Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Importante
Los elementos marcados (versión preliminar) de este artículo se encuentran actualmente en versión preliminar pública. Esta versión preliminar se ofrece sin acuerdo de nivel de servicio y no se recomienda para las cargas de trabajo de producción. Es posible que algunas características no se admitan o que tengan funcionalidades restringidas. Para obtener más información, vea Términos de uso complementarios para las versiones preliminares de Microsoft Azure.
Los rastros de Microsoft Foundry pueden capturar información confidencial, como mensajes de solicitud, respuestas de modelos, instrucciones del sistema y llamadas a herramientas. Esta información puede incluir información de identificación personal (PII) o información de salud protegida (PHI). Para restringir el acceso a este contenido, Foundry lo almacena en una tabla dedicada que puede proteger mediante Azure control de acceso basado en rol (RBAC).
En este artículo se resumen los pasos para enrutar contenido confidencial a la tabla dedicada y restringir el acceso a él, independientemente del resto de la telemetría de seguimiento.
Este artículo le guía por los pasos siguientes para proteger el contenido confidencial:
- Dirija el contenido sensible a la tabla dedicada registrando el indicador de funcionalidad
protectGenAISensitiveData. - Establezca la tabla como protegida para que use un modelo de denegación de forma predeterminada.
- Conceda acceso de lectura a las identidades autorizadas mediante el rol de Lector de datos de monitorización con privilegios.
- Compruebe la configuración.
Prerequisites
- Un proyecto Foundry con al menos un agente.
- Si aún no ha configurado el seguimiento, consulte Configurar el seguimiento en Microsoft Foundry.
- Acceso al recurso de Application Insights conectado al proyecto. Para obtener información general, consulte Azure Monitor Application Insights.
- Un rol de colaborador de Log Analytics.
- Un rol de Propietario en la suscripción, o un rol que conceda
Microsoft.Features/* actions, para registrar características en versión preliminar.
Contenido confidencial en los rastros
Los siguientes atributos de IA generativa de OpenTelemetry se consideran contenido confidencial:
| Attribute | Description |
|---|---|
gen_ai.input.messages |
Mensajes de instrucción y de entrada enviados al modelo. |
gen_ai.output.messages |
Modelar respuestas y mensajes de salida. |
gen_ai.system_instructions |
Instrucciones del sistema proporcionadas al modelo. |
gen_ai.tool.definitions |
Definiciones de herramientas disponibles para el modelo. |
gen_ai.tool.call.arguments |
Argumentos pasados a una llamada a una herramienta. |
gen_ai.tool.call.result |
Resultado devuelto por una llamada a una herramienta. |
gen_ai.evaluation.explanation |
Explicación generada durante la evaluación del modelo. |
Para obtener una lista de todos los campos disponibles, consulte AppGenAIContent.
Dirija el contenido sensible a la tabla dedicada
Dos indicadores de características de vista previa de Azure controlan cuándo deja de fluir el contenido de IA generativa hacia las tablas de telemetría existentes. Registre y anule el registro de estos indicadores en su suscripción mediante el proceso estándar para las características en versión preliminar. Para los pasos del portal, CLI de Azure y Azure PowerShell, consulte Configuración de características en versión preliminar en Azure suscripción.
Para habilitar el comportamiento de la tabla dedicada antes de la fecha de migración del 30 de septiembre de 2026, registre la marca de característica protectGenAISensitiveData. La activación anticipada dirige el contenido confidencial solo a la tabla AppGenAIContent y mejora su nivel de seguridad antes de la fecha límite si se combina con su configuración como tabla protegida.
az feature register --namespace Microsoft.Insights --name protectGenAISensitiveData
Si necesita más tiempo para actualizar consultas personalizadas y recursos relacionados después de la fecha de migración, registre la optOutProtectGenAISensitiveData marca de característica para mantener temporalmente el comportamiento de enrutamiento actual.
az feature register --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData
Esta exclusión es temporal y se suspende el 30 de septiembre de 2027. Después de esa fecha, Application Insights dirige el contenido de IA generativa solo a AppGenAIContent, independientemente del indicador. Para volver antes al comportamiento de la tabla dedicada, desactive el indicador.
az feature unregister --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData
Establecer la tabla como protegida
Establezca el nivel de protección de la AppGenAIContent tabla en Protegido. Esto impide inmediatamente que los roles personalizados y de lectura estándar sin privilegios accedan a los datos. Para ver los pasos del portal, CLI de Azure y la API REST, consulte Establecer el nivel de protección de una tabla.
Note
Si un rol personalizado tiene uno de los dos AzMon DataActions que permiten el acceso a las tablas protegidas, los clientes que tienen estos roles asignados obtienen ese acceso.
Conceda acceso de lectura a las identidades autorizadas
Una vez protegida la tabla, solo las identidades con el rol Lector de datos de supervisión con privilegios pueden leer el contenido. Asigne ese rol a los usuarios, grupos o identidades administradas que necesitan acceso y deje a todos los demás en roles de lectura estándar para que permanezcan denegados de forma predeterminada. Para conocer los pasos, consulte Concesión de acceso a tablas protegidas.
Note
Si se ha implementado PIM, puede utilizar el acceso por tiempo limitado o JIT.
Comprobación de la configuración
Confirme que un usuario con solo el rol lector de Log Analytics no puede ver el contenido confidencial dentro de un seguimiento, mientras que los datos de seguimiento no confidenciales permanecen visibles para ellos y que un usuario con el rol Lector de datos de supervisión con privilegios puede ver el contenido confidencial.
Migración a la tabla dedicada
Si ya tiene trazas que fluyen a través de Foundry, revise cómo afecta la migración a la tabla dedicada a su telemetría existente.
Antes del 30 de septiembre de 2026, Application Insights enruta estos siete atributos a las tablas de telemetría existentes (AppDependencies, AppTracesy ) y AppEventsAppGenAIContent. A partir del 30 de septiembre de 2026, Application Insights deja de enrutar los valores de atributo a las tablas existentes para los datos recién ingeridos. Las claves de atributo permanecen en las tablas existentes, pero sus valores se reemplazan por un puntero corto a AppGenAIContent. Lea los valores de AppGenAIContent en su lugar.
Este cambio solo afecta a los datos ingeridos el 30 de septiembre de 2026 o después. Los datos ingeridos antes de esa fecha permanecen en sus tablas existentes y permanecen consultables como antes. Las experiencias integradas de Application Insights y Fundición de IA de Azure siguen funcionando automáticamente. Actualice cualquier consulta personalizada, regla de alerta, panel, libro o informe que lea los valores de los atributos afectados de AppDependencies, AppTraces o AppEvents.