Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Importante
Gli elementi contrassegnati come anteprima in questo articolo sono attualmente in anteprima. Questa anteprima viene fornita senza un contratto di servizio e Microsoft non lo consiglia per i carichi di lavoro di produzione. Alcune funzionalità potrebbero non essere supportate o potrebbero avere funzionalità limitate. Per ulteriori informazioni, vedere Condizioni supplementari per l'uso delle versioni di anteprima di Microsoft Azure.
Le tracce di Microsoft Foundry possono acquisire informazioni sensibili, ad esempio prompt, risposte del modello, istruzioni di sistema e chiamate agli strumenti. Queste informazioni possono includere informazioni personali (PII) o informazioni sanitarie protette (PHI). Per limitare l'accesso a questo contenuto, Foundry lo archivia in una tabella dedicata che è possibile proteggere usando Azure controllo degli accessi in base al ruolo.
Questo articolo riepiloga i passaggi per instradare il contenuto sensibile alla tabella dedicata e limitare l'accesso, separatamente dal resto dei dati di telemetria di traccia.
Questo articolo illustra i passaggi seguenti per proteggere il contenuto sensibile:
- Instradate il contenuto sensibile alla tabella dedicata registrando il feature flag
protectGenAISensitiveData. - Impostare la tabella come protetta affinché utilizzi un modello di negazione predefinita.
- Concedi l'accesso in lettura alle identità autorizzate utilizzando il ruolo Lettore dati di monitoraggio con privilegi.
- Verificare la configurazione.
Prerequisiti
- Progetto Foundry con almeno un agente.
- Se non è ancora stata configurata la traccia, vedere Impostare la traccia in Microsoft Foundry.
- Accesso alla risorsa di Application Insights connessa al progetto. Per informazioni generali, vedere Monitoraggio di Azure Application Insights.
- Un ruolo Collaboratore di Log Analytics.
- Un ruolo Proprietario nella sottoscrizione, oppure un ruolo che consente
Microsoft.Features/* actions, per registrare le funzionalità in anteprima.
Contenuto sensibile nelle tracce
Gli attributi di intelligenza artificiale generati da OpenTelemetry seguenti sono considerati contenuti sensibili:
| Attribute | Description |
|---|---|
gen_ai.input.messages |
Messaggi di prompt e di input inviati al modello. |
gen_ai.output.messages |
Modellare le risposte e i messaggi di output. |
gen_ai.system_instructions |
Istruzioni di sistema fornite al modello. |
gen_ai.tool.definitions |
Definizioni degli strumenti disponibili per il modello. |
gen_ai.tool.call.arguments |
Argomenti passati a una chiamata allo strumento. |
gen_ai.tool.call.result |
Risultato restituito da una chiamata a uno strumento. |
gen_ai.evaluation.explanation |
Spiegazione generata durante la valutazione del modello. |
Per un elenco di tutti i campi disponibili, vedere AppGenAIContent.
Indirizzare il contenuto sensibile alla tabella dedicata
Due flag di funzionalità di Azure in anteprima controllano quando il contenuto di intelligenza artificiale generativa cessa di essere inviato alle tabelle di telemetria esistenti. Registra e annulla la registrazione di questi flag per la tua sottoscrizione usando la procedura standard per le funzionalità di anteprima. Per i passaggi del portale, interfaccia della riga di comando di Azure e Azure PowerShell, vedere Configurare le funzionalità di anteprima in Azure sottoscrizione.
