Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Discovery verwendet Azure rollenbasierte Zugriffskontrolle (Azure RBAC), um jedes Projekt zu einer Zugriffsgrenze innerhalb eines gemeinsamen Arbeitsbereichs zu machen. Man kann einem Benutzer Zugriff auf ein Projekt gewähren, ohne auf jedes Projekt im Arbeitsbereich Zugriff zu gewähren.
Project-Level-Zugang ist nützlich, wenn mehrere Forschungsteams Arbeitsumgebungsinfrastruktur teilen, aber ihre Agenten, Untersuchungen, gemeinsamen Sitzungen und Forschungsdaten isoliert halten müssen.
Wie der Zugriff auf Projektebene funktioniert
Ein Microsoft Discovery-Projekt ist eine kindliche Azure-Ressource eines Arbeitsbereichs:
/subscriptions/{subscription-id}
/resourceGroups/{resource-group-name}
/providers/Microsoft.Discovery
/workspaces/{workspace-name}
/projects/{project-name}
Microsoft Discovery bewertet projekteigene Abläufe auf diesem Projektressourcenumfang. Die Azure RBAC-Vererbung gilt weiterhin:
- Eine direkt einem Projekt zugewiesene Rolle gilt nur für dieses Projekt.
- Eine dem übergeordneten Arbeitsbereich, der Ressourcengruppe oder dem Abonnement zugewiesenen Rolle wird vom Projekt übernommen.
- Bestehende Microsoft Discovery Platform-Rollen arbeiten weiterhin an Projekten, die unter ihrem Aufgabenbereich liegen.
Dieses Modell ermöglicht es Plattformadministratoren, gemeinsame Infrastruktur breit zu verwalten, während Forschern nur Zugang zu den Projekten gewährt wird, die sie benötigen.
Projektrollen
Nutzen Sie die folgenden integrierten Microsoft Discovery-Rollen für den Zugriff auf Projektebene:
| Role | Fähigkeiten | Empfohlener Umfang |
|---|---|---|
| Microsoft Discovery Project Contributor (Vorschau) | Lesen und verwalten Sie die Untersuchungen, geteilten Sitzungen, Gespräche, Agenten, Aufgaben, Discovery Engine-Operationen und Projekteinstellungen eines bestehenden Projekts. Man kann kein neues Projekt erstellen oder Rollen zuweisen. | Projekt |
| Microsoft Discovery Project Reader (Vorschau) | Ein Projekt und die ihm zugeordneten Inhalte lesen, ohne Ressourcen zu erstellen, zu ändern, auszuführen oder zu löschen. | Projekt |
Zum Erstellen eines neuen Projekts ist eine entsprechende Rolle in der Microsoft Discovery Platform im Arbeitsbereich oder in einem geerbten Bereich erforderlich. Die Zuweisung einer der Projektrollen erfordert den Eigentümer, den Benutzerzugriffsadministrator oder den rollenbasierten Access Control Administrator im Projekt oder in einem vererbten Umfang.
Wählen Sie die richtige Projektrolle
| Szenario | Empfohlene Aufgaben |
|---|---|
| Forscher, der Agenten erschafft und Artefakte verwaltet | Projektmitwirkender in Kombination mit Tools-Leser, Chatmodell-Leser, Mitwirkender an Speicherkonto, Mitwirkender an Storage-Blobdaten, Mitwirkender an Speichercontainer und Bookshelf Index Data-Leser in den erforderlichen Ressourcenbereichen |
| Forscher, der nur vorgefertigte Agenten und Discovery Engine betreibt | Project Contributor; Speicher- oder Bücherregalrollen nur hinzufügen, wenn der Nutzer direkt auf diese Ressourcen zugreifen muss |
| Gutachter, der Projektergebnisse prüft | Project Reader kombiniert mit Storage Container Reader und Storage Blob Data Reader; optional hinzufügen Sie Tools Reader und Bookshelf Index Data Reader |
| Plattformadministrator für einen Arbeitsbereich | Geeignete Microsoft Discovery Platform-Rolle im Arbeitsbereich, in der Ressourcengruppe oder im Abonnement; Fügen Sie keine Projektrollen hinzu, es sei denn, eine separate explizite Zuweisung ist erforderlich. |
| Nutzer, der an zwei Projekten arbeitet | Weisen Sie jedem Projekt unabhängig eine Projektrolle zu; vermeiden Sie es, eine Plattformrolle auf Arbeitsebene ausschließlich aus Bequemlichkeit zu gewähren. |
Beispiel: Project Contributor versus Project Reader
Betrachten wir ein Arzneimittelforschungsprojekt, das von einem aktiven Forschungsteam und einem externen wissenschaftlichen Gutachter geteilt wird.
