerkzugriff für Ihren Azure KI-Suche-Dienst, damit er nicht über das öffentliche Internet zugänglich ist. Dies kann das Risiko von Datenlecks verringern. Weitere Informationen finden Sie unter https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Bearbeiten, Deaktivieren 1.0.1
Konfigurieren der Dienste von Azure KI-Suche zum Erzwingen von kundenseitig verwalteten Schlüsseln zum Verschlüsseln ruhender Daten Das Aktivieren der ruhenden Verschlüsselung mithilfe eines vom Kunden verwalteten Schlüssels in Ihren Azure KI-Suche-Diensten bietet zusätzliche Kontrolle über den Schlüssel, der zum Verschlüsseln ruhender Daten verwendet wird. Diese Funktion gilt häufig für Kunden mit speziellen Complianceanforderungen an das Verwalten von Datenverschlüsselungsschlüsseln mithilfe eines Schlüsseltresors. Verweigern, deaktiviert 1.0.1
Konfigurieren von Azure KI-Suche-Diensten mit privaten Endpunkten Private Endpunkte verbinden Ihr virtuelles Netzwerk ohne eine öffentliche IP-Adresse an Quelle oder Ziel mit Azure-Diensten. Indem Sie private Endpunkte Ihrem Azure KI-Suche-Dienst zuordnen, können Sie Datenverlustrisiken reduzieren. Weitere Informationen finden Sie unter https://aka.ms/azure-cognitive-search/inbound-private-endpoints. DeployIfNotExists, deaktiviert 1.0.1
Konfigurieren von Azure KI Services-Ressourcen zum Deaktivieren des lokalen Schlüsselzugriffs (lokale Authentifizierung deaktivieren) Es wird empfohlen, den Schlüsselzugriff (lokale Authentifizierung) für die Sicherheit zu deaktivieren. Azure OpenAI Studio wird in der Regel in der Entwicklung und für Tests verwendet, erfordert Schlüsselzugriff und funktioniert nicht, wenn dieser deaktiviert ist. Nach dem Deaktivieren ist Microsoft Entra ID die einzige Zugriffsmethode, die das Aufrechterhalten des Minimalberechtigungsprinzips und der präzisen Steuerung ermöglicht. Weitere Informationen finden Sie unter: https://aka.ms/AI/auth DeployIfNotExists, deaktiviert 1.0.0
Bereitstellung von Diagnoseeinstellungen für Suchdienste in Event Hub Hiermit werden die Diagnoseeinstellungen für Suchdienste zum Streamen in eine regionale Event Hub-Instanz bereitgestellt, wenn ein Suchdienst erstellt oder aktualisiert wird, in dem diese Diagnoseeinstellungen fehlen. DeployIfNotExists, deaktiviert 2.0.0
Bereitstellung von Diagnoseeinstellungen für Suchdienste in Log Analytics-Arbeitsbereich Hiermit werden die Diagnoseeinstellungen für Suchdienste zum Streamen in einen regionalen Log Analytics-Arbeitsbereich bereitgestellt, wenn ein Suchdienst erstellt oder aktualisiert wird, in dem diese Diagnoseeinstellungen fehlen. DeployIfNotExists, deaktiviert 1.0.0
In Azure KI Services sollten Diagnoseprotokolle aktiviert sein Aktivieren Sie die Protokollierung für Azure KI Services-Ressourcen. Auf diese Weise können Sie vergangene Aktivitäten zu Untersuchungszwecken nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. AuditIfNotExists, Deaktiviert 1.0.0
Aktivieren der Protokollierung nach Kategoriegruppe für Suchdienste (microsoft.search/searchservices) auf Event Hub Ressourcenprotokolle müssen aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Sichtbarkeit und Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Suchdienste (microsoft.search/searchservices) weiterzuleiten. BereitstellenWennNichtVorhanden, ÜberprüfenWennNichtVorhanden, Deaktiviert 1.0.0
Aktivieren der Protokollierung nach Kategoriegruppe für Suchdienste (microsoft.search/searchservices) in Log Analytics Ressourcenprotokolle müssen aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Sichtbarkeit und Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics-Arbeitsbereich für Suchdienste (microsoft.search/searchservices) weiterzuleiten. BereitstellenWennNichtVorhanden, ÜberprüfenWennNichtVorhanden, Deaktiviert 1.0.0
Aktivieren der Protokollierung nach Kategoriegruppe für Suchdienste (microsoft.search/searchservices) im Speicher Ressourcenprotokolle müssen aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Sichtbarkeit und Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Suchdienste (microsoft.search/searchservices) weiterzuleiten. BereitstellenWennNichtVorhanden, ÜberprüfenWennNichtVorhanden, Deaktiviert 1.0.0
In Suchdiensten sollten Ressourcenprotokolle aktiviert sein Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. AuditIfNotExists, Deaktiviert 5.0.0

Nächste Schritte

  • Zuletzt aktualisiert um