Einrichtung beim Kunden

Dieser Abschnitt beschreibt die Voraussetzungen für den Einsatz des Myra AI Workspace, die empfohlenen Einstellungen und die Zuständigkeiten im Betrieb. Die einzelnen Handgriffe der Einrichtung stehen im Abschnitt Ersteinrichtung.

Voraussetzungen an die Hardware

Auf Kundenseite ist keine eigene Hardware erforderlich. Der Myra AI Workspace wird als Security-as-a-Service-Lösung geliefert und von Myra Security betrieben. Es ist nichts zu installieren und nichts zu betreiben. Für die Betriebsart on premises, gedacht für Organisationen mit Anforderungen an den Datenstandort oder mit abgeschotteten Netzen, regelt Myra Security die Lizenz, die Anforderungen an die Hardware und die Begleitung während der Einrichtung.

Voraussetzungen an die Software

Die folgenden Voraussetzungen sind erfüllt:

• ☑ Ein aktueller Webbrowser für die Weboberfläche.
• ☑ Ein HTTPS-Client oder ein OpenAI-verträgliches SDK für die Programmierschnittstelle.
• ☑ Ein gültiger API-Schlüssel je genutztem KI-Anbieter, sofern nicht ausschließlich die von Myra bereitgestellten Modelle genutzt werden.
• ☑ Ein Postfach je Konto, das den sechsstelligen Einmalcode empfängt.

Die folgenden Voraussetzungen sind je nach Einsatz zusätzlich erfüllt:

• ■ Ein Identitätsanbieter mit OpenID Connect oder SAML 2.0 für Single Sign-on sowie SCIM für die Übernahme von Konten und Gruppen.
• ■ Ein erreichbares SIEM-Ziel für das strukturierte Ereignis je Anfrage: Splunk, Elasticsearch, Vector oder Syslog.
• ■ Eine NAT-Instanz oder ein Proxy mit fester ausgehender Adresse, wenn das aufrufende System mit wechselnden Adressen arbeitet und eine IP-Zulassungsliste genutzt wird.
• ■ Eine vom Zahlungsdienstleister angenommene Zahlungsweise für die Tarife Starter und Pro.

Empfohlene Einstellungen

Die folgenden Einstellungen haben sich im Betrieb bewährt:

Bereich	Empfehlung
Authentifizierung	Lassen Sie das Kontrollkästchen Authentifizierungs-Token erforderlich eingeschaltet. Die Einstellung auth_required: false ist ausschließlich für die Entwicklung gedacht. Ohne diese Einstellung sendet jede Person, die das Gateway über das Netz erreicht, Anfragen und verursacht Kosten beim Anbieter.
Tokens	Stellen Sie ein Token je Anwendung oder je Person aus. Geben Sie jedem Token eine sprechende Bezeichnung, ein Ablaufdatum, ein eigenes Budget und eine eigene Ratenbegrenzung. Legen Sie den Wert unmittelbar nach dem Anlegen in einer Schlüsselverwaltung ab.
Budgets	Setzen Sie ein Budget auf allen drei Ebenen: je Token, je Mandant und je Gateway. Wählen Sie den Zeitraum für das Zurücksetzen passend zum Abrechnungszeitraum.
Ratenbegrenzung	Setzen Sie die Grenze des gleitenden Zeitfensters am Gateway auf die erwartete Spitzenlast. Geben Sie dem Token eines Dritten eine engere eigene Grenze.
Guardrails	Schalten Sie die Prüfungen der Stufe 1 ein: Jailbreak-Erkennung, Schlüsselwörter und reguläre Ausdrücke. Diese Prüfungen laufen im Prozess unterhalb einer Millisekunde. Schalten Sie Fail open für jede Prüfung der Stufe 2 ab, sobald die Verarbeitung regulatorischen Vorgaben unterliegt.
PII-Schutz	Nutzen Sie umkehrbare Platzhalter für Projekte, die mit personenbezogenen Angaben arbeiten. Erweitern Sie die Erkennung über die Sperrliste des Mandanten.
EU-Datenresidenz	Schalten Sie eu_region_routing auf jedem Gateway scharf, das die EU nicht verlassen darf. Setzen Sie die EU-Region je Mandant für AWS Bedrock und Google Vertex und schalten Sie die EU-Suchmaschine zusammen mit dem scharfgeschalteten Boden ein. Melden Sie jeden EU-Knoten unter einem anerkannten DNS-Suffix, denn die Prüfung des beobachteten Endpunkts arbeitet fail-secure.
Routing	Tragen Sie je Gateway mindestens einen Ersatzanbieter ein, schalten Sie den Circuit Breaker ein und halten Sie für jeden Anbieter der Kette einen gültigen Schlüssel vor.
Antwort-Zwischenspeicher	Setzen Sie cache_ttl auf Gateways mit wiederkehrenden Anfragen größer als 0, um Kosten und Laufzeit zu senken.
IP-Zulassungsliste	Begrenzen Sie ein Gateway, das aus einem bekannten Netz aufgerufen wird, über PATCH /admin/v1/gateways/{id} auf die CIDR-Bereiche dieses Netzes.
Protokollierung	Lassen Sie das strukturierte Anfrageprotokoll für den Nachweis eingeschaltet. Schalten Sie die Protokollierung der Nutzdaten je Gateway oder je Anfrage überall dort ab, wo der Inhalt selbst nicht abgelegt werden darf.
Aufbewahrung	Setzen Sie die Aufbewahrungs- und Löschfristen je Mandant, Projekt und Konto nach den Pflichten der Organisation.
Zugang	Richten Sie Single Sign-on über OIDC oder SAML und die Übernahme über SCIM ein. Vergeben Sie die Rolle Betrachter an Konten, die ausschließlich lesen.

Zuständigkeiten im Betrieb

Die folgenden Aufgaben liegen bei Myra Security:

• ■ Myra Security betreibt die Instanz hinter dem Myra-Security-CDN und hält sie instand, einschließlich der Guardrail-Dienste der Stufe 2 in der zertifizierten Infrastruktur.
• ■ Myra Security behebt die Fehler 500 configuration_error und 500 internal_error. Diese Fehler sind ausschließlich im serverseitigen Protokoll sichtbar. Der Kunde übergibt dazu die Anfrage-ID und die Gateway-Kennung aus dem Anfrageprotokoll.

Die folgenden Aufgaben liegen beim Kunden:

• ■ Der Kunde pflegt die API-Schlüssel der Anbieter und das Vertragsverhältnis zu jedem Anbieter.
• ■ Der Kunde pflegt Mandanten, Gateways, Tokens, Budgets, Ratenbegrenzungen, Routing-Regeln und die Einstellungen der Guardrails.
• ■ Der Kunde pflegt die Benutzerkonten, die Rollen und, soweit genutzt, den Identitätsanbieter und die SCIM-Anbindung.
• ■ Der Kunde tauscht ein verlorenes oder widerrufenes Token aus und hinterlegt den neuen Wert in der aufrufenden Anwendung.
• ■ Der Kunde entscheidet für jedes Guardrail der Stufe 2 über die Einstellung Fail open und wägt dabei zwischen Verfügbarkeit und Prüftiefe ab.