Restringir o acesso a conteúdos sensíveis nos rastreios do Microsoft Foundry (pré-visualização)

Os rastreios do Microsoft Foundry podem registar informações sensíveis, como pedidos, respostas do modelo, instruções do sistema e chamadas de ferramentas. Esta informação pode incluir informações pessoais identificáveis (PII) ou informações de saúde protegidas (PHI). Para restringir o acesso a este conteúdo, o Foundry armazena-o numa tabela dedicada que pode proteger usando o controlo de acesso baseado em funções (RBAC) do Azure.

Este artigo resume os passos para encaminhar conteúdos sensíveis para a tabela dedicada e restringir o acesso a ela, separadamente do resto da sua telemetria de rastreamento.

Este artigo guia-o pelos seguintes passos para proteger conteúdos sensíveis:

1. Encaminhe conteúdos sensíveis para a tabela dedicada registando a protectGenAISensitiveData feature flag.
2. Defina a tabela como protegida, de modo a que utilize um modelo de recusa por omissão.
3. Atribua acesso de leitura a identidades autorizadas através da função Privileged Monitoring Data Reader.
4. Verifica a tua configuração.

Pré-requisitos

• Um projeto da Foundry com pelo menos um agente.
• Se ainda não configurou o traçado, veja configurar o traçado no Microsoft Foundry.
• Aceder ao recurso Application Insights relacionado com o seu projeto. Para contexto, consulte Azure Monitor Application Insights.
• Um cargo de colaborador de Log Analytics.
• Um papel de Proprietário na subscrição, ou um papel que conceda Microsoft.Features/* actions, para registar funcionalidades de pré-visualização.

Conteúdo sensível em traços

Os seguintes atributos de IA generativa OpenTelemetry são considerados conteúdo sensível:

Para uma lista de todos os campos disponíveis, consulte AppGenAIContent.

Encaminhe conteúdos sensíveis para a tabela dedicada

Dois sinalizadores de funcionalidade de pré-visualização no Azure controlam quando o conteúdo de IA generativa deixa de ser enviado para as tabelas de telemetria existentes. Registe e anule o registo destes sinalizadores na sua subscrição utilizando o processo padrão da funcionalidade de pré-visualização. Para os passos do portal, CLI do Azure e Azure PowerShell, veja Configurar funcionalidades de pré-visualização na subscrição do Azure.

Para ativar o comportamento da tabela dedicada antes da data de migração de 30 de setembro de 2026, registe o sinalizador de funcionalidade protectGenAISensitiveData. A habilitação inicial encaminha conteúdos sensíveis apenas para a AppGenAIContent tabela e melhora a sua postura de segurança antes do prazo quando combinada com a sua configuração como tabela protegida.

az feature register --namespace Microsoft.Insights --name protectGenAISensitiveData

Se precisar de mais tempo para atualizar consultas personalizadas e recursos relacionados após a data de migração, registe o sinalizador de funcionalidade optOutProtectGenAISensitiveData para manter temporariamente o comportamento atual de encaminhamento.

az feature register --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData

Esta opção de exclusão é temporária e foi descontinuada a 30 de setembro de 2027. Após essa data, o Application Insights encaminha conteúdo de IA generativa apenas para AppGenAIContent, independentemente da bandeira. Para voltar mais cedo ao comportamento da tabela dedicada, anule o registo do sinalizador.

az feature unregister --namespace Microsoft.Insights --name optOutProtectGenAISensitiveData

Defina a tabela como protegida

Defina o nível de proteção da tabela AppGenAIContent para Protegido. Isto impede imediatamente que funções padrão de leitura e funções personalizadas não privilegiadas acedam aos dados. Para os passos do portal, CLI do Azure e API REST, veja Definir o nível de proteção de uma tabela.

Atribuir acesso de leitura a identidades autorizadas

Depois de a tabela ser protegida, apenas as identidades com o papel de Leitor de Dados de Monitorização Privilegiada podem ler o conteúdo. Atribua essa função aos utilizadores, grupos ou identidades geridas que necessitam de acesso e deixe todos os outros nas funções de leitura padrão, para que permaneçam sem acesso por predefinição. Para os passos, veja Conceder acesso a tabelas protegidas.

Verifica a tua configuração

Confirme que um utilizador apenas com o papel de Log Analytics Reader não consegue ver o conteúdo sensível dentro de um rastreio, enquanto os dados não sensíveis permanecem visíveis para ele, e que um utilizador com o papel de Privileged Monitoring Data Reader pode ver o conteúdo sensível.

Migração para a tabela dedicada

Se já tem traços a fluir através do Foundry, veja de que forma a migração para a tabela dedicada afeta a sua telemetria existente.

Antes de 30 de setembro de 2026, o Application Insights encaminha estes sete atributos para as tabelas de telemetria existentes (AppDependencies, , e AppTraces) e AppEventsAppGenAIContent. A partir de 30 de setembro de 2026, o Application Insights deixa de encaminhar os valores dos atributos para as tabelas existentes dos dados recém-ingeridos. As chaves de atributos permanecem nas tabelas existentes, mas os seus valores são substituídos por um pequeno apontador para AppGenAIContent. Leia antes os valores de AppGenAIContent.

Esta alteração afeta apenas os dados ingeridos a partir de 30 de setembro de 2026. Os dados ingeridos antes dessa data permanecem nas suas tabelas existentes e permanecem consultáveis como antes. As experiências integradas com Application Insights e Azure AI Foundry continuam a funcionar automaticamente. Atualize quaisquer consultas personalizadas, regras de alerta, painéis, livros de exercícios ou relatórios que leiam os valores de atributos afetados de AppDependencies, AppTraces, ou AppEvents.

Conteúdo relacionado

• Visão geral do rastreamento de agentes
• Configurar o traçado no Microsoft Foundry
• Configurar tabelas protegidas no Azure Monitor Logs
• Referência da tabela AppGenAIContent