Beveiliging en privacy van gegevens in azure Cognitive SearchSecurity and data privacy in Azure Cognitive Search

Uitgebreide beveiligings functies en toegangs beheer zijn ingebouwd in azure Cognitive Search om ervoor te zorgen dat persoonlijke inhoud op die manier blijft.Comprehensive security features and access controls are built into Azure Cognitive Search to ensure private content remains that way. In dit artikel worden de beveiligings functies en-standaarden opgesomd die zijn ingebouwd in azure Cognitive Search.This article enumerates the security features and standards compliance built into Azure Cognitive Search.

De beveiligings architectuur van Azure Cognitive Search omvat fysieke beveiliging, versleutelde verzen dingen, versleutelde opslag en naleving van de vereisten voor het hele platform.Azure Cognitive Search security architecture spans physical security, encrypted transmissions, encrypted storage, and platform-wide standards compliance. Als Azure Cognitive Search worden alleen geverifieerde aanvragen geaccepteerd.Operationally, Azure Cognitive Search only accepts authenticated requests. U kunt desgewenst toegangs beheer per gebruiker aan inhoud toevoegen via beveiligings filters.Optionally, you can add per-user access controls on content through security filters. Dit artikel is van invloed op de beveiliging van elke laag, maar is voornamelijk gericht op hoe gegevens en bewerkingen worden beveiligd in azure Cognitive Search.This article touches on security at each layer, but is primarily focused on how data and operations are secured in Azure Cognitive Search.

Naleving van standaarden: ISO 27001, SOC 2, HIPAAStandards compliance: ISO 27001, SOC 2, HIPAA

Azure Cognitive Search is gecertificeerd voor de volgende standaarden, zoals aangekondigd in juni 2018:Azure Cognitive Search is certified for the following standards, as announced in June 2018:

Naleving van standaarden is van toepassing op algemeen beschik bare functies.Standards compliance applies to generally available features. Preview-functies zijn gecertificeerd wanneer ze overstappen op algemene Beschik baarheid en mogen niet worden gebruikt in oplossingen met strikte normen vereisten.Preview features are certified when they transition to general availability, and must not be used in solutions having strict standards requirements. Nalevings certificering wordt beschreven in overzicht van Microsoft Azure naleving en het vertrouwens centrum.Compliance certification is documented in Overview of Microsoft Azure compliance and the Trust Center.

Versleutelde overdracht en opslagEncrypted transmission and storage

Versleuteling loopt over de gehele indexerings pijplijn: vanuit verbindingen, via verzen ding en omlaag naar geïndexeerde gegevens die zijn opgeslagen in azure Cognitive Search.Encryption extends throughout the entire indexing pipeline: from connections, through transmission, and down to indexed data stored in Azure Cognitive Search.

BeveiligingslaagSecurity layer BeschrijvingDescription
Versleuteling 'in transit'Encryption in transit
(HTTPS/TLS)(HTTPS/TLS)
Azure Cognitive Search luistert naar HTTPS-poort 443.Azure Cognitive Search listens on HTTPS port 443. Op het platform worden verbindingen met Azure-Services versleuteld.Across the platform, connections to Azure services are encrypted.

Alle interacties van client-naar-service Azure Cognitive Search gebruiken TLS 1,2-code ring.All client-to-service Azure Cognitive Search interactions use TLS 1.2 encryption. Eerdere versies (1,0 of 1,1) worden niet ondersteund.Earlier versions (1.0 or 1.1) are not supported.
Versleuteling 'at rest'Encryption at rest
Door micro soft beheerde sleutelsMicrosoft managed keys
Versleuteling is volledig intern in het indexerings proces, met geen meetbaar effect op het indexeren van tijd tot voltooiing of index grootte.Encryption is fully internalized in the indexing process, with no measurable impact on indexing time-to-completion or index size. Deze fout treedt automatisch op bij alle indexeringen, met inbegrip van incrementele updates van een index die niet volledig is versleuteld (gemaakt vóór 2018 januari).It occurs automatically on all indexing, including on incremental updates to an index that is not fully encrypted (created before January 2018).

Intern is versleuteling gebaseerd op Azure Storage-service versleuteling, met behulp van 256-bits AES-versleuteling.Internally, encryption is based on Azure Storage Service Encryption, using 256-bit AES encryption.

