Встроенные определения политики Azure для поиска ИИ Azure

Note

Поиск с использованием ИИ Azure доступна через портал Azure, REST API и Azure SDKs. Он также лежит в основе Foundry IQ — управляемого слоя знаний, который преобразует корпоративный контент в многократно используемые базы знаний с учетом разрешений доступа для агентов на портале Microsoft Foundry.

Эта страница представляет собой индекс встроенных определений политик Политики Azure для поиска ИИ Azure. Дополнительные встроенные компоненты Политики Azure для других служб см. в статье Встроенные определения Политики Azure.

Имя каждого встроенного определения политики связано с определением политики на портале Azure. Перейдите по ссылке в столбце Версия, чтобы просмотреть исходный код в репозитории GitHub для службы "Политика Azure".

Имя.
(портал Azure)		 Описание Эффекты Версия
(GitHub)
[Предпросмотр]: Служба Поиска ИИ Azure должна иметь избыточность по зонам Службу поиска Azure AI можно настроить как поддерживающую отказоустойчивость в зонах, так и без нее. Зоны доступности используются при добавлении двух или более реплик в службу поиска. Каждая реплика помещается в другую зону доступности в пределах региона. Аудит, отказ в доступе, отключено 1.0.0 (предварительная версия)
Служба поиска Azure AI должна использовать SKU, поддерживающий приватное подключение. С поддерживаемыми вариантами SKU Поиск с использованием ИИ Azure, Приватный канал Azure позволяет вам подключать вашу виртуальную сеть к службам Azure без использования общедоступного IP-адреса на стороне источника или назначения. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставляя частные конечные точки со своей службой поиска, вы можете снизить риски утечки данных. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Аудит, отказ в доступе, отключено 1.0.1
Службы Azure AI должны отключить доступ к общедоступной сети Отключение доступа к общедоступной сети повышает безопасность, гарантируя, что служба Поиск с использованием ИИ Azure не подвергается риску в общедоступном Интернете. Создав частные конечные точки, можно ограничить раскрытие данных службы поиска. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Аудит, отказ в доступе, отключено 1.0.1
В службе Azure AI должны быть отключены локальные методы аутентификации Отключение локальных методов проверки подлинности повышает безопасность, гарантируя, что службы Azure AI Поиска требуют исключительно удостоверения Azure Active Directory для проверки подлинности. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/rbac. Обратите внимание, что, хотя параметр отключения локальной проверки подлинности по-прежнему находится в предварительной версии, эффект запрета для этой политики может привести к ограничению функциональности портала поиска ИИ Azure, так как в некоторых функциях портала используется GA API, не поддерживающий этот параметр. Аудит, отказ в доступе, отключено 1.0.1
Службы Azure AI должны использовать ключи, управляемые клиентом, для шифрования данных в состоянии покоя Включение шифрования данных на диске с использованием ключа, управляемого клиентом, в службах ИИ Azure предоставляет дополнительный контроль над ключом, используемым для шифрования. Эта функция часто применяется для клиентов, которым нужно соблюдать нормативные требования, чтобы управлять ключами шифрования данных с помощью хранилища ключей. AuditIfNotExists, отключено 2.1.0
Ресурсы Служб искусственного интеллекта Azure должны иметь отключен доступ к ключу (отключить локальную проверку подлинности) Для обеспечения безопасности рекомендуется отключить доступ к ключам (локальная проверка подлинности). Azure OpenAI Studio, обычно используемый в разработке и тестировании, требует доступа к ключам и не будет функционировать, если доступ к ключу отключен. После отключения идентификатор Microsoft Entra становится единственным методом доступа, который позволяет поддерживать минимальный принцип привилегий и детализированный контроль. См. дополнительные сведения: https://aka.ms/AI/auth. Аудит, отказ в доступе, отключено 1.1.0
Ресурсы служб искусственного интеллекта Azure должны ограничить доступ к сети Ограничив сетевой доступ, вы можете убедиться, что только разрешенные сети могут получить доступ к службе. Это можно сделать, настроив правила сети, чтобы доступ к службе ИИ Azure могли получить только приложения из разрешенных сетей. Аудит, отказ в доступе, отключено 3.3.0
Ресурсы служб искусственного интеллекта Azure должны использовать Приватный канал Azure Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватный канал снижает риски утечки данных путем обработки подключения между потребителем и службами через магистральную сеть Azure. Дополнительные сведения о частных ссылках см. в следующем: https://aka.ms/AzurePrivateLink/Overview Аудит, отключено 1.0.0
