Bot Framework Güvenliği ve Gizliliği hakkında Sık Sorulan Sorular

Her botun kendi hizmeti vardır ve bu hizmetlerin geliştiricilerinden, kendi Geliştirici Kullanım Kuralları'na uygun olarak Hizmet Koşulları ve Gizlilik Bildirimleri sağlamaları istenir. Daha fazla bilgi için bkz . Bot gözden geçirme yönergeleri.

Evet. Botunuz İnternet'te herhangi bir yerde barındırılabilir. Kendi sunucularınızda, Azure'da veya başka bir veri merkezinde. Tek gereksinim, botunun genel olarak erişilebilen bir HTTPS uç noktasını kullanıma sunması gerektiğidir.

Kullanıcılar, dizindeki bot'un kişi kartı aracılığıyla hatalı davranan bir botu raporlamanın bir yolunu sunar. Geliştiricilerin hizmete katılmak için Microsoft hizmet koşullarına uyması gerekir.

Botunuzdan İnternet'e giden trafiği engelleyen bir giden güvenlik duvarınız varsa, bu güvenlik duvarında aşağıdaki URL'lere izin vermeniz gerekir:

• login.botframework.com (Bot kimlik doğrulaması)
• login.microsoftonline.com (Bot kimlik doğrulaması)
• westus.api.cognitive.microsoft.com (Luis.ai NLP tümleştirmesi için)
• *.botframework.com (kanallar)
• state.botframework.com (geriye dönük uyumluluk)
• login.windows.net (Windows oturum açma)
• login.windows.com (Windows oturum açma)
• sts.windows.net (Windows oturum açma)
• Belirli Bot Framework kanalları için diğer URL'ler

Bot Framework Services, dünya genelindeKi Azure veri merkezlerinde barındırılır ve Azure IP'lerinin listesi sürekli değişir. Bu, azure IP adresleri değiştikçe bazı IP adreslerinin izin verme işleminin bir gün çalışabileceği ve sonrakini kesebileceği anlamına gelir.

Azure portalda bot oluşturmak için abonelikte veya belirli bir kaynak grubunda Katkıda Bulunan erişimi olması gerekir. Kaynak grubunda Katkıda Bulunan rolüne sahip bir kullanıcı, bu kaynak grubunda yeni bir bot oluşturabilir. Aboneliğin Katkıda Bulunan rolündeki bir kullanıcı yeni veya mevcut bir kaynak grubunda bot oluşturabilir.

Azure CLI'yı kullanarak rol tabanlı erişim denetimi yaklaşımı özel rolleri destekleyebilir. Daha kısıtlı izinlere sahip özel bir rol oluşturmak istiyorsanız, aşağıdaki küme kullanıcının LUIS, Soru-Cevap Oluşturma ve Uygulama Analizler'ni de destekleyen bir bot oluşturmasına ve dağıtmasına olanak tanır.

"Microsoft.Web/*",
"Microsoft.BotService/*",
"Microsoft.Storage/*",
"Microsoft.Resources/deployments/*",
"Microsoft.CognitiveServices/*",
"Microsoft.Search/searchServices/*",
"Microsoft.Insights/*",
"Microsoft.Insights/components/*"

1. Tüm orijinal Bot Framework isteklerine, kimlik doğrulama kılavuzunu izleyerek şifreleme imzası doğrulanabilen bir JWT belirteci eşlik eder. Belirteç, saldırganların güvenilen hizmetlerin kimliğine bürünmemesi için tasarlanmıştır.
2. Botunuza gönderilen her isteğe eşlik eden güvenlik belirtecinin içinde ServiceUrl kodlanmış durumdadır. Bu, bir saldırganın belirteci erişimi olsa bile konuşmayı yeni bir ServiceUrl'e yönlendiremediğini gösterir. Bu, SDK'nın tüm uygulamaları tarafından uygulanır ve kimlik doğrulama başvuru malzemelerimizde belgelenmiştir.
3. Gelen belirteç eksikse veya hatalı biçimlendirilmişse Bot Framework SDK'sı yanıt olarak belirteç oluşturmaz. Bu, bot yanlış yapılandırılırsa ne kadar zarar verebileceğini sınırlar.
4. Bot içinde, belirteçte sağlanan ServiceUrl'i el ile de kontrol edebilirsiniz. Bu, hizmet topolojisi değişirse botu daha kırılgan hale getirir, bu nedenle bu mümkün olsa da önerilmez.

