Résumé

  • 2 minutes

L’API côté partenaire de Contoso Retail a eu quatre lacunes de sécurité distinctes au début de ce module. Chacun d’eux a traité une couche d’application différente que fournit Gestion des API Azure.

Vous avez configuré des stratégies d’authentification et d’autorisation qui ont fermé le premier écart. Les clés d’abonnement ont établi une couche de contrôle d’accès de référence nécessitant que les appelants présentent un secret partagé avec chaque requête. La stratégie validate-azure-ad-token a été étendue pour inclure la validation des jetons basés sur l’identité, en veillant à ce que seules les applications inscrites dans le locataire approuvé de Microsoft Entra puissent obtenir des jetons capables de franchir la passerelle. L’étendue de la politique vous a donné un contrôle précis du positionnement : l’étendue du produit pour les API partenaires, laissant les endpoints de santé internes inchangés.

Vous avez appliqué des contrôles de sécurité réseau qui répondent au deuxième écart. La ip-filter stratégie limite les plages d’adresses IP sources qui peuvent atteindre la passerelle. Les stratégies limitent rate-limit la rate-limit-by-key consommation par abonnement et par appelant, ce qui empêche l’abus de rafales. La quota politique appliquait des engagements mensuels en volume alignés sur les niveaux de contrat des partenaires. Les modes d’intégration de réseau virtuel (externes pour les API accessibles sur Internet, internes pour les charges de travail entièrement privées) vous ont donné un modèle pour réduire ou éliminer la surface d’attaque publique pour les API qui ne nécessitent pas d’exposition à Internet.

Vous avez sécurisé les connexions back-end à l’aide de certificats clients et de TLS (Transport Layer Security), qui a fermé le troisième écart. Gestion des API présente un certificat client au serveur principal sur chaque appel sortant, et la validate-client-certificate stratégie exige que les appelants présentent des certificats à la passerelle. Les deux extrémités de la connexion sont désormais authentifiées par chiffrement. L'intégration d'Azure Key Vault a supprimé la gestion manuelle du cycle de vie des certificats de l’équation.

Vous avez configuré des fonctionnalités de passerelle IA pour combler le quatrième écart. L'authentification de l'identité gérée a éliminé les clés API Azure OpenAI de la configuration. La azure-openai-token-limit stratégie régit la consommation au niveau du jeton, le facteur de coût réel pour les charges de travail LLM (Large Language Model). La mise en cache sémantique réduit les appels redondants pour des invites similaires. Tous les consommateurs d’IA, y compris les agents autonomes, passent par le même point d’application.

En savoir plus