Note
Azure AI 搜尋服務 可透過 Azure 入口網站、REST API 及 Azure SDK 取得。 它同時也是 Foundry IQ 的基礎，這是一個管理式知識層，能將企業內容轉化為可重複使用、權限感知的知識庫，供 Microsoft Foundry 入口網站中的代理使用。
本頁為 Azure AI Search 內建政策定義的索引。 如需其他服務的其他內建 Azure 原則，請參閱 Azure 原則內建定義。
連結至 Azure 入口網站中原則定義的每個內建原則定義名稱。 請使用版本欄中的連結，在 Azure 原則 GitHub 存放庫上檢視來源。
Azure AI 搜尋服務
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽版]：Azure AI 搜尋服務應為區域備援 | 您可將 Azure AI 搜尋服務設定為區域備援或否。 當您為搜尋服務新增兩個或更多複本時，系統會使用可用性區域。 每個複本都會放置於該區域內不同的可用性區域。 | 審核、拒絕存取、停用 | 1.0.0 預覽版 |
| Azure AI 搜尋服務應使用支援私人連結的 SKU | 使用支援的 Azure AI 搜尋服務 SKU 時，Azure Private Link 可讓您在來源或目的地都沒有公用 IP 位址的情況下，將您的虛擬網路連線至 Azure 服務。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 請至 https://aka.ms/azure-cognitive-search/inbound-private-endpoints，即可深入瞭解。 | 審核、拒絕存取、停用 | 1.0.1 |
| Azure AI 搜尋服務應停用公用網路存取 | 停用公用網路存取可藉由確保 Azure AI 搜尋服務未暴露於公用網際網路上來提升安全性。 建立私人端點可限制您搜尋服務的曝光。 請至 https://aka.ms/azure-cognitive-search/inbound-private-endpoints，即可深入瞭解。 | 審核、拒絕存取、停用 | 1.0.1 |
| Azure AI 搜尋服務應停用本機驗證方法 | 停用本機驗證方法可藉由確保 Azure AI 搜尋服務僅使用 Azure Active Directory 身分進行驗證來提升安全性。 請至 https://aka.ms/azure-cognitive-search/rbac，即可深入瞭解。 請注意，雖然停用本機驗證的參數仍處於預覽版，但此原則的拒絕效果可能會導致 Azure AI 搜尋服務入口網站功能受限，因為入口網站的部分功能使用尚未支援該參數的正式發行 API。 | 審核、拒絕存取、停用 | 1.0.1 |
| Azure AI 搜尋服務應使用客戶自控金鑰來加密待用資料 | 在 Azure AI 搜尋服務上使用客戶自控金鑰啟用待用資料加密，可讓您對用於加密待用資料的金鑰擁有更多控制權。 此功能通常適用於具有特殊法規遵循需求，且需使用金鑰保存庫來管理資料加密金鑰的客戶。 | AuditIfNotExists，已停用 | 2.1.0 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 基於安全性考量，建議停用金鑰存取 (本機驗證)。 Azure OpenAI Studio 通常用於開發與測試，且需要金鑰存取，若停用金鑰存取將無法運作。 停用後，Microsoft Entra ID 會成為唯一的存取方式，這有助於維持最低權限原則並提供更細緻的控制。 請至 https://aka.ms/AI/auth，即可深入瞭解 | 審核、拒絕存取、停用 | 1.1.0 |
| Azure AI 服務資源應限制網路存取 | 透過限制網路存取，您可以確保只有允許的網路能存取該服務。 您可以藉由設定網路規則，讓只有來自允許網路的應用程式可以存取 Azure AI 服務。 | 審核、拒絕存取、停用 | 3.3.0 |
| Azure AI 服務資源應使用 Azure Private Link | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台可透過 Azure 主幹網路處理取用者與服務之間的連線，從而降低資料外洩風險。 如需深入了解私人連結，請參閱：https://aka.ms/AzurePrivateLink/Overview | 稽核、已停用 | 1.0.0 |
| 設定 Azure AI 搜尋服務以停用本機驗證 | 停用本機驗證方法，讓 Azure AI 搜尋服務僅使用 Azure Active Directory 身分進行驗證。 請至 https://aka.ms/azure-cognitive-search/rbac，即可深入瞭解。 | 修改、停用 | 2.0.0 |