Versleuteling is intern voor Azure Cognitive Search, met certificaten en versleutelings sleutels die intern door micro soft worden beheerd en universeel worden toegepast.Encryption is internal to Azure Cognitive Search, with certificates and encryption keys managed internally by Microsoft, and universally applied. U kunt versleuteling niet in-of uitschakelen, uw eigen sleutels beheren of vervangen, of versleutelings instellingen weer geven in de portal of via een programma.You cannot turn encryption on or off, manage or substitute your own keys, or view encryption settings in the portal or programmatically.

Versleuteling op rest werd aangekondigd in 24 januari 2018 en is van toepassing op alle service lagen, inclusief de gratis laag, in alle regio's.Encryption at rest was announced in January 24, 2018 and applies to all service tiers, including the free tier, in all regions. Voor volledige versleuteling moet de indexen die vóór die datum zijn gemaakt, worden verwijderd en opnieuw worden opgebouwd om versleuteling te laten plaatsvinden.For full encryption, indexes created prior to that date must be dropped and rebuilt in order for encryption to occur. Anders worden alleen nieuwe gegevens die na 24 januari worden toegevoegd, versleuteld.Otherwise, only new data added after January 24 is encrypted.
Versleuteling 'at rest'Encryption at rest
Door klant beheerde sleutelsCustomer managed keys
Versleuteling met door de klant beheerde sleutels is nu algemeen beschikbaar voor zoek services die zijn gemaakt op of na januari 2019.Encryption with customer managed keys is now generally available for search services created on or after January 2019. Het wordt niet ondersteund op gratis (gedeelde) Services.It is not supported on Free (shared) services.

Azure Cognitive Search-indexen en synoniemen kaarten kunnen nu op rest worden versleuteld met door de klant beheerde sleutels in Azure Key Vault.Azure Cognitive Search indexes and synonym maps can now be encrypted at rest with customer managed keys in Azure Key Vault. Zie versleutelings sleutels beheren in Azure Cognitive Searchvoor meer informatie.To learn more, see Manage encryption keys in Azure Cognitive Search.

Deze functie vervangt niet de standaard versleuteling op rest, maar er wordt een aanvulling op toegepast.This feature is not replacing the default encryption at rest, but rather applied in addition to it.

Als u deze functie inschakelt, wordt de index grootte verhoogd en wordt de query prestaties verkleind.Enabling this feature will increase index size and degrade query performance. Op basis van waarnemingen tot heden kunt u verwachten dat er in query tijden een toename van 30%-60% wordt weer geven, hoewel de werkelijke prestaties afhankelijk zijn van de index definitie en typen query's.Based on observations to date, you can expect to see an increase of 30%-60% in query times, although actual performance will vary depending on the index definition and types of queries. Als gevolg van deze invloed van prestaties raden we u aan deze functie alleen in te scha kelen voor indexen die echt nodig zijn.Because of this performance impact, we recommend that you only enable this feature on indexes that really require it.

Gebruikers toegangs beheer voor Azure-bredeAzure-wide user access controls

Verschillende beveiligings mechanismen zijn beschikbaar voor het hele Azure en dus automatisch beschikbaar voor de Azure Cognitive Search-resources die u maakt.Several security mechanisms are available Azure-wide, and thus automatically available to the Azure Cognitive Search resources you create.

Alle Azure-Services bieden ondersteuning voor op rollen gebaseerde toegangs beheer (RBAC) voor het instellen van toegangs niveaus op consistente wijze voor alle services.All Azure services support role-based access controls (RBAC) for setting levels of access consistently across all services. Bijvoorbeeld: het weer geven van gevoelige gegevens, zoals de beheerders sleutel, is beperkt tot de rollen eigenaar en Inzender.For example, viewing sensitive data, such as the admin key, is restricted to the Owner and Contributor roles. Het weer geven van de status van de service is echter beschikbaar voor leden van elke rol.However, viewing service status is available to members of any role. RBAC biedt de rollen eigenaar, bijdrager en lezer.RBAC provides Owner, Contributor, and Reader roles. Standaard zijn alle service beheerders lid van de rol eigenaar.By default, all service administrators are members of the Owner role.

Endpoint AccessEndpoint access

Open bare toegangPublic access

Azure Cognitive Search neemt de beveiligings maatregelen van het Azure-platform over en biedt een eigen op sleutel gebaseerde verificatie.Azure Cognitive Search inherits the security safeguards of the Azure platform and provides its own key-based authentication. Een API-sleutel is een teken reeks die bestaat uit wille keurig gegenereerde cijfers en letters.An api-key is a string composed of randomly generated numbers and letters. Het type sleutel (beheerder of query) bepaalt het toegangs niveau.The type of key (admin or query) determines the level of access. Het verzenden van een geldige sleutel wordt beschouwd als een bewijs dat de aanvraag afkomstig is van een vertrouwde entiteit.Submission of a valid key is considered proof the request originates from a trusted entity.