Web Sohbeti denetiminde, uygun kullanıcının oturum açtığından emin olmak için iki mekanizma vardır.

1. Sihirli kod. Oturum açma işleminin sonunda kullanıcıya rastgele oluşturulan 6 basamaklı bir kod (sihirli kod) sunulur. Kullanıcının oturum açma işlemini tamamlamak için konuşmaya bu kodu yazması gerekir. Bu, kötü bir kullanıcının deneyimine neden olma eğilimindedir. Buna ek olarak, kimlik avı saldırılarına karşı hala açıktır. Kötü amaçlı bir kullanıcı, başka bir kullanıcıyı kimlik avı yoluyla oturum açması ve sihirli kodu alması için kandırabilir.

   Uyarı

   Sihirli kodun kullanımı kullanım dışıdır. Bunun yerine, aşağıda açıklanan Direct Line gelişmiş kimlik doğrulamayı kullanmanız gerekir.

2. Direct Line gelişmiş kimlik doğrulaması. Sihirli kod yaklaşımıyla ilgili sorunlar nedeniyle Azure AI Bot Hizmeti gereksinimini ortadan kaldırdı. Azure AI Bot Hizmeti, oturum açma işleminin yalnızca Web Sohbeti kendisiyle aynı tarayıcı oturumunda tamamlanacağını garanti eder. Bu korumayı etkinleştirmek için, Web Sohbeti botun Web Sohbeti istemcisini barındırabilecek güvenilir etki alanları olarak da bilen güvenilir çıkış noktalarının listesini içeren bir Doğrudan Hat belirteci ile başlatmanız gerekir. Gelişmiş kimlik doğrulama seçenekleriyle, Direct Line yapılandırma sayfasında güvenilir kaynak listesini statik olarak belirtebilirsiniz. Daha fazla bilgi için bkz . Direct Line gelişmiş kimlik doğrulaması.

Kimlik ve erişim yönetimi (IAM), uygun kişilerin teknoloji kaynaklarına uygun erişime sahip olmasını sağlayan bir çerçevedir (ilkeler ve teknolojiler). Daha fazla bilgi için bkz . Kimlik yönetimi.

Bot Framework aşağıdaki tanımlama mekanizmalarını sağlar:

• Bot kimlik doğrulaması. İsteğin geçerli bir kaynaktan gelip gelmediğini belirler. Bot bağlayıcısı hizmeti tarafından kontrol edilir ve bot ile kanal arasında güvenli iletişim sağlar. Daha fazla bilgi için bkz . Bot kimlik doğrulaması.

• Kullanıcı kimlik doğrulaması. Botun kullanıcı adına güvenli çevrimiçi kaynaklara erişmesini sağlar. Endüstri standardı olan OAuth, kullanıcının kimliğini doğrulamak ve botu kaynaklara erişme yetkisi vermek için kullanılır. Daha fazla bilgi için bkz . Kullanıcı kimlik doğrulaması.

Özetle, Bot Framework hizmetten hizmete kimlik doğrulamasını (bot kimlik doğrulaması) işler ve temelde bir isteğin gerçekten uygun bir kanaldan geldiğini doğrular. Bot, daha düşük kimlik doğrulama düzeylerini işlemekle sorumludur. Botunuzun yalnızca belirli bir kiracı kimliğinden gelen istekleri kabul edebilmesi için bir filtre uygulayabilir veya kullanıcılarınızın bazı OAuth hizmetiyle (kullanıcı kimlik doğrulaması) kimlik doğrulamasına sahip olmasını isteyebilirsiniz.

Botunuzun işlediği gelen iletileri kısıtlamak için iki farklı seçeneğiniz vardır.

• Güvenli verilerle ilgileniyorsanız kullanıcıların kimliğini doğrulamak için OAuth kullanmanız kesinlikle önerilir.

• Ara yazılım kullanmak başka bir iyi seçenektir. Örneğin Teams kanalında, Teams kanalı verilerinden kiracı kimliğini almak için ara yazılım oluşturabilirsiniz. Ara yazılım daha sonra gelen etkinliğin bot mantığınızda devam etmesine izin verip vermemeye veya bunun yerine bir hata iletisi döndürmeye karar verebilir.

  Uyarı

  Teams'in size çeşitli kiracılardan ileti göndermesini önleyemezsiniz veya bir kişinin uygulama bildiriminiz varsa botunuzu yüklemesini önleyemezsiniz. Tek yapabileceğiniz botunuzun istenmeyen iletileri işlemesini engellemektir.