Azure AI 搜索的 Azure Policy 内置定义

注释

Azure AI 搜索可通过Azure门户、REST API 和Azure SDK获取。 它也是 Foundry IQ 的基础；Foundry IQ 是一个托管式知识层，可将企业内容转化为供 Microsoft Foundry 门户中的智能体使用的、可复用且具备权限感知能力的知识库。

本页是 Azure AI 搜索的 Azure Policy 内置策略定义的索引。 有关其他服务的其他 Azure Policy 内置定义，请参阅 Azure Policy 内置定义。

每个内置策略定义的名称都链接到 Azure 门户中的策略定义。 使用“版本”列中的链接查看 Azure Policy GitHub 存储库上的源。

Azure AI 搜索

名称 （Azure 门户）	说明	效果	版本 （GitHub）
[预览]：Azure AI 搜索服务应为区域冗余	Azure AI 搜索服务可以配置为区域冗余或非区域冗余。 将两个或更多个副本添加到搜索服务时，将使用可用性区域。 每个副本将放置在该地区内不同的可用性区域中。	Audit、Deny、Disabled	1.0.0-预览版
Azure AI 搜索服务应使用支持专用链接的 SKU	借助 Azure AI 搜索支持的 SKU，Azure 专用链接允许将虚拟网络连接到 Azure 服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。 通过将专用终结点映射到搜索服务，可以降低数据泄露风险。 有关详细信息，请访问：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit、Deny、Disabled	1.0.1
Azure AI 搜索服务应禁用公用网络访问	禁用公共网络访问可确保 Azure AI 搜索服务不会在公共 Internet 上公开，从而提高安全性。 创建专用终结点可以限制搜索服务的公开。 有关详细信息，请访问：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	Audit、Deny、Disabled	1.0.1
Azure AI 搜索服务应禁用本地身份验证方法	禁用本地身份验证方法可确保 Azure AI 搜索服务完全要求 Azure Active Directory 标识进行身份验证，从而提高安全性。 有关详细信息，请访问：https://aka.ms/azure-cognitive-search/rbac。 请注意，虽然禁用本地身份验证参数仍处于预览状态，但此策略的拒绝效果可能会导致 Azure AI 搜索门户功能有限，因为门户的某些功能使用不支持该参数的 GA API。	Audit、Deny、Disabled	1.0.1
Azure AI 搜索服务应使用客户管理的密钥来加密静态数据	在 Azure AI 搜索服务上使用客户管理的密钥启用静态加密可进一步控制用于加密静态数据的密钥。 此功能通常适用于具有特殊合规性要求的客户，即要求使用密钥保管库来管理数据加密密钥。	AuditIfNotExists、Disabled	2.1.0
Azure AI Services 资源应禁用密钥访问权限（禁用本地身份验证）	建议禁用密钥访问（本地身份验证），以确保安全。 通常用于开发/测试的 Azure OpenAI Studio 需要密钥访问，如果禁用密钥访问，则会无法使用。 禁用后，Microsoft Entra ID 将成为唯一的访问方法，该方法允许采用最低权限原则和精细控制。 了解详细信息：https://aka.ms/AI/auth	Audit、Deny、Disabled	1.1.0
Azure AI 服务资源应限制网络访问	通过限制网络访问，可以确保只有允许的网络才能访问该服务。 这可以通过配置网络规则来实现，从其确保只有允许的网络中的应用程序才可以访问 Azure AI 服务。	Audit、Deny、Disabled	3.3.0
Azure AI 服务资源应使用 Azure 专用链接	通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。 专用链接平台通过 Azure 主干网络处理使用者和服务之间的连接，可降低数据泄露风险。 有关专用链接的详细信息，请访问 https://aka.ms/AzurePrivateLink/Overview	Audit、Disabled	1.0.0