Er zijn twee toegangs niveaus voor uw zoek service, ingeschakeld door twee soorten sleutels:There are two levels of access to your search service, enabled by two types of keys:

  • Beheerders toegang (geldig voor een lees-en schrijf bewerking voor de service)Admin access (valid for any read-write operation against the service)
  • Query toegang (geldig voor alleen-lezen bewerkingen, zoals query's, op basis van de documenten verzameling van een index)Query access (valid for read-only operations, such as queries, against the documents collection of an index)

Beheerders sleutels worden gemaakt wanneer de service wordt ingericht.Admin keys are created when the service is provisioned. Er zijn twee beheer sleutels, aangeduid als primair en secundair , om ze recht te laten, maar in feite zijn ze uitwisselbaar.There are two admin keys, designated as primary and secondary to keep them straight, but in fact they are interchangeable. Elke service heeft twee beheer sleutels, zodat u één kunt implementeren zonder de toegang tot uw service te verliezen.Each service has two admin keys so that you can roll one over without losing access to your service. U kunt de beheer sleutel periodiek opnieuw genereren volgens de aanbevolen procedures voor Azure-beveiliging, maar u kunt niet toevoegen aan het totale aantal beheerders sleutels.You can regenerate admin key periodically per Azure security best practices, but you cannot add to the total admin key count. Er zijn Maxi maal twee beheer sleutels per zoek service.There are a maximum of two admin keys per search service.

Query sleutels worden als vereist gemaakt en zijn ontworpen voor client toepassingen die query's uitvoeren.Query keys are created as-needed and are designed for client applications that issue queries. U kunt Maxi maal 50 query sleutels maken.You can create up to 50 query keys. In toepassings code geeft u de zoek-URL en een query-API-sleutel op om alleen-lezen toegang tot de documenten verzameling van een specifieke index toe te staan.In application code, you specify the search URL and a query api-key to allow read-only access to the documents collection of a specific index. Samen, het eind punt, een API-sleutel voor alleen-lezen toegang en een doel index bepalen het bereik en toegangs niveau van de verbinding van uw client toepassing.Together, the endpoint, an api-key for read-only access, and a target index define the scope and access level of the connection from your client application.

Verificatie is vereist voor elke aanvraag, waarbij elke aanvraag bestaat uit een verplichte sleutel, een bewerking en een object.Authentication is required on each request, where each request is composed of a mandatory key, an operation, and an object. Wanneer u samenvoegt, zijn de twee machtigings niveaus (volledig of alleen-lezen) plus de context (bijvoorbeeld een query bewerking in een index) voldoende voor het bieden van beveiliging op volledige spectrum voor service bewerkingen.When chained together, the two permission levels (full or read-only) plus the context (for example, a query operation on an index) are sufficient for providing full-spectrum security on service operations. Zie API-sleutels maken en beherenvoor meer informatie over sleutels.For more information about keys, see Create and manage api-keys.

Beperkte toegangRestricted access

Wanneer u een open bare service hebt en u het gebruik van de service wilt beperken, kunt u de IP-beperkings regel gebruiken in het management REST API-versie: 2020-03-13, IpRule.When you have a public service and you want to restrict the use of the service you can use the IP restriction rule in the Management REST API version: 2020-03-13, IpRule. Met IpRule kunt u de toegang tot uw service beperken door IP-adressen, afzonderlijk of in een bereik, te identificeren die u toegang wilt verlenen tot uw zoek service.IpRule allows you to restrict access to your service by identifying IP addresses, individually or in a range, that you want to grant access to your search service.

Persoonlijke toegangPrivate access

Privé-eind punten voor Azure Cognitive Search een client in een virtueel netwerk in staat stellen om veilig toegang te krijgen tot gegevens in een zoek index via een persoonlijke koppeling.Private Endpoints for Azure Cognitive Search allow a client on a virtual network to securely access data in a search index over a Private Link. Het persoonlijke eind punt gebruikt een IP-adres uit de adres ruimte van het virtuele netwerk voor uw zoek service.The private endpoint uses an IP address from the virtual network address space for your search service. Netwerk verkeer tussen de client en de zoek service gaat over het virtuele netwerk en een privé koppeling op het micro soft-backbone-netwerk, waardoor de bloot stelling van het open bare Internet wordt geëlimineerd.Network traffic between the client and the search service traverses over the virtual network and a private link on the Microsoft backbone network, eliminating exposure from the public internet.