| 設定 Azure AI 搜尋服務以停用公用網路存取 | 為 Azure AI 搜尋服務停用公用網路存取，使其無法透過公用網際網路存取。 這可降低資料外洩風險。 請至 https://aka.ms/azure-cognitive-search/inbound-private-endpoints，即可深入瞭解。 | 修改、停用 | 1.0.1 |
| 設定 Azure AI 搜尋服務以強制使用客戶自控金鑰加密待用資料 | 在 Azure AI 搜尋服務上使用客戶自控金鑰啟用待用資料加密，可讓您對用於加密待用資料的金鑰擁有更多控制權。 此功能通常適用於具有特殊法規遵循需求，且需使用金鑰保存庫來管理資料加密金鑰的客戶。 | 稽核, 拒絕, 停用 | 1.0.1 |
| 使用私人端點設定 Azure AI 搜尋服務 | 私人端點可在來源或目的地沒有公用 IP 位址的情況下，將您的虛擬網路連線至 Azure 服務。 透過將私人端點對應至 Azure AI 搜尋服務，您可以降低資料外洩風險。 請至 https://aka.ms/azure-cognitive-search/inbound-private-endpoints，即可深入瞭解。 | DeployIfNotExists，已停用 | 1.0.1 |
| 設定 Azure AI 服務資源以停用本機金鑰存取 (停用本機驗證) | 基於安全性考量，建議停用金鑰存取 (本機驗證)。 Azure OpenAI Studio 通常用於開發與測試，且需要金鑰存取，若停用金鑰存取將無法運作。 停用後，Microsoft Entra ID 會成為唯一的存取方式，這有助於維持最低權限原則並提供更細緻的控制。 請至 https://aka.ms/AI/auth，即可深入瞭解 | DeployIfNotExists，已停用 | 1.0.0 |
| 將搜尋服務的診斷設定部署至事件中樞 | 在建立或更新任何缺少此診斷設定的搜尋服務時，部署診斷設定，將資料串流至區域事件中樞。 | DeployIfNotExists，已停用 | 2.0.0 |
| 將搜尋服務的診斷設定部署至 Log Analytics 工作區 | 在建立或更新任何缺少此診斷設定的搜尋服務時，部署診斷設定，將資料串流至區域 Log Analytics 工作區。 | DeployIfNotExists，已停用 | 1.0.0 |
| Azure AI 服務資源應啟用診斷記錄 | 為 Azure AI 服務資源啟用記錄。 這可在發生安全性事件或網路遭入侵時，協助您重建活動軌跡以進行調查。 | AuditIfNotExists，已停用 | 1.0.0 |
| 為搜尋服務 (microsoft.search/searchservices) 啟用依類別群組記錄至事件中樞 | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並提供對任何變更的可見度與深入解析。 此原則會使用類別群組部署診斷設定，將搜尋服務 (microsoft.search/searchservices) 的記錄路由至事件中樞。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.0.0 |
| 為搜尋服務 (microsoft.search/searchservices) 啟用依類別群組記錄至 Log Analytics | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並提供對任何變更的可見度與深入解析。 此原則會使用類別群組部署診斷設定，將搜尋服務 (microsoft.search/searchservices) 的記錄路由至 Log Analytics 工作區。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.0.0 |
| 為搜尋服務 (microsoft.search/searchservices) 啟用依類別群組記錄至儲存體帳戶 | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並提供對任何變更的可見度與深入解析。 此原則會使用類別群組部署診斷設定，將搜尋服務 (microsoft.search/searchservices) 的記錄路由至儲存體帳戶。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.0.0 |
| 搜尋服務中的資源記錄應啟用 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists，已停用 | 5.0.0 |
後續步驟
- 請參閱 Azure 原則 GitHub 存放庫上的內建項目。
- 檢閱 Azure 原則定義結構。
- 檢閱了解原則效果。