Beispiel für einen Project Contributor
Ein Forschungswissenschaftler, der die Experimente des Projekts entwirft und leitet, sollte den Microsoft Discovery Project Contributor (Preview) erhalten.
Der Beitragende kann:
- Erstellen und verwalten Sie Untersuchungen, gemeinsame Sitzungen, Gespräche, Aufgaben und Agenten im zugewiesenen Projekt.
- Führe vorgefertigte Agenten und Discovery Engine aus.
- Erstellen oder aktualisieren Sie Agenten mit genehmigten Tools, Chatmodellen und Wissensdatenbanken, wenn die entsprechenden Begleitleserrollen zugewiesen werden.
- Erstellen und verwalten Sie Projektspeicherressourcen und Blobinhalte, wenn die Speicherrollen für Mitwirkende zugewiesen sind.
- Ändere die bestehenden Projekteinstellungen.
Der Beitragende kann nicht:
- Erstellen Sie ein neues Projekt.
- Azure-Rollen zuweisen.
- Greifen Sie auf ein anderes Projekt zu, es sei denn, Ihnen wurde es separat zugewiesen.
- Sehen Sie sich Werkzeuge, Chat-Modelle, Speicher oder Wissensressourcen an oder wählen Sie sie aus, die nicht durch eine Begleitrollenzuweisung abgedeckt sind.
Beispiel für Project Reader
Ein Hauptforscher, Prüfer, Partner oder wissenschaftlicher Gutachter, der Ergebnisse inspizieren muss, ohne die Forschung zu ändern, sollte den Microsoft Discovery Project Reader (Preview) erhalten.
Der Leser kann:
- Sehen Sie das zugewiesene Projekt und seine Agenten, Untersuchungen, gemeinsame Sitzungen, Gespräche, Aufgaben und Ergebnisse an.
- Discovery-Speicherressourcen anzeigen, wenn Storage Container Reader zugewiesen ist.
- Öffnen Sie generierte Blob-Inhalte, wenn Storage Blob Data Reader zugewiesen wird.
- Überprüfen Sie Werkzeugdefinitionen, wenn Tools Reader zugewiesen wird.
- Sehen Sie sich zugängliche Bücherregale und Wissensdatenbanken an und fragen Sie sie ab, wenn die optionale Rolle des Bookshelf Index Data Reader zugewiesen wird.
Der Leser kann nicht:
- Erstelle, aktualisiere, führe Untersuchungen aus oder lösche Untersuchungen, Agenten, Aufgaben oder geteilte Sitzungen.
- Ändere die Projekteinstellungen.
- Erstelle oder ändere Speicherassets oder Blob-Inhalte.
- Greifen Sie auf ein anderes Projekt oder eine gemeinsame Ressource zu, sofern sie nicht separat zugewiesen sind.
Paaren Sie Projektrollen mit Ressourcenrollen
Projekte verwenden Werkzeuge, Modelle, Speicher und Wissensressourcen, die außerhalb des Projektbereichs existieren. Eine Projektrolle gewährt nicht automatisch Zugriff auf diese gemeinsamen Ressourcen. Weisen Sie die Projektrolle zusammen mit den Begleitrollen zu, die zu den Aufgaben des Nutzers passen.
