​

Azure — Erkennung

​

Was SecureAI importiert

• KI-Ressourcen: jedes Konto für Azure AI Services, Azure OpenAI und andere Cognitive Services (Content Safety, Speech, Language, Document Intelligence …) mit Region und Status.
• Modellbereitstellungen von Azure OpenAI und Foundry mit ihrer Kapazität und der Nutzung der letzten 30 Tage (Anfragen, Eingabe- und Ausgabetoken, aus Azure Monitor).
• Foundry-Projekte und -Agenten: die Agenten des Foundry Agent Service und die klassischen Assistenten jedes Projekts, mit dem jeweils verwendeten Modell. Außerdem Hubs und hubbasierte Projekte (Azure Machine Learning) mit ihren Online- und Serverless-Endpunkten.
• Azure AI Search und Azure Bot Service.
• Kosten des aktuellen Monats nach Dienst (Cost Management).
• Aktivität: Verwaltungsereignisse für Cognitive Services und Machine Learning der letzten 30 Tage (Aktivitätsprotokoll).
• NHIs, aufgelistet im NHI-Inventar:
  • Dienstprinzipale von Unternehmensanwendungen.
  • Agentidentitäten von Microsoft Entra, die Foundry für jeden Agenten erstellt (als Agent klassifiziert).
  • Verwaltete Identitäten, system- und benutzerzugewiesen.
  • Clientgeheimnisse und Zertifikate von App-Registrierungen, mit ihrem Ablaufdatum.
  • Föderierte Anmeldeinformationen (Workload Identity Federation). Beispielsweise erlaubt eine GitHub-Actions-OIDC-Vertrauensstellung diesem Repository, Token als die Anwendung zu erhalten, ganz ohne Geheimnis.
  • Die letzte Anmeldung jeder Anwendung, sofern Ihr Mandant diesen Bericht bereitstellt.
• Berechtigungen jeder Identität: ihre Azure-RBAC-Rollen in jedem Bereich des Abonnements (Abonnement, Ressourcengruppe oder Ressource), ihre Microsoft-Graph-Anwendungsberechtigungen und ihre Entra-Verzeichnisrollen.
• RBAC-Rollenzuweisungen: jede Rolle mit ihrem Namen sowie den Benutzern, Gruppen und Anwendungen, die sie innehaben.

• eine der Rollen Owner, Contributor, User Access Administrator oder Role Based Access Control Administrator;
• eine Graph-Schreibberechtigung, etwa Application.ReadWrite.All, Directory.ReadWrite.All, Mail.Send oder Files.ReadWrite.All;
• eine Verzeichnis-Administratorrolle, etwa Global Administrator oder Application Administrator.

​

Voraussetzungen

​

Schritt 1. Dienstprinzipal erstellen

​

Mit der Azure CLI

SUB_ID=00000000-0000-0000-0000-000000000000

# 1. App registration + service principal
APP_ID=$(az ad app create --display-name "SecureAI Discovery" --query appId -o tsv)
az ad sp create --id "$APP_ID"

# 2. Client secret (shown only once: copy it now)
az ad app credential reset --id "$APP_ID" --display-name secureai --years 1 \
  --query "{tenantId:tenant, clientId:appId, clientSecret:password}" -o json

# 3. Microsoft Graph application permissions + admin consent
#    Application.Read.All, Directory.Read.All, AuditLog.Read.All
az ad app permission add --id "$APP_ID" --api 00000003-0000-0000-c000-000000000000 \
  --api-permissions 9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30=Role \
                    7ab1d382-f21e-4acd-a863-ba3e13f7da61=Role \
                    b0afded3-3588-46d8-8b3d-9842eff778da=Role
az ad app permission admin-consent --id "$APP_ID"

# 4. Azure RBAC on the subscription
az role assignment create --assignee "$APP_ID" --role "Reader" --scope "/subscriptions/$SUB_ID"
az role assignment create --assignee "$APP_ID" --role "Cost Management Reader" --scope "/subscriptions/$SUB_ID"

# 5. (Recommended) read the agents of your Foundry resource
RID=$(az cognitiveservices account show -n MY_RESOURCE -g MY_RG --query id -o tsv)
az role assignment create --assignee "$APP_ID" --role "Cognitive Services Data Reader" --scope "$RID"

