Az Azure AI Keresés-hoz való csatlakozás szerepkörök segítségével

Feljegyzés

Azure AI Keresés a Azure portálon, REST API-kon és Azure SDK-k keresztül érhető el. Emellett a Foundry IQ-t is támogatja, amely a vállalati tartalmakat újrafelhasználható, engedélytudatos tudásbázisokká alakítja át az Microsoft Foundry portálon található ügynökök számára.

Azure AI Keresés támogatja a role-alapú hozzáférés-vezérlést Microsoft Entra ID keresztül. A szerepköralapú hozzáférés nem kötelező, de ajánlott. A másik lehetőség a kulcsalapú hitelesítés, amely az alapértelmezett.

Ha több szerepkört rendel egy biztonsági taghoz, az engedélyek egyesítve lesznek. A szerepkör-hozzárendelések minden eszközre és ügyfélkódtárra érvényesek.

Ez a cikk bemutatja, hogyan rendelhet hozzá beépített szerepköröket a szolgáltatásadminisztrációhoz, a fejlesztéshez, valamint az írásvédett lekérdezési és lekérési hozzáféréshez. Az egyéni szerepkörök létrehozásának és a szerepkör-hozzárendelések tesztelésének lépéseit is tartalmazza.

Jótanács

Előfeltételek

Beépített szerepkörök

A szerepkörök olyan engedélyek gyűjteményei, amelyek hatással vannak a vezérlősíkra vagy az adatsíkra:

  • Vezérlősík: Szolgáltatások kiépítésére, konfigurálására és felügyeletére szolgáló műveletek. A vezérlősík műveletei közé tartozik a keresési szolgáltatások létrehozása vagy törlése, az API-kulcsok felsorolása, valamint a hálózati és hitelesítési beállítások kezelése. A Azure Resource Manager REST API-k, Search Management REST API-k és az ezzel egyenértékű Azure SDK ügyfélkódtárak segítségével érhető el.

  • Adatsík: Műveletek a keresési szolgáltatás végpontja ellen. Az adatsík-műveletek két kategóriába sorolhatók: az objektumkezelés és a tartalomhozzáférés. A Search Service REST API-kkal és ezzel egyenértékű Azure SDK ügyfélkódtárakon keresztül érhető el.

Szerepkör-leírások

Az alábbi beépített szerepkörök engedélyeket biztosítanak a Azure AI Keresés számára. A vezérlősík szerepkörei mindig elérhetők, míg az adatsík-szerepköröknek szerepköralapú hozzáférést kell engedélyezniük a keresési szolgáltatásban. A beépített szerepköröket kombinálhatja a szélesebb körű hozzáférés érdekében, vagy létrehozhat egy egyéni szerepkört a szükséges engedélyekkel.

Szerepkör Repülőgép Leírás
Tulajdonos Vezérlő
  • Teljes hozzáférés a vezérlősíkhoz, beleértve a szerepkörök hozzárendelését és a hitelesítési beállítások módosítását.
  • Az előfizetés-rendszergazdák alapértelmezés szerint rendelkeznek ezzel a szerepkörsel.
  • Kezelheti az API-kulcsokat.
  • Nem hozhatók létre keresési objektumok, nem tölthetők be dokumentumok, nem kérdezhetők le indexek, és nem kérhetők le tudásbázisokból.
Közreműködő Vezérlő
  • A vezérlősíkhoz való hozzáférés szintje megegyezik a Tulajdonos szinttel, de a szerepkörök hozzárendelési lehetősége nélkül.
Olvasó Vezérlő
  • Írásvédett vezérlősík-hozzáférés.
  • Megtekintheti a szolgáltatásmetrikákat és az objektumdefiníciókat.
  • Nem tekintheti meg és nem kezelheti az API-kulcsokat, nem tölthet be dokumentumokat, nem kérdezhet le indexeket, és nem tud lekérni a tudásbázisokból.
Keresési szolgáltatás közreműködője Vezérlés és Adatok
  • Teljes vezérlősík-hozzáférés. Az adatsík-hozzáférés az objektumkezelésre korlátozódik.
  • Létrehozhat indexeket, indexelőket, képességkészleteket, tudásbázisokat és más keresési objektumokat.
  • A vezérlősík műveletein keresztül lekérheti a rendszergazdai és lekérdezési API-kulcsokat.
  • Nem tölthetők be dokumentumok, nem kérdezhetők le indexek, és nem kérhetők le közvetlenül a tudásbázisokból szerepköralapú hozzáféréssel.
  • A teljes engedélylistát a Microsoft.Search/searchServices/* című témakörben találja.
Keresési index adatszolgáltatója Adatok
  • Olvasási-írási tartalomhozzáférés.
  • Betöltheti a dokumentumokat, lekérdezheti az indexeket, és lekérheti a tudásbázisokat.
  • Nem módosíthatók az objektumdefiníciók, és nem kérhetők le rendszergazdai kulcsok.
Keresési index adatolvasó Adatok
  • Írásvédett tartalomhozzáférés.
  • Lekérdezheti az indexeket, és lekérheti a tudásbázisokból.
  • Nem tölthetők be dokumentumok, nem módosíthatók az objektumdefiníciók, és nem kérhetők le a rendszergazdai kulcsok.

