​

Azure — Descoberta

​

O que o SecureAI importa

• Recursos de IA: cada conta de Azure AI Services, Azure OpenAI e outros Cognitive Services (Content Safety, Speech, Language, Document Intelligence…), com sua região e estado.
• Implantações de modelos do Azure OpenAI e do Foundry, com sua capacidade e o uso dos últimos 30 dias (solicitações, tokens de entrada e de saída, do Azure Monitor).
• Projetos e agentes do Foundry: os agentes do Foundry Agent Service e os assistentes clássicos de cada projeto, com o modelo que cada um usa. Também hubs e projetos baseados em hub (Azure Machine Learning), com seus endpoints online e serverless.
• Azure AI Search e Azure Bot Service.
• Custo do mês atual, por serviço (Cost Management).
• Atividade: eventos de gerenciamento do Cognitive Services e do Machine Learning dos últimos 30 dias (Log de Atividades).
• NHIs, listadas no Inventário de NHIs:
  • Entidades de serviço de aplicativos empresariais.
  • Identidades de agente do Microsoft Entra, as que o Foundry cria para cada agente (classificadas como agente).
  • Identidades gerenciadas, atribuídas pelo sistema e pelo usuário.
  • Segredos do cliente e certificados dos registros de aplicativo, com a data de expiração.
  • Credenciais federadas (federação de identidade de carga de trabalho). Por exemplo, uma relação de confiança OIDC do GitHub Actions permite que esse repositório obtenha tokens como o aplicativo, sem nenhum segredo.
  • O último login de cada aplicativo, quando o seu locatário expõe esse relatório.
• Permissões de cada identidade: suas funções do Azure RBAC em qualquer escopo da assinatura (assinatura, grupo de recursos ou recurso), suas permissões de aplicativo do Microsoft Graph e suas funções de diretório do Entra.
• Atribuições de função do RBAC: cada função pelo nome, com os usuários, grupos e aplicativos que a possuem.

• uma das funções Owner, Contributor, User Access Administrator ou Role Based Access Control Administrator;
• uma permissão de gravação do Graph, como Application.ReadWrite.All, Directory.ReadWrite.All, Mail.Send ou Files.ReadWrite.All;
• uma função de administrador de diretório, como Global Administrator ou Application Administrator.

​

Pré-requisitos

​

Passo 1. Criar a entidade de serviço

​

Com a CLI do Azure

SUB_ID=00000000-0000-0000-0000-000000000000

# 1. App registration + service principal
APP_ID=$(az ad app create --display-name "SecureAI Discovery" --query appId -o tsv)
az ad sp create --id "$APP_ID"

# 2. Client secret (shown only once: copy it now)
az ad app credential reset --id "$APP_ID" --display-name secureai --years 1 \
  --query "{tenantId:tenant, clientId:appId, clientSecret:password}" -o json

# 3. Microsoft Graph application permissions + admin consent
#    Application.Read.All, Directory.Read.All, AuditLog.Read.All
az ad app permission add --id "$APP_ID" --api 00000003-0000-0000-c000-000000000000 \
  --api-permissions 9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30=Role \
                    7ab1d382-f21e-4acd-a863-ba3e13f7da61=Role \
                    b0afded3-3588-46d8-8b3d-9842eff778da=Role
az ad app permission admin-consent --id "$APP_ID"

# 4. Azure RBAC on the subscription
az role assignment create --assignee "$APP_ID" --role "Reader" --scope "/subscriptions/$SUB_ID"
az role assignment create --assignee "$APP_ID" --role "Cost Management Reader" --scope "/subscriptions/$SUB_ID"

# 5. (Recommended) read the agents of your Foundry resource
RID=$(az cognitiveservices account show -n MY_RESOURCE -g MY_RG --query id -o tsv)
az role assignment create --assignee "$APP_ID" --role "Cognitive Services Data Reader" --scope "$RID"

​

Com o portal do Azure

1. No portal do Azure, acesse Microsoft Entra ID → Registros de aplicativo → Novo registro, dê um nome (por exemplo, SecureAI Discovery) e registre.
2. Em Visão geral, copie a ID do diretório (locatário) e a ID do aplicativo (cliente).
3. Em Certificados e segredos → Segredos do cliente → Novo segredo do cliente, crie um e copie o Valor (ele é exibido apenas uma vez).
4. Em Permissões de API → Adicionar uma permissão → Microsoft Graph → Permissões de aplicativo, adicione Application.Read.All, Directory.Read.All e AuditLog.Read.All (e Application.ReadWrite.All se quiser revogar a partir do SecureAI). Depois clique em Conceder consentimento do administrador.
5. Em Assinaturas → sua assinatura → Controle de acesso (IAM) → Adicionar atribuição de função, atribua Reader e Cost Management Reader ao aplicativo.
6. No seu recurso Foundry → Controle de acesso (IAM), atribua Cognitive Services Data Reader ao aplicativo.

​

Passo 2. Conectar o Azure no SecureAI

1. Acesse Administrador → Integrações, filtre por Cloud e, no card Azure — Descoberta, clique em Conectar Integração.
2. Preencha os campos:

   Campo	O que informar
   Azure Tenant ID (Directory ID)	tenantId do passo 1
   App Registration Client ID	clientId do passo 1
   App Registration Client Secret	clientSecret do passo 1. Armazenado criptografado.
   Subscription ID (opcional)	Limita a leitura a essa assinatura. Vazio: todas as assinaturas em que a entidade tem Reader.

3. Clique em Conectar. Antes de salvar, o SecureAI testa as credenciais com uma leitura real: se o segredo estiver errado ou a entidade não conseguir ler a assinatura, nada é armazenado e a mensagem informa o que está faltando. Se a conexão for feita, mas faltar uma permissão do Graph, o aviso indica qual é.
4. Sincronize com o botão de atualizar do card. Uma sincronização do Azure pode levar vários minutos (ela percorre o Azure Resource Manager, o Microsoft Graph, o Azure Monitor e o Cost Management). Depois disso, o SecureAI sincroniza sozinho a cada 6 horas.

​

Passo 3. Verificar

• Cloud Sensors lista as implantações, agentes e serviços descobertos. Clique no card do Azure para abrir seus Insights:
  • Usage & Costs: uso e custo;
  • Models & Deployments: implantações e agentes;
  • Identity & Access: identidades com suas funções e a marca Privileged; segredos, certificados e credenciais federadas; funções do RBAC com seus membros;
  • Audit & Logs: a atividade.
• O Inventário de NHIs mostra entidades de serviço, identidades de agente, identidades gerenciadas, segredos, certificados e credenciais federadas, com suas permissões e se são privilegiadas.

​

Lacunas de cobertura

​

Revogação

• O SecureAI não oferece revogar a entidade de serviço com a qual se conecta, nem seus segredos, porque isso interromperia a descoberta. Faça a rotação deles no Entra ID.
• As identidades gerenciadas atribuídas pelo sistema não são revogadas a partir do SecureAI: o ciclo de vida delas é o do recurso do Azure.
• As credenciais federadas que o Foundry mantém no blueprint da identidade de um agente também não são revogadas a partir do SecureAI: removê-las interrompe o agente.
• As políticas automáticas de NHI (revogação por idade ou desuso) ainda não se aplicam ao Azure: a revogação é manual.

​

Desconectar

​

Relacionado

• Azure AI Foundry — Inference in your account
• Provedores Cloud de IA — Visão Geral
• Cloud Sensors
• Inventário de NHIs
• Microsoft Entra ID (SSO)