Codex 如何安全连接 Azure

用最小权限原则限制访问范围

建议为 Codex 单独创建身份，并只分配完成任务所需的角色，例如只读、特定资源组访问或某个服务的限定权限。尽量避免直接使用订阅级管理员权限。配合 RBAC、资源组隔离和定期权限审查，可以让访问范围更清晰，也更便于追踪和回收。

把敏感凭证放到专门的密钥管理服务

更安全的做法是把密钥、证书和连接串存放在 Azure Key Vault 一类的密钥管理服务中，不要硬编码到代码仓库或聊天内容里。应用运行时再按需读取，并配合托管身份减少明文凭证的使用。这样既能降低泄露概率，也方便轮换和审计。

通过私有网络和访问限制收窄暴露面

可以把 Azure 资源放在私有网络环境中，结合私有终结点、IP 白名单和防火墙规则控制访问来源。若业务场景允许，还可以限制仅特定服务、特定子网或特定区域能调用目标资源。这样即使外部请求被拦截，资源本身也不会轻易暴露在公网。

用日志、告警和审计追踪异常访问

可以开启 Azure 活动日志、资源日志和身份登录日志，关注失败登录、异常地理位置、权限提升尝试、短时间内大量请求等信号。再配合告警规则和审计报表，就能更快发现异常调用。若业务敏感度较高，还可以把日志接入安全运营平台做集中分析。

用可轮换、可审计、可隔离的身份方案

长期接入时，建议使用托管身份或受控服务主体，并把权限按环境拆分，例如开发、测试、生产分离。密钥轮换要有固定周期，访问策略也要能独立更新。再加上资源分组和命名规范，后续排查问题、收回权限和迁移配置都会更轻松。