Azure AI 服务中的Azure语言是一项基于云的服务，它提供自然语言处理（NLP）功能，用于了解和分析应用程序、工作流和业务流程中的文本。 当组织集成此服务时，他们可以提取见解、对内容进行分类，以及跨多种语言检测敏感信息。
Azure内的安全性以协作模式为基础，Azure客户共同负责保护资源和数据。
Azure致力于保护支撑所有Azure服务的核心基础结构，为云操作提供可靠可靠的基础。
客户通过确保正确配置和管理Azure语言，从而保护敏感信息并遵守所有相关的法规要求，从而在安全伙伴关系中扮演关键角色。
通过清楚地了解和履行各自的职责，Azure和客户共同努力，在Azure环境中实现全面且弹性的安全态势。
有关详细信息， 请参阅云中的共同责任。
本文档提供了有关在使用Azure语言时建立和维护安全环境的详细指南和实用建议。 任何服务的用户必须优先保护敏感数据、保护用户隐私并确保部署可靠性。 通过遵循这些最佳做法，有助于降低风险并保证语言解决方案在所有平台上保持安全且有效。
特定于服务的安全性
Azure语言需要仔细考虑特定的安全挑战和要求，以保持自然语言处理工作流的机密性和完整性。 通过采取主动方法来应对这些安全问题，可以在处理过程中保护敏感信息，并降低未经授权的访问或数据泄露的风险。 以下指南由建议用于新开发的核心 功能以及现有实现支持的 旧功能组织。
核心功能
-
个人身份信息（PII）检测：对于处理敏感内容的工作流，请使用 PII 检测在存储、共享或显示文本和对话之前识别和修改个人数据。 对敏感值进行修订可降低下游意外暴露的风险。 若要将输出范围缩小到受保护的健康信息，请设置
domain=phi参数。 默认情况下，服务会临时存储和加密提交的输入，长达 48 小时，以支持故障排除。 设置loggingOptOut=true以防止临时存储。 有关详细信息， 请参阅“什么是个人身份信息”（PII）检测。 - 语言检测：根据检测到的语言路由或预处理不受信任的输入时，在将文本传递给下游系统之前验证并清理文本，以避免传播恶意内容。 有关详细信息， 请参阅什么是语言检测。
-
命名实体识别（NER）：预生成的 NER 可以从非结构化文本显示敏感实体，例如名称、位置和组织。 对输入文本和提取的结果应用适当的访问控制，并在处理机密内容时考虑将 NER 与 PII 检测配对。 在编辑时，使用
piiCategories参数显式指定要检测的实体类别，以便无意中公开要编修的敏感值。 有关详细信息，请参阅什么是命名实体识别（NER）。 -
健康文本分析：在处理临床或与健康相关的文本时，保护提取过程中显示的任何受保护的健康信息（PHI）。 为源文本和结果建立安全处理和访问控制。 默认情况下，用于健康状况处理的临时输入日志记录处于禁用状态（
loggingOptOut=true），并且该功能可在容器中运行，用于本地部署或隔离环境。 有关更多信息，请参阅什么是医疗保健文本分析。
遗留功能
- 对话语言理解（CLU）：限制对 CLU 项目、模型和训练言语的访问，这些言语可以包含敏感意向和特定于域的语言。 应用最低特权访问控制来保护这些专有资产。 有关详细信息， 请参阅什么是对话语言理解。
- 实体链接：在消除实体歧义并返回外部链接时，请先验证并清理返回的内容，然后再将其显示给最终用户，以避免显示不受信任的引用。 有关详细信息， 请参阅什么是实体链接。
- 关键短语提取：对输入文本和提取的关键短语应用适当的访问控制，这些短语可以揭示机密文档的实质内容。 有关详细信息， 请参阅什么是关键短语提取。
- 业务流程工作流：由于业务流程连接 CLU 和自定义问答项目，因此保护每个连接的项目，并在整个工作流中强制实施一致的访问控制。 有关详细信息， 请参阅什么是业务流程工作流。
- 问答：保护支持问答的知识库和源内容，并应用访问控制以防止未经授权的用户查看或修改答案。 知识库和聊天日志存储在您自己的 Azure 资源中（Azure AI 搜索，以及在启用诊断日志记录时使用的 Azure Monitor），因此，请对这些资源实施基于角色的访问控制，并且仅在必要时启用聊天日志记录。 有关详细信息， 请参阅什么是问题解答。
- 情绪分析和观点挖掘：将访问控制应用于你分析和情绪结果的文本，这可以揭示敏感的客户或业务信息。 有关详细信息， 请参阅什么是情绪分析和观点挖掘。
- 摘要：汇总文本或对话时，保护源内容和生成的摘要，从而保留敏感信息。 有关详细信息， 请参阅什么是摘要。
部署注意事项
以下选项适用于核心和旧功能：
- 本机文档支持：处理文档时，请确保已建立安全工作流。 使用具有适当访问控制和加密的安全存储容器来保护原始文档和已处理的输出。 有关详细信息，请参阅本机文档对 Azure 语言的支持。
- Azure语言容器：对于需要在隔离环境中进行高安全性或脱机处理的方案，请考虑部署语言容器。 此部署模型非常适合用于保护敏感数据，并支持在受控或断开连接的环境中处理工作流。 有关详细信息， 请参阅配置语言 docker 容器。
身份和访问管理
有效监视标识和访问权限对于防止Azure语言部署免受未经授权的使用和可能的凭据泄露至关重要。 通过强制实施安全访问管理，可以保证只有已批准的用户和设备才能与语言资源交互。 以下列表标识了支持安全访问管理的方法：