Zugriffspaket für Projektmitwirkende
Für einen Mitwirkenden, der Agenten erstellt und Projektartefakte verwaltet, kombinieren Sie Microsoft Discovery Project Contributor (Preview) bei Bedarf mit den folgenden Rollen:
| Begleiterrolle | Warum der Beitragende es braucht | Empfohlener Umfang |
|---|---|---|
| Microsoft Discovery Tools Reader (Vorschau) | Sehen Sie sich genehmigte Werkzeugdefinitionen an und wählen Sie diese Werkzeuge beim Erstellen oder Aktualisieren eines Agenten aus. | Individuelles Tool, Ressourcengruppe oder Abonnement |
| Microsoft Discovery Chat Model Reader (Vorschau) | Sehen Sie sich beim Erstellen oder Aktualisieren eines Agenten eine genehmigte Chat-Modell-Bereitstellung an und wählen Sie sie aus. | Individuelle Bereitstellung oder Arbeitsbereich des Chatmodells |
| Speicherkonto-Mitwirkender | Zugriff auf und Verwaltung des Azure Storage-Kontos, das Projektartefakte enthält. | Zugehöriges Speicherkonto oder dessen Ressourcengruppe |
| Mitwirkender an Speicherblobdaten | Lesen, erstellen, aktualisieren und löschen Sie Blob-Inhalte im Backing Storage Account. | Zugrunde liegender Blobcontainer oder Speicherkonto |
| Microsoft Discovery Storage Container Contributor (Vorschau) | Erstelle, aktualisiere und lösche Discovery-Speicherressourcen, die von Projektuntersuchungen verwendet werden. | Individueller Microsoft Discovery-Speichercontainer |
| Microsoft Discovery Bookshelf Index Data Reader – Vorschau | Liste genehmigte Bücherregale und Wissensdatenbanken auf, frage deren Inhalte ab und wähle sie beim Erstellen eines Agenten aus. | Einzelnes Bücherregal, Ressourcengruppe oder Abonnement |
Note
Dieses Zugriffsmodell setzt voraus, dass ein Nutzer mit Microsoft Discovery Platform Administrator (Vorschau) oder Microsoft Discovery Platform Contributor (Vorschau) die Werkzeuge erstellt und verwaltet. Ein Projektmitwirkender erhält Microsoft Discovery Tools Reader (Vorschau) nur, um genehmigte Werkzeugdefinitionen einzusehen und diese Tools Agents zuzuordnen, die er im zugewiesenen Projekt erstellt oder aktualisiert. Tools Reader gewährt keine Berechtigung, Werkzeuge zu erstellen, zu aktualisieren oder zu löschen.
Nicht jeder Mitwirkende benötigt jede Begleiterrolle. Gewähren Sie nur die Werkzeuge, Modelle, Speicher und Wissensressourcen, die das Projekt benötigt.
Project Reader Zugriffspaket
Für einen Leser, der Projekt-Ergebnisse überprüft, kombinieren Sie Microsoft Discovery Project Reader (Preview) bei Bedarf mit folgenden Rollen:
| Begleiterrolle | Warum der Leser es braucht | Empfohlener Umfang |
|---|---|---|
| Microsoft Discovery Tools Reader (Vorschau) | Sehen Sie sich Werkzeugdefinitionen an, die vom Projekt referenziert werden. | Individuelles Tool, Ressourcengruppe oder Abonnement |
| Microsoft Discovery Storage Container Reader (Vorschau) | Sehen Sie sich Discovery-Speichercontainer und Speicherobjekte an, die mit Projektuntersuchungen verbunden sind. | Individueller Microsoft Discovery-Speichercontainer |
| Leser von Speicherblobdaten | Öffnen und lesen Sie die für Projektuntersuchungen generierten Blob-Inhalte. | Zugrunde liegender Blobcontainer oder Speicherkonto |
| Microsoft Discovery Bookshelf Index Data Reader – Vorschau(optional) | Sehen Sie sich Bücherregale und Wissensdatenbanken an, die mit Agenten verbunden sind. Diese Rolle gewährt außerdem die Erlaubnis, zugängliche Wissensdatenbanken abzurufen, unter anderem über die CLI. | Einzelnes Bücherregal, Ressourcengruppe oder Abonnement |
Die Microsoft Discovery-Speicherrollen steuern Discovery-Container- und Asset-Metadaten. Sie gewähren keinen Zugriff auf die in Azure Blob Storage gespeicherten Bytes, also koppeln Sie sie mit der entsprechenden Azure Storage-Datenrolle.
