概要

  • 3 分钟

通过实现基于标识的控件，你已经演示了 AI 基础结构可以满足企业安全标准，而无需牺牲数据科学家所需的敏捷性。 应用的配置模式（用于基于角色的访问的安全组、用于上下文感知身份验证的条件访问、自动化的托管标识和用于监视的集中式日志记录）适用于任何规模的 Azure 机器学习项目。

关键结论

在保护更多 AI 工作区时，请记住以下核心原则：

  • 通过映射到 Azure 机器学习 RBAC 角色的安全组来组织用户——这将标识管理与权限管理分开，并在团队壮大时实现高效扩展。
  • 通过条件访问策略强制实施多重身份验证 - 通过根据位置和设备符合性调整要求来保护凭据，而不会影响工作效率
  • 将托管标识用于自动化工作负荷—与使用机密或证书的服务主体相比，消除凭据存储的风险并减少操作开销
  • 通过 Microsoft Entra 审核日志持续监视 — 验证安全控制是否按设计运行，及时检测异常情况，以防它们演变为事件。

后续步骤

使用以下高级功能扩展 Azure 机器学习安全态势：

  • 为 Azure 机器学习工作区配置专用链接 以隔离网络流量，并防止训练数据和模型公开公共 Internet
  • 实现工作区加密的客户管理的密钥 以满足数据主权要求并维护加密控制
  • 进行Microsoft Defender for Cloud 集成设置，以检测 AI 基础结构中的安全威胁和配置错误，并提供自动化修复建议。
  • 探索用于 ML 治理的 Azure Policy，以自动强制执行安全基线 — 防止在没有所需网络隔离或审核日志配置的情况下创建工作区

这些高级控制建立在你创建的标识基础之上，提供深度防御，防止 AI 工作负载免受不断演变的威胁，同时保持团队的开发速度。

更多资源