访问。 若要有效管理用户标识并安全地控制Azure语言资源的访问权限，请启用Microsoft Entra ID。 通过集成Microsoft Entra ID，可以简化用户帐户的管理，并确保只有授权的个人有权访问Azure语言服务。 有关详细信息，请参阅“启用Microsoft Entra身份验证”。
授权。 仅使用基于角色的访问控制（RBAC）授予每个角色所需的权限。 通过使用 RBAC 托管标识，可以坚持最低特权原则，确保用户仅获得执行其特定任务所需的访问权限。 此方法极大地降低了未经授权访问资源中敏感信息或关键功能的可能性。 有关详细信息， 请参阅语言基于角色的访问控制。
身份验证。 对语言数据的访问应仅限于成功完成身份验证的实体。 此限制要求用户在查看或修改语言数据之前完成验证并接收授权。 此方法通过确保未经授权的用户无法访问敏感信息或进行更改，从而提供一层安全性，这些更改可能会影响数据的完整性。 有关详细信息，请参阅对Azure AI 服务的请求进行身份验证。
Azure 密钥保管库。 Azure 密钥保管库为应用程序机密（如数据库连接字符串、API 密钥、客户管理的密钥（CMK）、密码和加密密钥等应用程序机密提供安全的集中式存储库。 使用密钥保管库无需直接将敏感信息硬编码到应用程序代码或配置文件中，从而减少意外泄露的风险。 有关详细信息， 请参阅关于 Azure 密钥保管库。
Tip
✔️ 定期轮换 API 密钥：可以使用轮换策略配置 Azure 密钥保管库 中的密钥，以指定频率自动生成新的密钥版本。 定期轮换语言 API 密钥可降低用于访问服务的凭据泄露的风险。 有关详细信息， 请参阅Key autorotation。
网络安全
Azure语言处理应用程序中的敏感数据。 因此，必须建立强大的网络隔离措施，以防止未经授权的访问并确保内容保持安全。 以下列表概述了有助于有效管理安全访问的关键做法：
- 配置专用终结点：通过为 API 请求配置专用终结点来提高防护力度。 此方法增强了安全性，并为Azure语言资源提供增强的网络隔离。 有关详细信息， 请参阅将专用终结点与 Azure AI 服务配合使用。
- 实现虚拟网络服务终结点：通过限制网络访问以仅允许源自 Azure 虚拟网络的流量来增强安全措施。 同时，确保通过使用 Microsoft 主干网络来保持所有通信的最佳路由。 有关详细信息，请参阅为Azure AI 服务配置虚拟网络。
- 配置防火墙规则：通过指定允许访问语言资源的特定 IP 地址或范围来提高安全性。 以这种方式限制访问可最大程度地减少来自不熟悉网络未经授权的连接的可能性。 有关详细信息，请参阅配置Azure AI 服务虚拟网络。
数据保护
Azure语言处理敏感文本和文档内容。 由于此信息的机密性质，实施可靠的数据保护措施至关重要。 这些安全措施不仅对维护所处理数据的隐私和机密性至关重要，而且要确保遵守相关法规和行业标准。
- 遵循数据驻留要求：为了确保部署遵守区域数据驻留法规，请选择语言资源的指定区域。 使用受支持的区域，以符合当地要求。 有关详细信息，请参阅区域对 Azure 语言的支持。
日志记录和监控
建立可靠的日志记录和监视对于识别潜在安全威胁和解决Azure语言部署中的问题至关重要。 通过确保全面跟踪所有相关活动和异常，可以增强整体安全状况，并在整个基于云的语言环境中简化故障排除过程。
- 启用诊断日志记录：配置Azure Monitor以从语言资源收集和分析日志，以识别潜在的安全问题、跟踪使用模式以及解决问题。 有关详细信息，请参阅使用 Azure Monitor 监视Azure资源。
- 为异常活动设置警报：创建Azure Monitor警报，以通知异常使用模式、潜在的安全漏洞或服务中断影响语言资源。 有关详细信息， 请参阅使用 Azure Monitor 创建、查看和管理指标警报。
- 配置审核日志：启用和查看审核日志，以监视语言资源的访问和更改。 审核日志可确保您了解谁正在使用您的服务以及正在执行哪些操作。 有关详细信息， 请参阅Azure Monitor 中的资源日志。
- 实现请求速率监视：监视 API 请求速率，以检测潜在的拒绝服务攻击或未经授权的使用，确保服务仍可供合法使用。 有关详细信息，请参阅Azure语言的服务限制。
合规性和治理
为了确保Azure语言服务的安全操作，请建立可靠的治理框架，并一致地遵守所有相关标准。 通过建立全面的策略和过程，可以有效地保护系统、维护法规遵从性并最大程度地降低潜在风险。 此方法可帮助你提供可靠且安全的服务。
- 审查 Azure AI 服务的 Azure Policy：实施 Azure Policy，对 Azure AI 服务强制执行组织范围内的安全标准，包括网络隔离要求。 有关详细信息， 请参阅Azure AI 服务的 Azure Policy 法规符合性控制措施。
- 定期进行安全评估：持续评估语言部署的安全状态，并确保它们符合行业标准和组织策略。 及时检测并解决出现的任何潜在漏洞。 有关详细信息， 请参阅Azure 云安全基准。