Segurança dos serviços de IA do Azure
A segurança deve ser considerada uma prioridade no desenvolvimento de todas as aplicações e, com o crescimento das aplicações habilitadas para inteligência artificial, a segurança é ainda mais importante. Este artigo descreve vários recursos de segurança disponíveis para os serviços de IA do Azure. Cada recurso aborda uma responsabilidade específica, portanto, vários recursos podem ser usados no mesmo fluxo de trabalho.
Para obter uma lista abrangente de recomendações de segurança de serviço do Azure, consulte o artigo da linha de base de segurança dos serviços de IA do Azure.
Funcionalidades de segurança
| Funcionalidade | Description |
|---|---|
| Segurança da camada de transporte (TLS) | Todos os pontos de extremidade de serviços de IA do Azure expostos por HTTP impõem o protocolo TLS 1.2. Com um protocolo de segurança imposto, os consumidores que tentam chamar um ponto de extremidade de serviços de IA do Azure devem seguir estas diretrizes:
|
| Opções de autenticação | A autenticação é o ato de verificar a identidade de um usuário. Autorização, por outro lado, é a especificação de direitos de acesso e privilégios a recursos para uma determinada identidade. Uma identidade é uma coleção de informações sobre uma entidade de segurança, e uma entidade de segurança pode ser um usuário individual ou um serviço. Por padrão, você autentica suas próprias chamadas para os serviços do Azure AI usando as chaves de assinatura fornecidas; Este é o método mais simples, mas não o mais seguro. O método de autenticação mais seguro é usar funções gerenciadas no Microsoft Entra ID. Para saber mais sobre essa e outras opções de autenticação, consulte Autenticar solicitações para serviços de IA do Azure. |
| Rotação de chaves | Cada recurso de serviços de IA do Azure tem duas chaves de API para habilitar a rotação secreta. Esta é uma precaução de segurança que lhe permite alterar regularmente as chaves que podem aceder ao seu serviço, protegendo a privacidade do seu serviço no caso de uma chave ser vazada. Para saber mais sobre essa e outras opções de autenticação, consulte Girar chaves. |
| Variáveis de ambiente | As variáveis de ambiente são pares nome-valor que são armazenados em um ambiente de desenvolvimento específico. Você pode armazenar suas credenciais dessa maneira como uma alternativa mais segura ao uso de valores codificados em seu código. No entanto, se o seu ambiente estiver comprometido, as variáveis de ambiente também serão comprometidas, portanto, essa não é a abordagem mais segura. Para obter instruções sobre como usar variáveis de ambiente em seu código, consulte o Guia de variáveis de ambiente. |
| Chaves gerenciadas pelo cliente (CMK) | Este recurso é para serviços que armazenam dados do cliente em repouso (mais de 48 horas). Embora esses dados já estejam duplamente criptografados nos servidores do Azure, os usuários podem obter segurança extra adicionando outra camada de criptografia, com chaves que eles mesmos gerenciam. Você pode vincular seu serviço ao Azure Key Vault e gerenciar suas chaves de criptografia de dados lá. Apenas alguns serviços podem usar CMK; procure o seu serviço na página Chaves geridas pelo cliente. |
| Redes virtuais | As redes virtuais permitem especificar quais pontos de extremidade podem fazer chamadas de API para seu recurso. O serviço do Azure rejeitará chamadas de API de dispositivos fora da sua rede. Você pode definir uma definição baseada em fórmula da rede permitida ou pode definir uma lista exaustiva de pontos de extremidade a serem permitidos. Esta é outra camada de segurança que pode ser usada em combinação com outras. |
| Prevenção contra perda de dados | O recurso de prevenção de perda de dados permite que um administrador decida quais tipos de URIs seu recurso do Azure pode usar como entradas (para aquelas chamadas de API que usam URIs como entrada). Isso pode ser feito para evitar a possível exfiltração de dados confidenciais da empresa: se uma empresa armazenar informações confidenciais (como dados privados de um cliente) em parâmetros de URL, um agente mal-intencionado dentro dessa empresa poderá enviar as URLs confidenciais para um serviço do Azure, que exibe esses dados fora da empresa. A prevenção contra perda de dados permite configurar o serviço para rejeitar determinados formulários de URI na chegada. |
| Sistema de Proteção de Dados do Cliente | O recurso Customer Lockbox fornece uma interface para que os clientes analisem e aprovem ou rejeitem solicitações de acesso a dados. Ele é usado nos casos em que um engenheiro da Microsoft precisa acessar os dados do cliente durante uma solicitação de suporte. Para obter informações sobre como as solicitações do Customer Lockbox são iniciadas, controladas e armazenadas para revisões e auditorias posteriores, consulte o guia Customer Lockbox. O Customer Lockbox está disponível para os seguintes serviços:
|
| Traga o seu próprio armazenamento (BYOS) | Atualmente, o serviço de Fala não oferece suporte ao Customer Lockbox. No entanto, você pode providenciar para que seus dados específicos de serviço sejam armazenados em seu próprio recurso de armazenamento usando traga seu próprio armazenamento (BYOS). O BYOS permite que você obtenha controles de dados semelhantes ao Customer Lockbox. Lembre-se de que os dados do serviço de Fala permanecem e são processados na região do Azure onde o recurso de Fala foi criado. Isto aplica-se a quaisquer dados em repouso e dados em trânsito. Para recursos de personalização, como Fala Personalizada e Voz Personalizada, todos os dados do cliente são transferidos, armazenados e processados na mesma região onde residem o recurso do serviço de Fala e o recurso BYOS (se usado). Para usar o BYOS com o Speech, siga o guia Criptografia de fala de dados em repouso . A Microsoft não usa dados de clientes para melhorar seus modelos de fala. Além disso, se o log de ponto de extremidade estiver desabilitado e nenhuma personalização for usada, nenhum dado do cliente será armazenado pelo Speech. |
Próximos passos
- Explore os serviços de IA do Azure e escolha um serviço para começar.