案例09｜各層角色權限與雲端身分治理

一、案例定位

本案例涉及人工智慧（Artificial Intelligence, AI）、生成式人工智慧（Generative Artificial Intelligence, GenAI）與大型語言模型（Large Language Model, LLM）。把身分與最小權限放入資料、服務及模型層。

本案例依原書第 8 章的最佳實務、範例或情境重組，並非原書正式案例研究。

二、學習目標

展開角色型存取控制。
盤點需要保護的系統層。
理解雲端身分服務用途。

三、案例情境

原書要求在資料湖、大型二進位物件（Binary Large Object, BLOB）儲存、向量資料庫、應用程式介面（Application Programming Interface, API）及 LLM 端點等各層施行角色型存取控制（Role-Based Access Control, RBAC）。可使用受控身分與雲端原生身分服務，例如 Azure Entra ID（先前稱 Azure Active Directory）治理身分及存取。

四、開始資料

保護層	原書控制
資料湖／BLOB 儲存	角色權限與受控身分
向量資料庫	限制資料與檢索存取
API／LLM 端點	限制服務與模型呼叫
身分服務	Azure Entra ID
共同原則	各層只給必要權限

五、Excel／AI 分析方法

在 Excel 建立角色、資源、動作、權限、核准與到期欄；AI 可找出過度廣泛或孤立帳號，但不能自行變更權限。

六、計算結果

原書沒有提供可直接計算的數據，因此不補造結果。

七、結果分析與管理解讀

生成式系統跨越多層，任何一層權限過寬都可能擴大資料或模型風險。身分治理需覆蓋人員與服務。

八、AI 提問詞

請依角色與資源矩陣找出超出工作需要的權限、缺少核准或未設定到期者。