Настройте службы Azure AI для отключения локальной проверки подлинности Отключите локальные методы проверки подлинности, чтобы служба Поиск с использованием ИИ Azure требовала только удостоверения Azure Active Directory для проверки подлинности. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/rbac. Изменить, Отключено 2.0.0
Настройка службы поиска Azure AI для отключения общедоступного сетевого доступа Отключите доступ к общедоступной сети для службы Azure AI, чтобы она не была доступна через публичный интернет. Это позволяет снизить риски утечки данных. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Изменить, Отключено 1.0.1
Настройка служб поиска ИИ Azure для принудительного применения ключей, управляемых клиентом, для шифрования неактивных данных Включение шифрования данных на диске с использованием ключа, управляемого клиентом, в службах ИИ Azure предоставляет дополнительный контроль над ключом, используемым для шифрования. Эта функция часто применяется для клиентов, которым нужно соблюдать нормативные требования, чтобы управлять ключами шифрования данных с помощью хранилища ключей. Отклонить, Отключено 1.0.1
Настройка служб поиска искусственного интеллекта Azure с помощью частных конечных точек Частные конечные точки подключают виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Сопоставляя частные конечные точки с службе ИИ Azure, вы можете снизить риски утечки данных. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. РазвернутьЕслиНеСуществует, Отключено 1.0.1
Настройка ресурсов служб искусственного интеллекта Azure для отключения доступа к локальному ключу (отключение локальной проверки подлинности) Для обеспечения безопасности рекомендуется отключить доступ к ключам (локальная проверка подлинности). Azure OpenAI Studio, обычно используемый в разработке и тестировании, требует доступа к ключам и не будет функционировать, если доступ к ключу отключен. После отключения идентификатор Microsoft Entra становится единственным методом доступа, который позволяет поддерживать минимальный принцип привилегий и детализированный контроль. См. дополнительные сведения: https://aka.ms/AI/auth. РазвернутьЕслиНеСуществует, Отключено 1.0.0
Развертывание параметров диагностики служб поиска в концентраторе событий Развертывает параметры диагностики служб поиска для потоковой передачи в региональный концентратор событий при создании или изменении служб поиска, где эти параметры диагностики отсутствуют. РазвернутьЕслиНеСуществует, Отключено 2.0.0
Развертывание параметров диагностики служб поиска в рабочей области Log Analytics Развертывает параметры диагностики служб поиска для отправки данных в региональную рабочую область Log Analytics в случае, если создаются или обновляются службы поиска, в которых отсутствуют эти параметры диагностики. РазвернутьЕслиНеСуществует, Отключено 1.0.0
Журналы диагностики в ресурсах служб ИИ Azure должны быть включены Включите журналы для ресурсов служб ИИ Azure. Это позволяет повторно создавать тропы действий для расследования, когда происходит инцидент безопасности или сеть скомпрометирована. AuditIfNotExists, отключено 1.0.0
Включение ведения журнала по группе категорий для служб (microsoft.search/searchservices) в Event Hub Журналы ресурсов должны быть включены для отслеживания действий и событий в ресурсах, а также для получения и просмотра аналитических сведений обо всех возникающих изменениях. Эта политика развертывает параметр диагностики с помощью категорийной группы для маршрутизации журналов в Event Hub для служб (microsoft.search/searchservices). Развернуть, если не существует, Проверить, если не существует, Отключено 1.0.0
Включить ведение журнала по группам категорий для службы (microsoft.search/searchservices) в Log Analytics Журналы ресурсов должны быть включены для отслеживания действий и событий в ресурсах, а также для получения и просмотра аналитических сведений обо всех возникающих изменениях. Эта политика развертывает параметр диагностики с помощью группы категорий для маршрутизации журналов в рабочую область Log Analytics для служб поиска (microsoft.search/searchservices). Развернуть, если не существует, Проверить, если не существует, Отключено 1.0.0
Включите ведение журнала по категорийной группе для служб поиска (microsoft.search/searchservices) в хранилище Журналы ресурсов должны быть включены для отслеживания действий и событий в ресурсах, а также для получения и просмотра аналитических сведений обо всех возникающих изменениях. Эта политика развертывает диагностическую настройку с использованием категорий для маршрутизации журналов в учетную запись хранения службы поиска (microsoft.search/searchservices). Развернуть, если не существует, Проверить, если не существует, Отключено 1.0.0
В службах "Поиск" должны быть включены журналы ресурсов Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать следы действий для целей расследования в случае инцидента безопасности или компрометации вашей сети. AuditIfNotExists, отключено 5.0.0

Следующие шаги

  • Последнее обновление: