​

Azure — Découverte

​

Ce que SecureAI importe

• Ressources d’IA : chaque compte Azure AI Services, Azure OpenAI et autre Cognitive Services (Content Safety, Speech, Language, Document Intelligence…), avec sa région et son état.
• Déploiements de modèles d’Azure OpenAI et de Foundry, avec leur capacité et l’utilisation des 30 derniers jours (requêtes, jetons d’entrée et de sortie, depuis Azure Monitor).
• Projets et agents Foundry : les agents de Foundry Agent Service et les assistants classiques de chaque projet, avec le modèle utilisé par chacun. Également les hubs et les projets basés sur un hub (Azure Machine Learning), avec leurs points de terminaison en ligne et serverless.
• Azure AI Search et Azure Bot Service.
• Coûts du mois en cours, par service (Cost Management).
• Activité : événements de gestion de Cognitive Services et de Machine Learning des 30 derniers jours (journal d’activité).
• NHI, listées dans l’Inventaire des NHI :
  • Principaux de service des applications d’entreprise.
  • Identités d’agent de Microsoft Entra, celles que Foundry crée pour chaque agent (classées comme agent).
  • Identités managées, affectées par le système et par l’utilisateur.
  • Secrets client et certificats des inscriptions d’applications, avec leur date d’expiration.
  • Informations d’identification fédérées (fédération d’identité de charge de travail). Par exemple, une relation d’approbation OIDC avec GitHub Actions permet à ce dépôt d’obtenir des jetons au nom de l’application, sans aucun secret.
  • La dernière connexion de chaque application, lorsque votre locataire expose ce rapport.
• Autorisations de chaque identité : ses rôles Azure RBAC à tout niveau de l’abonnement (abonnement, groupe de ressources ou ressource), ses autorisations d’application Microsoft Graph et ses rôles d’annuaire Entra.
• Attributions de rôles RBAC : chaque rôle par son nom, avec les utilisateurs, groupes et applications qui le détiennent.

• l’un des rôles Owner, Contributor, User Access Administrator ou Role Based Access Control Administrator ;
• une autorisation d’écriture Graph, par exemple Application.ReadWrite.All, Directory.ReadWrite.All, Mail.Send ou Files.ReadWrite.All ;
• un rôle d’administrateur d’annuaire, par exemple Global Administrator ou Application Administrator.

​

Prérequis

​

Étape 1. Créer le principal de service

​

Avec Azure CLI

SUB_ID=00000000-0000-0000-0000-000000000000

# 1. App registration + service principal
APP_ID=$(az ad app create --display-name "SecureAI Discovery" --query appId -o tsv)
az ad sp create --id "$APP_ID"

# 2. Client secret (shown only once: copy it now)
az ad app credential reset --id "$APP_ID" --display-name secureai --years 1 \
  --query "{tenantId:tenant, clientId:appId, clientSecret:password}" -o json

# 3. Microsoft Graph application permissions + admin consent
#    Application.Read.All, Directory.Read.All, AuditLog.Read.All
az ad app permission add --id "$APP_ID" --api 00000003-0000-0000-c000-000000000000 \
  --api-permissions 9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30=Role \
                    7ab1d382-f21e-4acd-a863-ba3e13f7da61=Role \
                    b0afded3-3588-46d8-8b3d-9842eff778da=Role
az ad app permission admin-consent --id "$APP_ID"

# 4. Azure RBAC on the subscription
az role assignment create --assignee "$APP_ID" --role "Reader" --scope "/subscriptions/$SUB_ID"
az role assignment create --assignee "$APP_ID" --role "Cost Management Reader" --scope "/subscriptions/$SUB_ID"

# 5. (Recommended) read the agents of your Foundry resource
RID=$(az cognitiveservices account show -n MY_RESOURCE -g MY_RG --query id -o tsv)
az role assignment create --assignee "$APP_ID" --role "Cognitive Services Data Reader" --scope "$RID"