Azure Virtual Network (VNet) biedt beveiligde communicatie tussen bronnen, met uw on-premises netwerk en het internet.Azure Virtual Network (VNet) allows for secure communication among resources, with your on-premises network as well as the Internet.

Index toegangIndex access

In azure Cognitive Search is een afzonderlijke index geen beveiligbaar object.In Azure Cognitive Search, an individual index is not a securable object. In plaats daarvan wordt de toegang tot een index bepaald op basis van de service laag (lees-of schrijf toegang), samen met de context van een bewerking.Instead, access to an index is determined at the service layer (read or write access), along with the context of an operation.

Voor toegang door eind gebruikers kunt u query aanvragen structureren om verbinding te maken met behulp van een query sleutel, waardoor elke aanvraag alleen-lezen is, en de specifieke index die door uw app wordt gebruikt.For end-user access, you can structure query requests to connect using a query key, which makes any request read-only, and include the specific index used by your app. In een query aanvraag is er geen idee van het samen voegen van indexen of het tegelijkertijd openen van meerdere indexen, zodat alle aanvragen een enkele index per definitie doel hebben.In a query request, there is no concept of joining indexes or accessing multiple indexes simultaneously so all requests target a single index by definition. Als zodanig definieert de constructie van de query aanvraag zelf (een sleutel plus een enkele doel index) de beveiligings grens.As such, construction of the query request itself (a key plus a single target index) defines the security boundary.

De beheerder en ontwikkelaars toegang tot indexen zijn niet-gedifferentieerd: beide moeten schrijf toegang hebben voor het maken, verwijderen en bijwerken van objecten die worden beheerd door de service.Administrator and developer access to indexes is undifferentiated: both need write access to create, delete, and update objects managed by the service. Iedereen met een beheerders sleutel voor uw service kan elke index in dezelfde service lezen, wijzigen of verwijderen.Anyone with an admin key to your service can read, modify, or delete any index in the same service. Voor beveiliging tegen onbedoelde of schadelijke verwijdering van indexen is uw interne broncode beheer voor code assets de oplossing voor het terugdraaien van een ongewenste index verwijderen of wijzigen.For protection against accidental or malicious deletion of indexes, your in-house source control for code assets is the remedy for reversing an unwanted index deletion or modification. Azure Cognitive Search heeft een failover in het cluster om Beschik baarheid te garanderen, maar de code van uw eigen programma wordt niet opgeslagen of uitgevoerd voor het maken of laden van indexen.Azure Cognitive Search has failover within the cluster to ensure availability, but it does not store or execute your proprietary code used to create or load indexes.

Voor multitenancy-oplossingen die beveiligings grenzen vereisen op index niveau, bevatten dergelijke oplossingen doorgaans een middelste laag, die klanten gebruiken voor het verwerken van index isolatie.For multitenancy solutions requiring security boundaries at the index level, such solutions typically include a middle tier, which customers use to handle index isolation. Zie ontwerp patronen voor SaaS-toepassingen met meerdere tenants en Azure Cognitive Searchvoor meer informatie over de multi tenant-use-case.For more information about the multitenant use case, see Design patterns for multitenant SaaS applications and Azure Cognitive Search.

VerificatieAuthentication

Beheerders toegangAdmin access

Op rollen gebaseerde toegang (RBAC) bepaalt of u toegang hebt tot de besturings elementen voor de service en de inhoud ervan.Role-based access (RBAC) determines whether you have access to controls over the service and its content. Als u een eigenaar of bijdrager bent over een Azure Cognitive Search-service, kunt u de portal of de Power shell AZ. Search -module gebruiken om objecten in de service te maken, bij te werken of te verwijderen.If you are an Owner or Contributor on an Azure Cognitive Search service, you can use the portal or the PowerShell Az.Search module to create, update, or delete objects on the service. U kunt ook de Azure Cognitive Search Management-rest APIgebruiken.You can also use the Azure Cognitive Search Management REST API.

GebruikerstoegangUser access

Gebruikers toegang tot een index wordt standaard bepaald door de toegangs sleutel voor de query aanvraag.By default, user access to an index is determined by the access key on the query request. De meeste ontwikkel aars maken en toewijzen query sleutels voor Zoek opdrachten aan client zijde.Most developers create and assign query keys for client-side search requests. Een query sleutel verleent lees toegang tot alle inhoud in de index.A query key grants read access to all content within the index.

Als u nauw keuriger controle per gebruiker over inhoud nodig hebt, kunt u beveiligings filters voor uw query's maken en documenten retour neren die zijn gekoppeld aan een bepaalde beveiligings identiteit.If you require granular, per-user control over content, you can build security filters on your queries, returning documents associated with a given security identity. In plaats van vooraf gedefinieerde rollen en roltoewijzingen, wordt toegangs beheer op basis van een id geïmplementeerd als een filter waarmee Zoek resultaten van documenten en inhoud worden verkleind op basis van identiteiten.Instead of predefined roles and role assignments, identity-based access control is implemented as a filter that trims search results of documents and content based on identities. In de volgende tabel worden twee benaderingen beschreven waarmee Zoek resultaten van niet-geautoriseerde inhoud worden bijgesneden.The following table describes two approaches for trimming search results of unauthorized content.

MethodeApproach BeschrijvingDescription
Beveiligings beperking op basis van identiteits filtersSecurity trimming based on identity filters Documenteert de basis werk stroom voor het implementeren van toegangs beheer voor gebruikers identiteit.Documents the basic workflow for implementing user identity access control. Het onderwerp bevat het toevoegen van beveiligings-id's aan een index en legt vervolgens een overzicht van de filtering uit voor dat veld om de resultaten van verboden inhoud te kunnen knippen.It covers adding security identifiers to an index, and then explains filtering against that field to trim results of prohibited content.
Beveiligings beperking op basis van Azure Active Directory-identiteitenSecurity trimming based on Azure Active Directory identities In dit artikel wordt het vorige artikel uitgebreid met stappen voor het ophalen van identiteiten van Azure Active Directory (AAD), een van de gratis services in het Azure-Cloud platform.This article expands on the previous article, providing steps for retrieving identities from Azure Active Directory (AAD), one of the free services in the Azure cloud platform.

Tabel: machtigings bewerkingenTable: Permissioned operations

De volgende tabel bevat een overzicht van de bewerkingen die zijn toegestaan in azure Cognitive Search en met welke sleutel de toegang tot een bepaalde bewerking wordt ontgrendeld.The following table summarizes the operations allowed in Azure Cognitive Search and which key unlocks access a particular operation.

BewerkingOperation MachtigingenPermissions
Een service makenCreate a service Eigenaar van het Azure-abonnementAzure subscription holder
Een service schalenScale a service Beheerder sleutel, RBAC-eigenaar of Inzender voor de resourceAdmin key, RBAC Owner, or Contributor on the resource
Een service verwijderenDelete a service Beheerder sleutel, RBAC-eigenaar of Inzender voor de resourceAdmin key, RBAC Owner, or Contributor on the resource
Objecten op de service maken, wijzigen, verwijderen:Create, modify, delete objects on the service:
Indexen en onderdeel onderdelen (inclusief analyse definities, Score profielen, CORS-opties), Indexeer functies, gegevens bronnen, synoniemen, Voorst Ellen.Indexes and component parts (including analyzer definitions, scoring profiles, CORS options), indexers, data sources, synonyms, suggesters.
Beheerder sleutel, RBAC-eigenaar of Inzender voor de resourceAdmin key, RBAC Owner, or Contributor on the resource
Een query uitvoeren op een indexQuery an index Beheerder of query sleutel (RBAC niet van toepassing)Admin or query key (RBAC not applicable)
Systeem gegevens opvragen, zoals het retour neren van statistieken, aantallen en lijsten met objecten.Query system information, such as returning statistics, counts, and lists of objects. Beheerder sleutel, RBAC op de bron (eigenaar, bijdrager, lezer)Admin key, RBAC on the resource (Owner, Contributor, Reader)
Beheer sleutels beherenManage admin keys De beheerder sleutel, de RBAC-eigenaar of de Inzender voor de resource.Admin key, RBAC Owner or Contributor on the resource.
Query sleutels beherenManage query keys De beheerder sleutel, de RBAC-eigenaar of de Inzender voor de resource.Admin key, RBAC Owner or Contributor on the resource.

Fysieke beveiligingPhysical security

Micro soft data centers bieden toonaangevende fysieke beveiliging en voldoen aan een uitgebreide Port Folio van standaarden en voor Schriften.Microsoft data centers provide industry-leading physical security and are compliant with an extensive portfolio of standards and regulations. Ga voor meer informatie naar de pagina met globale data Centers of Bekijk een korte video over de beveiliging van uw Data Center.To learn more, go to the Global data centers page or watch a short video on data center security.

Zie ookSee also