​

Mit dem Azure-Portal

1. Gehen Sie im Azure-Portal zu Microsoft Entra ID → App-Registrierungen → Neue Registrierung, vergeben Sie einen Namen (zum Beispiel SecureAI Discovery) und registrieren Sie die App.
2. Kopieren Sie unter Übersicht die Verzeichnis-ID (Mandant) und die Anwendungs-ID (Client).
3. Erstellen Sie unter Zertifikate & Geheimnisse → Clientgeheimnisse → Neuer geheimer Clientschlüssel ein Geheimnis und kopieren Sie dessen Wert (er wird nur einmal angezeigt).
4. Fügen Sie unter API-Berechtigungen → Berechtigung hinzufügen → Microsoft Graph → Anwendungsberechtigungen Application.Read.All, Directory.Read.All und AuditLog.Read.All hinzu (und Application.ReadWrite.All, wenn Sie aus SecureAI heraus widerrufen möchten). Klicken Sie dann auf Administratoreinwilligung erteilen.
5. Weisen Sie unter Abonnements → Ihr Abonnement → Zugriffssteuerung (IAM) → Rollenzuweisung hinzufügen der Anwendung die Rollen Reader und Cost Management Reader zu.
6. Weisen Sie unter Ihre Foundry-Ressource → Zugriffssteuerung (IAM) der Anwendung die Rolle Cognitive Services Data Reader zu.

​

Schritt 2. Azure in SecureAI verbinden

1. Gehen Sie zu Admin → Integrationen, filtern Sie nach Cloud und klicken Sie auf der Karte Azure — Erkennung auf Integration verbinden.
2. Füllen Sie die Felder aus:

   Feld	Was einzutragen ist
   Azure Tenant ID (Directory ID)	tenantId aus Schritt 1
   App Registration Client ID	clientId aus Schritt 1
   App Registration Client Secret	clientSecret aus Schritt 1. Wird verschlüsselt gespeichert.
   Subscription ID (optional)	Beschränkt das Lesen auf dieses Abonnement. Leer: jedes Abonnement, für das der Prinzipal Reader hat.

3. Klicken Sie auf Verbinden. Vor dem Speichern testet SecureAI die Anmeldeinformationen mit einem echten Lesezugriff: Ist das Geheimnis falsch oder kann der Prinzipal das Abonnement nicht lesen, wird nichts gespeichert und die Meldung nennt, was fehlt. Wenn die Verbindung zwar zustande kommt, aber eine Graph-Berechtigung fehlt, nennt der Hinweis diese Berechtigung.
4. Synchronisieren Sie mit der Aktualisieren-Schaltfläche der Karte. Eine Azure-Synchronisierung kann mehrere Minuten dauern (sie durchläuft Azure Resource Manager, Microsoft Graph, Azure Monitor und Cost Management). Danach synchronisiert SecureAI automatisch alle 6 Stunden.

​

Schritt 3. Überprüfen

• Cloud Sensors listet die erkannten Bereitstellungen, Agenten und Dienste auf. Klicken Sie auf die Azure-Karte, um ihre Insights zu öffnen:
  • Usage & Costs: Nutzung und Kosten;
  • Models & Deployments: Bereitstellungen und Agenten;
  • Identity & Access: Identitäten mit ihren Rollen und der Markierung Privileged; Geheimnisse, Zertifikate und föderierte Anmeldeinformationen; RBAC-Rollen mit ihren Mitgliedern;
  • Audit & Logs: die Aktivität.
• Das NHI-Inventar zeigt Dienstprinzipale, Agentidentitäten, verwaltete Identitäten, Geheimnisse, Zertifikate und föderierte Anmeldeinformationen mit ihren Berechtigungen und ob sie privilegiert sind.

​

Abdeckungslücken

​

Widerruf

• SecureAI bietet nicht an, den Dienstprinzipal zu widerrufen, mit dem es verbunden ist, und auch nicht dessen Geheimnisse, da dies die Erkennung unterbrechen würde. Erneuern Sie sie in Entra ID.
• Systemzugewiesene verwaltete Identitäten werden nicht aus SecureAI heraus widerrufen: Ihr Lebenszyklus ist der der Azure-Ressource.
• Föderierte Anmeldeinformationen, die Foundry am Blueprint der Identität eines Agenten verwaltet, werden ebenfalls nicht aus SecureAI heraus widerrufen: Sie zu entfernen stoppt den Agenten.
• Automatische NHI-Richtlinien (Widerruf nach Alter oder Nichtnutzung) gelten für Azure noch nicht: Der Widerruf erfolgt manuell.

​

Trennen

​

Verwandte

• Azure AI Foundry — Inference in your account
• Übersicht über Cloud-KI-Anbieter
• Cloud Sensors
• NHI-Inventar
• Microsoft Entra ID (SSO)