Condividi tramite

Sicurezza per gli strumenti di fonderia

La sicurezza deve essere considerata una priorità assoluta nello sviluppo di tutte le applicazioni e, con la crescita delle applicazioni abilitate per l'intelligenza artificiale, è ancora più importante. Questo articolo illustra le varie funzionalità di sicurezza disponibili per gli strumenti foundry. Ogni funzionalità è mirata a una responsabilità specifica, quindi è possibile usarne più di una nello stesso flusso di lavoro.

Per un elenco completo delle raccomandazioni di sicurezza per i servizi Azure, vedere l'articolo Base di sicurezza degli strumenti Foundry.

Funzionalità di sicurezza

Funzionalità Descrizione
Transport Layer Security (TLS) Tutti gli endpoint di Foundry Tools esposti tramite HTTP applicano il protocollo TLS 1.2 o, facoltativamente, TLS 1.3. Con un protocollo di sicurezza applicato, i consumer che tentano di chiamare un endpoint degli strumenti Foundry devono seguire queste linee guida:
  • Il sistema operativo client deve supportare TLS 1.2 (o 1.3).
  • Il linguaggio (e la piattaforma) usato per effettuare la chiamata HTTP deve specificare TLS 1.2 (o 1.3) come parte della richiesta. A seconda del linguaggio e della piattaforma, la specifica di TLS viene eseguita in modo implicito o esplicito.
  • Per gli utenti .NET, considerare le procedure consigliate per Transport Layer Security (TLS)
Opzioni di autenticazione L'autenticazione è l'atto di verificare l'identità di un utente. L'autorizzazione, invece, è la specifica dei diritti di accesso e dei privilegi per le risorse per una determinata identità. Un'identità è una raccolta di informazioni su un'entità e un'entità può essere un singolo utente o un servizio.

Per impostazione predefinita, si autenticano le proprie chiamate a Foundry Tools usando le chiavi di sottoscrizione fornite; questo è il metodo più semplice, ma non il più sicuro. Il metodo di autenticazione più sicuro consiste nell'uso dei ruoli gestiti in Microsoft Entra ID. Per altre informazioni su questa e altre opzioni di autenticazione, vedere Autenticare le richieste agli strumenti Foundry.
Rotazione delle chiavi Ogni risorsa Foundry ha due chiavi API per abilitare la rotazione dei segreti. Questa è una precauzione di sicurezza che consente di modificare regolarmente le chiavi che possono accedere al servizio, proteggendo la privacy del servizio in caso di perdita di una chiave. Per altre informazioni su questa e altre opzioni di autenticazione, vedere Ruotare le chiavi.
Variabili di ambiente Le variabili di ambiente sono coppie nome-valore archiviate in un ambiente di sviluppo specifico. Le variabili di ambiente sono più sicure rispetto all'uso di valori hardcoded nel codice. Per istruzioni su come usare le variabili di ambiente nel codice, vedere la Guida alle variabili di ambiente.

Tuttavia, se l'ambiente è compromesso, anche le variabili di ambiente vengono compromesse, quindi questo non è l'approccio più sicuro. Il metodo di autenticazione più sicuro consiste nell'uso dei ruoli gestiti in Microsoft Entra ID. Per altre informazioni su questa e altre opzioni di autenticazione, vedere Autenticare le richieste agli strumenti Foundry.
Chiavi gestite dal cliente (CMK) Questa funzionalità è destinata ai servizi che archiviano i dati inattivi dei clienti (per più di 48 ore). Anche se questi dati sono già crittografati a doppio livello nei server di Azure, gli utenti possono ottenere una maggiore sicurezza aggiungendo un altro livello di crittografia con le chiavi che gestiscono autonomamente. È possibile collegare il servizio ad Azure Key Vault e gestire qui le chiavi di crittografia dei dati.

Controllare se la chiave gestita dal cliente (CMK) è supportata dal servizio che si desidera usare nella documentazione sulle Chiavi gestite dal cliente.
Reti virtuali Le reti virtuali consentono di specificare quali endpoint possono effettuare chiamate API alla risorsa. Il servizio di Azure rifiuta le chiamate API dai dispositivi esterni alla rete. È possibile impostare una definizione basata su formula della rete consentita oppure definire un elenco completo di endpoint da consentire. Si tratta di un altro livello di sicurezza che può essere usato in combinazione con altri.
Prevenzione della perdita dei dati La funzionalità di prevenzione della perdita dei dati consente a un amministratore di decidere quali tipi di URI può accettare la risorsa di Azure come input (per le chiamate API che accettano URI come input). Questa operazione può essere eseguita per evitare la possibile esfiltrazione dei dati aziendali sensibili: se un'azienda archivia informazioni riservate (ad esempio i dati privati di un cliente) nei parametri URL, un attore malintenzionato all'interno di tale azienda potrebbe inviare gli URL sensibili a un servizio di Azure, che espone tali dati all'esterno dell'azienda. La prevenzione della perdita dei dati consente di configurare il servizio per rifiutare determinati moduli URI all'arrivo.
Customer Lockbox La funzionalità Customer Lockbox fornisce un'interfaccia che consente ai clienti di esaminare e approvare oppure rifiutare le richieste di accesso ai dati. Viene usato nei casi in cui un tecnico Microsoft deve accedere ai dati dei clienti durante una richiesta di supporto. Per informazioni su come vengono avviate, monitorate e archiviate le richieste di Customer Lockbox per revisioni e controlli successivi, vedere la Guida di Customer Lockbox.

Customer Lockbox è disponibile per i servizi seguenti:
  • OpenAI di Azure
  • Funzione di conversione
  • Comprensione del linguaggio di conversazione
  • Classificazione personalizzata del testo
  • Riconoscimento entità denominata personalizzata
  • Flusso di lavoro di orchestrazione
Usare risorse di archiviazione personali (BYOS - Bring Your Own Storage) Il servizio Voce attualmente non supporta Customer Lockbox. Tuttavia, è possibile organizzare i dati specifici del servizio da archiviare nella propria risorsa di archiviazione usando bring-your-own-storage (BYOS). BYOS consente di ottenere controlli dati simili a Customer Lockbox. Tenere presente che i dati del servizio Voce rimangono e vengono elaborati nell'area di Azure in cui è stata creata la risorsa Voce. Questo vale per tutti i dati inattivi e i dati in transito. Per le funzionalità di personalizzazione, ad esempio Riconoscimento vocale personalizzato e Voce personalizzata, tutti i dati dei clienti vengono trasferiti, archiviati ed elaborati nella stessa area in cui risiede la risorsa BYOS (se usato) e del servizio Voce.

Per usare BYOS con Voce, seguire la Guida alla crittografia della voce dei dati inattivi.

Microsoft non usa i dati dei clienti per migliorare i modelli di Voce. Inoltre, se la registrazione degli endpoint è disabilitata e non vengono usate personalizzazioni, non vengono archiviati dati dei clienti di Voce.

Passo successivo

  • Last updated on