Wie der Zugang zu Begleiterressourcen funktioniert
- Agentenerstellungs- und Aktualisierungsprüfungen: Wenn ein Benutzer einen Agenten erstellt oder aktualisiert, überprüft Microsoft Discovery, dass der Benutzer Lesezugriff auf jedes referenzierte Tool und auf die ausgewählte Chatmodell-Bereitstellung hat. Die Operation wird abgelehnt, wenn keine verknüpfte Ressource zugänglich ist.
- Projektübergreifende Isolation: Die Prüfungen verhindern, dass ein reiner Projektbenutzer einen Agenten einem Tool oder Modell zuordnet, das einem anderen Team gehört.
- Vorgefertigte Agenten: Ein Project Contributor benötigt nicht nur Tools Reader oder Chat Model Reader, um einen Agenten zu betreiben, den ein Plattformadministrator bereits mit seinen Tools und seinem Modell erstellt hat. Diese Rollen werden benötigt, wenn der Mitwirkende während der Agentenerstellung oder -aktualisierung verknüpfte Ressourcen ansehen oder auswählen muss.
- Zugriffswiderruf: Der Zugriff auf Werkzeuge und Chatmodelle wird überprüft, wenn der Agent erstellt oder aktualisiert wird, nicht jedes Mal, wenn er ausgeführt wird. Das spätere Entfernen der Linked-Resource-Rolle eines Benutzers verhindert nicht, dass ein bereits erstellter Agent diese Ressource weiterhin nutzt. Aktualisieren oder entfernen Sie betroffene Agenten beim Widerruf des Zugriffs auf verknüpfte Ressourcen.
-
Discovery Engine-Modell: Discovery Engine verwendet sein plattformkonfiguriertes
gpt-5-4Chatmodell-Deployment. Ein Project Contributor kann Discovery Engine ohne eine separate Chat Model Reader-Zuweisung für diese Bereitstellung ausführen. - Wissensdatenbank und Speicherzugang: Wissensbasen und Speicher haben ihre eigenen Zugriffsanforderungen. Gewähren Sie sowohl die relevante Microsoft Discovery-Rolle als auch jede Backup-Service-Datenrolle, die der Workflow erfordert.
Project-eigene Betriebe
Die Projektautorisierung gilt für dem Projekt gehörende Vorgänge, einschließlich:
- Untersuchungen und Aufgaben der Discovery Engine
- Geteilte Sitzungen, Gespräche und Antworten
- Agenten
- Verknüpfte Speicherobjekte
- Erstellung von Workbench-Sitzungen im Projektumfang
Die Projektzuordnung kann aus der Request-Route, den Abfrageparametern, dem Request-Body oder einem bestehenden Konversationseintrag stammen. Wenn Microsoft Discovery das Projekt nicht auflösen kann, schlägt die Autorisierung fehl.
Note
Einige Lese- und Statusvorgänge in Workbench-Sitzungen enthalten keinen Projektkontext und erfordern geerbten Zugriff auf den Arbeitsbereich. Ein Benutzer, der nur eine Projektrolle hat, kann für diese Operationen auch nach Erstellung einer projektbezogenen Workbench-Sitzung einen Autorisierungsfehler erhalten.
Sicherheitsempfehlungen
- Weisen Sie Microsoft Entra-Gruppen Rollen zu, wenn es praktisch ist, statt einzelnen Benutzern.
- Nutzen Sie den engsten Ressourcenumfang, der den Workflow unterstützt.
- Getrennter Projektzugriff vom Zugriff auf gemeinsame Werkzeuge, Modelle, Speicher und Wissensdatenbanken.
- Überprüfen Sie sowohl Projekt- als auch Linked-Resource-Zuweisungen während der Zugangsprüfungen.
- Entfernen oder aktualisieren Sie bestehende Agenten, wenn der Zugriff auf verknüpfte Ressourcen widerrufen wird.
- Verwenden Sie keine umfassende Plattformrolle, um eine fehlende ergänzende Ressourcenrolle zu umgehen.