Keamanan layanan Azure AI

Keamanan harus dianggap sebagai prioritas utama dalam pengembangan semua aplikasi, dan dengan pertumbuhan aplikasi yang mendukung kecerdasan buatan, keamanan menjadi semakin penting. Artikel ini menguraikan berbagai fitur keamanan yang tersedia untuk layanan Azure AI. Setiap fitur menangani kewajiban tertentu, sehingga beberapa fitur dapat digunakan dalam alur kerja yang sama.

Untuk daftar komprehensif rekomendasi keamanan layanan Azure, lihat artikel garis besar keamanan layanan Azure AI.

Fitur keamanan

Fitur	Deskripsi
Keamanan Lapisan Transportasi (TLS)	Semua titik akhir layanan Azure AI yang diekspos melalui HTTP memberlakukan protokol TLS 1.2. Dengan protokol keamanan yang diberlakukan, konsumen yang mencoba memanggil titik akhir layanan Azure AI harus mengikuti panduan berikut: Sistem operasi klien (OS) perlu mendukung TLS 1.2. Bahasa (dan platform) yang digunakan untuk membuat panggilan HTTP harus menentukan TLS 1.2 sebagai bagian dari permintaan. Tergantung bahasa dan platformnya, menentukan TLS dilakukan secara implisit atau eksplisit. Untuk pengguna .NET, pertimbangkan praktik terbaik Keamanan Lapisan Transportasi
Opsi autentikasi	Autentikasi adalah tindakan memverifikasi identitas pengguna. Sebaliknya, otorisasi, adalah spesifikasi hak akses dan hak istimewa ke sumber daya untuk identitas tertentu. Identitas adalah kumpulan informasi tentang prinsipal, dan prinsipal dapat berupa pengguna individu atau layanan. Secara default, Anda mengautentikasi panggilan Anda sendiri ke layanan Azure AI menggunakan kunci langganan yang disediakan; ini adalah metode paling sederhana tetapi bukan yang paling aman. Metode autentikasi yang paling aman adalah menggunakan peran terkelola di ID Microsoft Entra. Untuk mempelajari tentang ini dan opsi autentikasi lainnya, lihat Mengautentikasi permintaan ke layanan Azure AI.
Rotasi kunci	Setiap sumber daya layanan Azure AI memiliki dua kunci API untuk mengaktifkan rotasi rahasia. Ini adalah tindakan pencegahan keamanan yang memungkinkan Anda secara teratur mengubah kunci yang dapat mengakses layanan Anda, melindungi privasi layanan Anda jika kunci bocor. Untuk mempelajari tentang ini dan opsi autentikasi lainnya, lihat Memutar kunci.
Variabel lingkungan	Variabel lingkungan adalah pasangan nama-nilai yang disimpan dalam lingkungan pengembangan tertentu. Anda dapat menyimpan kredensial Anda dengan cara ini sebagai alternatif yang lebih aman untuk menggunakan nilai hardcode dalam kode Anda. Namun, jika lingkungan Anda terganggu, variabel lingkungan juga terganggu, jadi ini bukan pendekatan yang paling aman. Untuk petunjuk tentang cara menggunakan variabel lingkungan dalam kode Anda, lihat Panduan variabel lingkungan.
Kunci yang dikelola pelanggan (CMK)	Fitur ini ditujukan untuk layanan yang menyimpan data tidak aktif pelanggan (lebih dari 48 jam). Meskipun data ini sudah dienkripsi ganda di server Azure, pengguna bisa mendapatkan keamanan ekstra dengan menambahkan lapisan enkripsi lain, dengan kunci yang mereka kelola sendiri. Anda dapat menautkan layanan Anda ke Azure Key Vault dan mengelola kunci enkripsi data Anda di sana. Hanya beberapa layanan yang dapat menggunakan CMK; cari layanan Anda di halaman Kunci yang dikelola pelanggan.
Jaringan virtual	Dengan jaringan virtual, Anda dapat menentukan titik akhir mana yang dapat melakukan panggilan API ke sumber daya Anda. Layanan Azure akan menolak panggilan API yang berasal dari perangkat di luar jaringan Anda. Anda dapat menetapkan definisi berbasis rumus dari jaringan yang diizinkan, atau Anda dapat menentukan daftar lengkap titik akhir yang diizinkan. Ini adalah lapisan keamanan lain yang dapat digunakan dalam kombinasi dengan yang lain.
Pencegahan kehilangan data	Dengan fitur pencegahan hilangnya data, administrator dapat memutuskan jenis URI apa yang dapat diambil oleh sumber daya Azure mereka sebagai input (untuk panggilan API yang menggunakan URI sebagai input). Hal ini dapat dilakukan untuk mencegah kemungkinan penyelundupan data sensitif perusahaan: Jika perusahaan menyimpan informasi sensitif (seperti data pribadi pelanggan) dalam parameter URL, pelaku jahat di dalam perusahaan tersebut dapat mengirimkan URL sensitif ke layanan Azure yang memunculkan data di luar perusahaan. Dengan pencegahan hilangnya data, Anda dapat mengonfigurasi layanan untuk menolak bentuk URI tertentu pada saat kedatangan.
Customer Lockbox	Fitur Customer Lockbox menyediakan antarmuka bagi pelanggan untuk meninjau dan menyetujui atau menolak permintaan akses data. Hal ini digunakan apabila seorang teknisi ahli Microsoft perlu mengakses data pelanggan selama permintaan dukungan. Untuk informasi tentang bagaimana permintaan Customer Lockbox dimulai, dilacak, dan disimpan untuk tinjauan dan audit nanti, lihat panduan Customer Lockbox. Customer Lockbox tersedia untuk layanan berikut: Azure OpenAI Penerjemah Pemahaman bahasa percakapan Klasifikasi teks kustom Pengenalan entitas bernama kustom Alur kerja Orkestrasi
Bawa penyimpanan Anda sendiri (BYOS)	Layanan Ucapan saat ini tidak mendukung Customer Lockbox. Namun, Anda dapat mengatur agar data khusus layanan Anda disimpan di sumber daya penyimpanan Anda sendiri menggunakan bring-your-own-storage (BYOS). Dengan BYOS, Anda dapat mencapai kontrol data yang serupa dengan Customer Lockbox. Perlu diingat bahwa data layanan Ucapan tetap ada dan diproses di wilayah Azure tempat sumber daya Ucapan dibuat. Ini berlaku untuk data tidak aktif dan data saat transit. Untuk fitur kustomisasi seperti Ucapan Kustom dan Suara Kustom, semua data pelanggan ditransfer, disimpan, dan diproses di wilayah yang sama tempat sumber daya layanan Ucapan dan sumber daya BYOS (jika digunakan) berada. Untuk menggunakan BYOS dengan Ucapan, ikuti panduan Enkripsi Ucapan data tidak aktif. Microsoft tidak menggunakan data pelanggan untuk meningkatkan model Ucapan. Selain itu, jika pengelogan titik akhir dinonaktifkan dan tidak ada kustomisasi yang digunakan, maka tidak ada data pelanggan yang disimpan oleh Ucapan.

Langkah berikutnya

• Jelajahi layanan Azure AI dan pilih layanan untuk memulai.