Per abilitare il comportamento della tabella dedicata prima della data di migrazione, il 30 settembre 2026, registrare il flag di funzionalità protectGenAISensitiveData. L'abilitazione anticipata instrada il contenuto sensibile solo alla tabella AppGenAIContent e migliora il livello di sicurezza in vista della scadenza, se associata alla relativa configurazione come tabella protetta.
az feature register --namespace Microsoft.Insights --name protectGenAISensitiveData
Se hai bisogno di più tempo per aggiornare le query personalizzate e le risorse correlate dopo la data di migrazione, registri il flag di funzionalità optOutProtectGenAISensitiveData per mantenere temporaneamente l'attuale comportamento di routing.
az feature register --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData
Questo rifiuto esplicito è temporaneo e non è più disponibile il 30 settembre 2027. Dopo tale data, Application Insights instrada il contenuto generativo dell'intelligenza artificiale solo a AppGenAIContent, indipendentemente dal flag . Per tornare più rapidamente al comportamento della tabella dedicata, disattivare il flag.
az feature unregister --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData
Concedere l'accesso in lettura alle identità autorizzate
Dopo aver protetto la tabella, solo le identità con il ruolo Privileged Monitoring Data Reader possono leggere il contenuto. Assegnare tale ruolo nella risorsa Application Insights collegata al progetto Foundry agli utenti, ai gruppi o alle identità gestite che richiedono l'accesso. Questa assegnazione è sufficiente per visualizzare il contenuto di traccia sensibile in Application Insights e Microsoft Foundry. Foundry esegue query tramite le API di Application Insights, quindi non è necessaria un'assegnazione di ruolo separata nell'area di lavoro Log Analytics collegata.
Per le identità che devono anche eseguire query incentrate sull'area di lavoro direttamente sull'area di lavoro Log Analytics, assegnare il ruolo in tale area di lavoro. Ad esempio, le query incentrate sull'area di lavoro possono recuperare contenuto tra più risorse di Application Insights che condividono un'area di lavoro.
Lasciare tutti gli altri con i ruoli di lettura standard in modo che rimanga loro negato l'accesso al contenuto protetto per impostazione predefinita. Per i passaggi, vedere Concedere l'accesso alle tabelle protette.
Note
Se PIM è implementato, è possibile usare l'accesso a tempo o quello JIT.
Impostare la tabella come protetta
Impostare il AppGenAIContent livello di protezione della tabella su Protetto. Questa modifica impedisce immediatamente ai ruoli standard di sola lettura e personalizzati senza privilegi di accedere ai dati. Per il portale, interfaccia della riga di comando di Azure e i passaggi dell'API REST, vedere Impostare il livello di protezione di una tabella.
Note
Se un ruolo personalizzato ha uno dei due AzMon DataActions che consentono l'accesso alle tabelle protette, i clienti a cui sono assegnati questi ruoli ottengono tale accesso.
Verificare la configurazione
Verificare che un utente con il solo ruolo di Lettore di Log Analytics non possa vedere il contenuto sensibile in una traccia, mentre i dati di traccia non sensibili rimangano visibili a tale utente, e che un utente con il ruolo di Lettore con privilegi dei dati di monitoraggio possa vedere il contenuto sensibile.
Migrazione alla tabella dedicata
Se sono già presenti tracce che passano attraverso Foundry, esaminare il modo in cui la migrazione alla tabella dedicata influisce sui dati di telemetria esistenti.
Prima del 30 settembre 2026, Application Insights instrada questi sette attributi alle tabelle di telemetria esistenti (AppDependencies, e ) e AppTracesAppEvents. AppGenAIContent A partire dal 30 settembre 2026, Application Insights interrompe il routing dei valori degli attributi alle tabelle esistenti per i dati appena inseriti. Le chiavi dell'attributo rimangono nelle tabelle esistenti, ma i relativi valori vengono sostituiti con un puntatore breve a AppGenAIContent. Leggi invece i valori da AppGenAIContent.
Questa modifica influisce solo sui dati acquisiti a partire dal 30 settembre 2026. I dati inseriti prima di tale data rimangono nelle tabelle esistenti e rimangono querybili come prima. Le esperienze predefinite di Application Insights e Azure AI Foundry continuano a funzionare automaticamente. Aggiornare le query personalizzate, le regole di avviso, i dashboard, le cartelle di lavoro o i report che leggono i valori degli attributi interessati da AppDependencies, AppTraces o AppEvents.