​

Avec le portail Azure

1. Dans le portail Azure, accédez à Microsoft Entra ID → Inscriptions d’applications → Nouvelle inscription, donnez-lui un nom (par exemple SecureAI Discovery) et inscrivez-la.
2. Dans Vue d’ensemble, copiez l’ID de l’annuaire (locataire) et l’ID de l’application (client).
3. Dans Certificats et secrets → Secrets client → Nouveau secret client, créez-en un et copiez sa Valeur (elle n’est affichée qu’une seule fois).
4. Dans Autorisations d’API → Ajouter une autorisation → Microsoft Graph → Autorisations de l’application, ajoutez Application.Read.All, Directory.Read.All et AuditLog.Read.All (et Application.ReadWrite.All si vous voulez révoquer depuis SecureAI). Cliquez ensuite sur Accorder le consentement administrateur.
5. Dans Abonnements → votre abonnement → Contrôle d’accès (IAM) → Ajouter une attribution de rôle, attribuez Reader et Cost Management Reader à l’application.
6. Dans votre ressource Foundry → Contrôle d’accès (IAM), attribuez Cognitive Services Data Reader à l’application.

​

Étape 2. Connecter Azure dans SecureAI

1. Accédez à Admin → Intégrations, filtrez par Cloud et, sur la carte Azure — Découverte, cliquez sur Connecter l’Intégration.
2. Remplissez les champs :

   Champ	Quoi saisir
   Azure Tenant ID (Directory ID)	tenantId de l’étape 1
   App Registration Client ID	clientId de l’étape 1
   App Registration Client Secret	clientSecret de l’étape 1. Stocké chiffré.
   Subscription ID (facultatif)	Limite la lecture à cet abonnement. Vide : tous les abonnements où le principal a Reader.

3. Cliquez sur Connecter. Avant d’enregistrer, SecureAI teste les identifiants par une vraie lecture : si le secret est incorrect ou si le principal ne peut pas lire l’abonnement, rien n’est stocké et le message indique ce qui manque. Si la connexion aboutit mais qu’une autorisation Graph manque, l’avis nomme cette autorisation.
4. Synchronisez avec le bouton d’actualisation de la carte. Une synchronisation Azure peut prendre plusieurs minutes (elle parcourt Azure Resource Manager, Microsoft Graph, Azure Monitor et Cost Management). Ensuite, SecureAI se synchronise automatiquement toutes les 6 heures.

​

Étape 3. Vérifier

• Cloud Sensors liste les déploiements, agents et services découverts. Cliquez sur la carte Azure pour ouvrir ses Insights :
  • Usage & Costs : utilisation et coûts ;
  • Models & Deployments : déploiements et agents ;
  • Identity & Access : identités avec leurs rôles et l’indicateur Privileged ; secrets, certificats et informations d’identification fédérées ; rôles RBAC avec leurs membres ;
  • Audit & Logs : l’activité.
• L’Inventaire des NHI affiche les principaux de service, identités d’agent, identités managées, secrets, certificats et informations d’identification fédérées, avec leurs autorisations et leur caractère privilégié ou non.

​

Lacunes de couverture

​

Révocation

• SecureAI ne propose pas de révoquer le principal de service avec lequel il se connecte, ni ses secrets, car cela interromprait la découverte. Renouvelez-les dans Entra ID.
• Les identités managées affectées par le système ne sont pas révoquées depuis SecureAI : leur cycle de vie est celui de la ressource Azure.
• Les informations d’identification fédérées que Foundry conserve sur le blueprint de l’identité d’un agent ne sont pas non plus révoquées depuis SecureAI : les supprimer arrête l’agent.
• Les politiques NHI automatiques (révocation par ancienneté ou inutilisation) ne s’appliquent pas encore à Azure : la révocation est manuelle.

​

Déconnexion

​

Connexes

• Azure AI Foundry — Inference in your account
• Présentation des fournisseurs d’IA cloud
• Cloud Sensors
• Inventaire des NHI
• Microsoft Entra ID (SSO)