配置 Azure AI 搜索服务以禁用本地身份验证	禁用本地身份验证方法，以便 Azure AI 搜索服务专门要求 Azure Active Directory 标识进行身份验证。 有关详细信息，请访问：https://aka.ms/azure-cognitive-search/rbac。	修改，已禁用	2.0.0
配置 Azure AI 搜索服务以禁用公共网络访问	禁用 Azure AI 搜索服务的公共网络访问，以便无法通过公共 Internet 访问它。 这样可以减少数据泄露风险。 有关详细信息，请访问：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	修改，已禁用	1.0.1
配置 Azure AI 搜索服务以强制客户管理的密钥来加密静态数据	在 Azure AI 搜索服务上使用客户管理的密钥启用静态加密可进一步控制用于加密静态数据的密钥。 此功能通常适用于具有特殊合规性要求的客户，即要求使用密钥保管库来管理数据加密密钥。	拒绝、已禁用	1.0.1
使用专用终结点配置 Azure AI 搜索服务	专用终结点可在源或目标位置没有公共 IP 地址的情况下将虚拟网络连接到 Azure 服务。 通过将专用终结点映射到 Azure AI 搜索服务，可以降低数据泄露风险。 有关详细信息，请访问：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。	DeployIfNotExists、Disabled	1.0.1
配置 Azure AI 服务资源以禁用本地密钥访问（禁用本地身份验证）	建议禁用密钥访问（本地身份验证），以确保安全。 通常用于开发/测试的 Azure OpenAI Studio 需要密钥访问，如果禁用密钥访问，则会无法使用。 禁用后，Microsoft Entra ID 将成为唯一的访问方法，该方法允许采用最低权限原则和精细控制。 了解详细信息：https://aka.ms/AI/auth	DeployIfNotExists、Disabled	1.0.0
将搜索服务的诊断设置部署到事件中心	在创建或更新缺少搜索服务的诊断设置的任何搜索服务时，将此诊断设置流式部署到区域事件中心。	DeployIfNotExists、Disabled	2.0.0
将搜索服务的诊断设置部署到 Log Analytics 工作区	在创建或更新缺少搜索服务的诊断设置的任何搜索服务时，将此诊断设置流式部署到区域 Log Analytics 工作区。	DeployIfNotExists、Disabled	1.0.0
应启用 Azure AI 服务资源中的诊断日志	为 Azure AI 服务资源启用日志。 这样便可以在发生安全事件或网络遭泄露时，重新创建活动线索用于调查目的	AuditIfNotExists、Disabled	1.0.0
启用按类别组将搜索服务 (microsoft.search/searchservices) 的日志记录到事件中心	应启用资源日志以跟踪在资源上发生的活动和事件，并让你了解发生的任何变化。 此策略使用类别组部署诊断设置，以便将日志路由到搜索服务 (microsoft.search/searchservices) 的事件中心。	DeployIfNotExists、AuditIfNotExists、Disabled	1.0.0
启用按类别组将搜索服务 (microsoft.search/searchservices) 的日志记录到 Log Analytics	应启用资源日志以跟踪在资源上发生的活动和事件，并让你了解发生的任何变化。 此策略使用类别组部署诊断设置，以便将日志路由到搜索服务 (microsoft.search/searchservices) 的 Log Analytics 工作区。	DeployIfNotExists、AuditIfNotExists、Disabled	1.0.0
启用按类别组将搜索服务 (microsoft.search/searchservices) 的日志记录到存储	应启用资源日志以跟踪在资源上发生的活动和事件，并让你了解发生的任何变化。 此策略使用类别组部署诊断设置，以便将日志路由到搜索服务 (microsoft.search/searchservices) 的存储帐户。	DeployIfNotExists、AuditIfNotExists、Disabled	1.0.0
应启用搜索服务中的资源日志	对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的	AuditIfNotExists、Disabled	5.0.0

后续步骤

• 在 Azure Policy GitHub 存储库中查看这些内置项。
• 查看 Azure Policy 定义结构。
• 查看了解策略效果。