​

Azure — 검색

​

SecureAI가 가져오는 것

• AI 리소스: 모든 Azure AI Services, Azure OpenAI 및 기타 Cognitive Services 계정(Content Safety, Speech, Language, Document Intelligence 등)과 해당 리전 및 상태.
• Azure OpenAI와 Foundry의 모델 배포: 용량과 최근 30일간의 사용량(요청 수, 입력 및 출력 토큰 수, Azure Monitor 기준)을 포함합니다.
• Foundry 프로젝트와 에이전트: 각 프로젝트의 Foundry Agent Service 에이전트와 기존 어시스턴트, 그리고 각각이 사용하는 모델. 허브 및 허브 기반 프로젝트(Azure Machine Learning)와 해당 온라인 엔드포인트 및 서버리스 엔드포인트도 포함됩니다.
• Azure AI Search와 Azure Bot Service.
• 서비스별 이번 달 비용(Cost Management).
• 활동: 최근 30일간의 Cognitive Services 및 Machine Learning 관리 이벤트(활동 로그).
• NHI: NHI 인벤토리에 표시됩니다.
  • 엔터프라이즈 애플리케이션의 서비스 주체.
  • Foundry가 에이전트마다 만드는 Microsoft Entra 에이전트 ID(에이전트로 분류).
  • 시스템 할당 및 사용자 할당 관리 ID.
  • 앱 등록의 클라이언트 비밀과 인증서(만료일 포함).
  • 페더레이션 자격 증명(워크로드 ID 페더레이션). 예를 들어 GitHub Actions OIDC 신뢰를 설정하면 해당 리포지토리가 비밀 없이 애플리케이션으로서 토큰을 받을 수 있습니다.
  • 각 애플리케이션의 마지막 로그인(테넌트가 해당 보고서를 제공하는 경우).
• 각 ID의 권한: 구독의 모든 범위(구독, 리소스 그룹 또는 리소스)에서의 Azure RBAC 역할, Microsoft Graph 애플리케이션 권한, Entra 디렉터리 역할.
• RBAC 역할 할당: 각 역할의 이름과 해당 역할을 보유한 사용자, 그룹, 애플리케이션.

• Owner, Contributor, User Access Administrator, Role Based Access Control Administrator 역할 중 하나.
• Application.ReadWrite.All, Directory.ReadWrite.All, Mail.Send, Files.ReadWrite.All 같은 Graph 쓰기 권한.
• Global Administrator나 Application Administrator 같은 디렉터리 관리자 역할.

​

전제 조건

​

1단계. 서비스 주체 만들기

​

Azure CLI 사용

SUB_ID=00000000-0000-0000-0000-000000000000

# 1. App registration + service principal
APP_ID=$(az ad app create --display-name "SecureAI Discovery" --query appId -o tsv)
az ad sp create --id "$APP_ID"

# 2. Client secret (shown only once: copy it now)
az ad app credential reset --id "$APP_ID" --display-name secureai --years 1 \
  --query "{tenantId:tenant, clientId:appId, clientSecret:password}" -o json

# 3. Microsoft Graph application permissions + admin consent
#    Application.Read.All, Directory.Read.All, AuditLog.Read.All
az ad app permission add --id "$APP_ID" --api 00000003-0000-0000-c000-000000000000 \
  --api-permissions 9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30=Role \
                    7ab1d382-f21e-4acd-a863-ba3e13f7da61=Role \
                    b0afded3-3588-46d8-8b3d-9842eff778da=Role
az ad app permission admin-consent --id "$APP_ID"

# 4. Azure RBAC on the subscription
az role assignment create --assignee "$APP_ID" --role "Reader" --scope "/subscriptions/$SUB_ID"
az role assignment create --assignee "$APP_ID" --role "Cost Management Reader" --scope "/subscriptions/$SUB_ID"

# 5. (Recommended) read the agents of your Foundry resource
RID=$(az cognitiveservices account show -n MY_RESOURCE -g MY_RG --query id -o tsv)
az role assignment create --assignee "$APP_ID" --role "Cognitive Services Data Reader" --scope "$RID"

​

Azure Portal 사용

1. Azure Portal에서 Microsoft Entra ID → 앱 등록 → 새 등록으로 이동하여 이름(예: SecureAI Discovery)을 지정하고 등록합니다.
2. 개요에서 디렉터리(테넌트) ID와 애플리케이션(클라이언트) ID를 복사합니다.
3. 인증서 및 비밀 → 클라이언트 비밀 → 새 클라이언트 비밀에서 비밀을 만들고 해당 값을 복사합니다(한 번만 표시됩니다).
4. API 사용 권한 → 권한 추가 → Microsoft Graph → 애플리케이션 권한에서 Application.Read.All, Directory.Read.All, AuditLog.Read.All을 추가합니다(SecureAI에서 철회하려면 Application.ReadWrite.All도 추가). 그런 다음 관리자 동의 허용을 클릭합니다.
5. 구독 → 사용자의 구독 → 액세스 제어(IAM) → 역할 할당 추가에서 애플리케이션에 Reader와 Cost Management Reader를 할당합니다.
6. **사용자의 Foundry 리소스 → 액세스 제어(IAM)**에서 애플리케이션에 Cognitive Services Data Reader를 할당합니다.

​

2단계. SecureAI에서 Azure 연결

1. 관리자 → 통합으로 이동하여 Cloud로 필터링한 다음 Azure — 검색 카드에서 통합 연결을 클릭합니다.
2. 필드를 입력합니다.

   필드	입력할 내용
   Azure Tenant ID (Directory ID)	1단계의 tenantId
   App Registration Client ID	1단계의 clientId
   App Registration Client Secret	1단계의 clientSecret. 암호화되어 저장됩니다.
   Subscription ID (선택 사항)	읽기 범위를 해당 구독으로 제한합니다. 비워 두면 주체가 Reader를 가진 모든 구독.

3. 연결을 클릭합니다. 저장하기 전에 SecureAI는 실제 읽기로 자격 증명을 테스트합니다. 비밀이 잘못되었거나 주체가 구독을 읽을 수 없으면 아무것도 저장되지 않으며, 메시지에 부족한 항목이 표시됩니다. 연결은 되었지만 Graph 권한이 부족한 경우 알림에 해당 권한 이름이 표시됩니다.
4. 카드의 새로 고침 버튼으로 동기화합니다. Azure 동기화는 몇 분이 걸릴 수 있습니다(Azure Resource Manager, Microsoft Graph, Azure Monitor, Cost Management를 차례로 확인하기 때문입니다). 이후에는 SecureAI가 6시간마다 자동으로 동기화합니다.

​

3단계. 확인

• Cloud Sensors에 검색된 배포, 에이전트, 서비스가 나열됩니다. Azure 카드를 클릭하면 Insights가 열립니다.
  • Usage & Costs: 사용량과 비용
  • Models & Deployments: 배포와 에이전트
  • Identity & Access: 역할과 Privileged 표시가 있는 ID, 비밀, 인증서, 페더레이션 자격 증명, 구성원이 있는 RBAC 역할
  • Audit & Logs: 활동
• NHI 인벤토리에는 서비스 주체, 에이전트 ID, 관리 ID, 비밀, 인증서, 페더레이션 자격 증명이 권한 및 권한 있음 여부와 함께 표시됩니다.

​

적용 범위의 누락

​

철회

• SecureAI는 자신이 연결에 사용하는 서비스 주체와 해당 비밀은 검색이 중단되므로 철회를 제공하지 않습니다. Entra ID에서 교체하세요.
• 시스템 할당 관리 ID는 SecureAI에서 철회하지 않습니다. 수명 주기가 Azure 리소스에 따르기 때문입니다.
• Foundry가 에이전트 ID의 블루프린트에 유지하는 페더레이션 자격 증명도 SecureAI에서 철회하지 않습니다. 삭제하면 에이전트가 중지됩니다.
• NHI 자동 정책(사용 기간 또는 미사용에 따른 철회)은 아직 Azure에 적용되지 않습니다. 철회는 수동으로 수행합니다.

​

연결 해제

​

관련

• Azure AI Foundry — Inference in your account
• 클라우드 AI 제공업체 개요
• Cloud Sensors
• NHI 인벤토리
• Microsoft Entra ID (SSO)