Toegang tot gevoelige inhoud beperken in Microsoft Foundry-traceringen (preview)

Microsoft Foundry-traceringen kunnen gevoelige informatie vastleggen, zoals prompts, modelreacties, systeeminstructies en hulpprogramma-aanroepen. Deze informatie kan persoonlijke informatie (PII) of beschermde gezondheidsinformatie (PHI) bevatten. Om de toegang tot deze inhoud te beperken, slaat Foundry deze op in een toegewezen tabel die u kunt beveiligen met behulp van Azure op rollen gebaseerd toegangsbeheer (RBAC).

In dit artikel vindt u een overzicht van de stappen voor het routeren van gevoelige inhoud naar de toegewezen tabel en het beperken van de toegang tot deze tabel, afzonderlijk van de rest van uw traceringstelemetrie.

In dit artikel worden de volgende stappen beschreven voor het beveiligen van gevoelige inhoud:

1. Routeer gevoelige inhoud naar de toegewezen tabel door de protectGenAISensitiveData functievlag te registreren.
2. Stel de tabel in als beveiligd, zodat deze gebruikmaakt van een standaardmodel voor weigeren.
3. Leestoegang verlenen tot geautoriseerde identiteiten met behulp van de rol Privileged Monitoring Data Reader .
4. Controleer uw configuratie.

Prerequisites

• Een Foundry-project met ten minste één agent.
• Zie Tracering instellen in Microsoft Foundry als u tracering nog niet hebt ingesteld.
• Toegang tot de Application Insights-resource die is verbonden met uw project. Zie Azure Monitor Application Insights voor achtergrondinformatie.
• Een Log Analytics Contributor-rol.
• Een rol van eigenaar in het abonnement, of een rol die verleent Microsoft.Features/* actions, om preview-functies te registreren.

Gevoelige inhoud in traceringen

De volgende OpenTelemetry-generatieve AI-kenmerken worden beschouwd als gevoelige inhoud:

Zie AppGenAIContent voor een lijst met alle beschikbare velden.

Gevoelige inhoud routeren naar de toegewezen tabel

Twee preview-functievlaggen van Azure bepalen wanneer door generatieve AI gegenereerde inhoud niet langer wordt doorgestuurd naar de bestaande telemetrietabellen. Registreer en annuleer de registratie van deze flags voor uw abonnement met behulp van het standaardproces voor preview-functies. Zie Preview-functies instellen in Azure-abonnement voor de portal, Azure CLI en Azure PowerShell stappen.

Registreer de protectGenAISensitiveData functievlag om het gedrag van de toegewezen tabel vóór 30 september 2026 in te schakelen. Vroege activering routeert gevoelige inhoud alleen naar de AppGenAIContent tabel en verbetert uw beveiligingspostuur vóór de deadline wanneer deze is gekoppeld aan de configuratie als beveiligde tabel.

az feature register --namespace Microsoft.Insights --name protectGenAISensitiveData

Als u na de migratiedatum meer tijd nodig hebt om aangepaste query's en gerelateerde assets bij te werken, registreert u de optOutProtectGenAISensitiveData functievlag om het huidige routeringsgedrag tijdelijk te behouden.

az feature register --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData

Deze opt-out is tijdelijk en wordt stopgezet op 30 september 2027. Na die datum routeert Application Insights alleen generatieve AI-inhoud naar AppGenAIContent, ongeacht de vlag. Als u eerder wilt terugkeren naar het gedrag van de toegewezen tabel, moet u de registratie van de vlag ongedaan maken.

az feature unregister --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData

De tabel instellen als beveiligd

Stel het beveiligingsniveau van de AppGenAIContent tabel in op Beveiligd. Dit voorkomt onmiddellijk dat niet-bevoegde standaardlees- en aangepaste rollen toegang hebben tot de gegevens. Zie Het beveiligingsniveau van een tabel instellen voor de portal, Azure CLI en REST API-stappen.

Leestoegang verlenen tot geautoriseerde identiteiten

Nadat de tabel is beveiligd, kunnen alleen identiteiten met de rol Bevoegde bewakingsgegevenslezer de inhoud lezen. Wijs die rol toe aan de gebruikers, groepen of beheerde identiteiten die toegang nodig hebben en laat alle andere gebruikers standaard leesrollen staan, zodat ze standaard worden geweigerd. Zie Toegang verlenen aan beveiligde tabellen voor de stappen.

Uw configuratie verifiëren

Controleer of een gebruiker met alleen de rol Log Analytics Lezer de gevoelige inhoud in een trace niet kan zien, terwijl de niet-gevoelige traceringsgegevens zichtbaar blijven en dat een gebruiker met de rol Bevoegde bewakingsgegevenslezer de gevoelige inhoud kan zien.

Migratie naar de toegewezen tabel

Als u al traceringen hebt die via Foundry stromen, controleert u hoe de migratie naar de toegewezen tabel van invloed is op uw bestaande telemetrie.

Vóór 30 september 2026 stuurt Application Insights deze zeven kenmerken naar zowel de bestaande telemetrietabellen (AppDependencies, als ) en AppTracesAppEvents. AppGenAIContent Vanaf 30 september 2026 stopt Application Insights met het routeren van de kenmerkwaarden naar de bestaande tabellen voor nieuw opgenomen gegevens. De kenmerksleutels blijven in de bestaande tabellen staan, maar de bijbehorende waarden worden vervangen door een korte aanwijzer.AppGenAIContent Lees in plaats daarvan de waarden uit AppGenAIContent .

Deze wijziging is alleen van invloed op gegevens die zijn opgenomen op of na 30 september 2026. Gegevens die vóór die datum zijn geïmporteerd, blijven in de bestaande tabellen staan en blijven net als voorheen querybaar. Ingebouwde Application Insights- en Azure AI Foundry-ervaringen blijven automatisch werken. Werk aangepaste query’s, waarschuwingsregels, dashboards, werkmappen of rapporten bij waarin de betreffende attribuutwaarden uit AppDependencies, AppTraces of AppEvents worden gelezen.

Verwante onderwerpen

• Overzicht van agenttracering
• Tracering instellen in Microsoft Foundry
• Beveiligde tabellen configureren in Azure Monitor logboeken
• AppGenAIContent-tabelverwijzing