สรุปข้อมูล
API ที่ต้องเผชิญกับพันธมิตรของ Contoso Retail มีช่องว่างด้านความปลอดภัยที่แตกต่างกันสี่ประการที่จุดเริ่มต้นของโมดูลนี้ แต่ละรายการกล่าวถึงเลเยอร์การบังคับใช้ที่แตกต่างกันที่ Azure API Management มีให้
คุณได้กําหนดค่านโยบายการรับรองความถูกต้องและการให้สิทธิ์ที่ปิดช่องว่างแรก คีย์การสมัครสมาชิกสร้างเลเยอร์การควบคุมการเข้าถึงพื้นฐานที่กําหนดให้ผู้โทรแสดงความลับที่ใช้ร่วมกันกับทุกคําขอ นโยบาย validate-azure-ad-token ขยายออกไปด้วยการตรวจสอบโทเค็นตามข้อมูลประจําตัว เพื่อให้มั่นใจว่าเฉพาะแอปพลิเคชันที่ลงทะเบียนในผู้เช่า Microsoft Entra ที่ได้รับอนุมัติเท่านั้นที่สามารถรับโทเค็นที่ผ่านเกตเวย์ได้ ขอบเขตนโยบายให้การควบคุมตําแหน่งที่แม่นยําแก่คุณ ซึ่งเป็นขอบเขตผลิตภัณฑ์สําหรับ API ของพาร์ทเนอร์ โดยปล่อยให้ปลายทางด้านสุขภาพภายในไม่ถูกแตะต้อง
คุณใช้การควบคุมความปลอดภัยเครือข่ายที่แก้ไขช่องว่างที่สอง
ip-filterนโยบายจะจํากัดช่วง IP ต้นทางที่สามารถเข้าถึงเกตเวย์ได้
rate-limit
rate-limit-by-keyและนโยบายจํากัดการใช้ต่อการสมัครสมาชิกและต่อผู้โทรป้องกันการละเมิดต่อเนื่อง นโยบายบังคับ quota ใช้ข้อผูกมัดด้านปริมาณรายเดือนที่สอดคล้องกับระดับสัญญาของพาร์ทเนอร์ โหมดการรวมเครือข่ายเสมือน—ภายนอกสําหรับ API ที่เชื่อมต่อกับอินเทอร์เน็ต ภายในสําหรับปริมาณงานส่วนตัวเต็มรูปแบบ—ให้โมเดลในการลดหรือกําจัดพื้นผิวการโจมตีสาธารณะสําหรับ API ที่ไม่ต้องการการเปิดเผยอินเทอร์เน็ต
คุณรักษาความปลอดภัยการเชื่อมต่อแบ็กเอนด์โดยใช้ใบรับรองไคลเอ็นต์และ Transport Layer Security (TLS) ร่วมกัน ซึ่งปิดช่องว่างที่สาม การจัดการ API จะแสดงใบรับรองไคลเอ็นต์ไปยังแบ็กเอนด์ในการเรียกขาออกทุกครั้ง และนโยบายกําหนด validate-client-certificate ให้ผู้เรียกต้องแสดงใบรับรองไปยังเกตเวย์ ขณะนี้ปลายทั้งสองด้านของการเชื่อมต่อได้รับการรับรองความถูกต้องด้วยการเข้ารหัส การรวม Azure Key Vault ลบการจัดการวงจรชีวิตใบรับรองด้วยตนเองออกจากสมการ
คุณได้กําหนดค่าความสามารถของเกตเวย์ AI เพื่อปิดช่องว่างที่สี่ การรับรองความถูกต้องของข้อมูลประจําตัวที่มีการจัดการได้กําจัดคีย์ Azure OpenAI API ออกจากการกําหนดค่า นโยบายควบคุม azure-openai-token-limit การใช้ที่ระดับโทเค็น ซึ่งเป็นตัวขับเคลื่อนต้นทุนจริงสําหรับปริมาณงาน Large Language Model (LLM) การแคชเชิงความหมายช่วยลดการเรียกซ้ําซ้อนสําหรับข้อความแจ้งที่คล้ายกัน ผู้บริโภค AI ทั้งหมด รวมถึงตัวแทนอิสระ ผ่านจุดบังคับใช้เดียวกัน