Présentation
Contoso Retail expose une API côté partenaire via Gestion des API Azure qui fournit l’accès aux données de catalogue de produits, de tarification et d’inventaire. N’importe quel appelant disposant d’une URL valide peut effectuer des demandes , aucune clé d’abonnement requise, aucune validation de jeton appliquée et aucune limite de débit appliquée. Les API principales acceptent toute requête HTTPS entrante sans vérifier l’identité de l’appelant au niveau de la connexion.
L’équipe évalue également gestion des API comme passerelle sécurisée pour un nouveau moteur de recommandation de produit basé sur OpenAI Azure qui sert des applications internes. Chacun d’eux représente un écart de sécurité distinct que vous devez fermer.
Gestion des API ne protège pas automatiquement les API. La plateforme fournit les stratégies, les contrôles réseau, la gestion des certificats et les fonctionnalités spécifiques à l’IA pour créer une sécurité d’API forte, mais cette protection doit être configurée délibérément. Si ces lacunes sont ouvertes, les informations d'identification d'un partenaire divulguées accordent un accès sans limites, les services back-end acceptent les demandes par tout appelant contournant la passerelle et les coûts du modèle IA peuvent augmenter de manière incontrôlée à partir d'un seul consommateur à fort volume.
Ce module décrit quatre couches de sécurité d’API qui répondent aux lacunes de Contoso. Vous commencez par l’authentification et l’autorisation : configuration des clés d’abonnement, de la validation JWT (JSON Web Token) et des stratégies de jeton Microsoft Entra ID pour contrôler qui peut appeler vos API. Vous appliquez ensuite des contrôles de sécurité réseau ( filtrage IP, limitation de débit et intégration de réseau virtuel) pour régir la quantité d’appelants qui consomment et à partir de quel emplacement. Vous sécurisez ensuite les connexions back-end à l’aide de l’authentification par certificat client et du protocole TLS mutuel (mTLS), ce qui garantit que seule la gestion des API peut appeler vos services principaux. Enfin, vous configurez les fonctionnalités de la passerelle IA pour sécuriser et gérer les points de terminaison OpenAI sur Azure derrière la gestion des API, en utilisant des limites de débit basées sur les jetons et l’authentification via une identité managée.
À la fin de ce module, vous pouvez configurer les stratégies d’authentification et d’autorisation de l’API, implémenter des contrôles de sécurité réseau, appliquer la sécurité de connexion back-end avec TLS mutuel et configurer la passerelle AI pour régir les points de terminaison de modèle IA.
Dans ce module, vous allez découvrir les points suivants :
- Configurer les stratégies d’authentification et d’autorisation des API, notamment la validation JWT et OAuth 2.0 avec Microsoft Entra ID
- Implémenter des contrôles de sécurité réseau, notamment le filtrage IP, la limitation de débit et l’intégration de réseau virtuel pour gestion des API
- Appliquer la sécurité des connexions back-end à l’aide de l’authentification par certificat client et du protocole TLS mutuel
- Configurer la passerelle AI dans Gestion des API pour sécuriser et régir les points de terminaison de modèle IA