Fontos

  • A tulajdonos, a közreműködő és a keresési szolgáltatás közreműködője lekérheti a rendszergazdai kulcsokat, amelyek teljes olvasási-írási hozzáférést biztosítanak az adatsíkhoz. Csak megbízható felhasználóknak adja meg ezeket a szerepköröket.
  • Alapértelmezés szerint az adatsík-szerepkörök a keresési szolgáltatás összes indexére érvényesek. A keresési index adatszolgáltatója vagy a keresési index adatolvasója egyetlen indexre való hatókörének megadásáról lásd: Hozzáférés biztosítása egyetlen indexhez.

Az engedélyek összegzése

Az alábbi táblázat segítségével gyorsan megtalálhatja, hogy melyik szerepkör biztosítja a szükséges engedélyeket.

Engedélyek Tulajdonos/közreműködő Olvasó Keresési szolgáltatás közreműködője Keresési index adatszolgáltatója Keresési index adatolvasója
Azure AI Keresés-szolgáltatások létrehozása és konfigurálása ✅ ❌ ✅ ❌ ❌
Hozzáférési szolgáltatás a Azure portálon ✅ ✅ ✅ ❌ ❌
Szolgáltatástulajdonságok, metrikák és végpontok megtekintése ✅ ✅ ✅ ❌ ❌
A szolgáltatás összes objektumának listázása ✅ ✅ ✅ ❌ ❌
Hozzáférési kvóták és szolgáltatásstatisztikák ✅ ❌ ✅ ❌ ❌
Kulcsok megtekintése, másolása és újragenerálása ✅ ❌ ✅ ❌ ❌
Hitelesítési beállítások megadása ✅ ❌ ✅ ❌ ❌
Szerepkörök, szabályzatok és definíciók megtekintése ✅ ✅ ✅ ❌ ❌
Hálózati biztonság és privát kapcsolatok konfigurálása ✅ ❌ ✅ ❌ ❌
Keresési objektumok létrehozása, futtatása és kezelése 1 ❌ ❌ ✅ ❌ ❌
Adatok feltöltése indexeléshez 2 ❌ ❌ ❌ ✅ ❌
Index lekérdezése ❌ ❌ ❌ ✅ ✅
Lekérés tudásbázisból ❌ ❌ ❌ ✅ ✅
Engedélyszűrők megkerülése emelt szintű olvasással (előzetes verzió) ❌ ❌ ❌ ✅ ❌

1 Ide tartoznak az indexek, indexelők, adatforrások, képességkészletek, aliasok, szinonimák térképei, hibakeresési munkamenetek, tudásbázisok és tudásbázisok. Az indexelők a futtatási és alaphelyzetbe állítási műveleteket is támogatják.

2 A tulajdonos vagy közreműködő futtathatja az Adatok importálása varázslót indexek létrehozásához és betöltéséhez, még akkor is, ha más ügyfeleken nem tudnak dokumentumokat feltölteni. Hasonlóképpen, az indexelők a keresési szolgáltatás bármely indexére írhatnak, függetlenül az indexenkénti szerepkör-hozzárendeléstől. Mindkét esetben a keresőszolgáltatás (nem a felhasználó) hajtja végre az adatsík-műveleteket a Microsoft.Search/searchServices/indexes/documents/* engedélyeivel.

Beépített szerepkörök hozzárendelése

Ebben a szakaszban a következő szerepkörökhöz rendelhet szerepköröket:

Szerepkörök hozzárendelése szolgáltatásfelügyelethez

Az alábbi szerepkörök lehetővé teszik a keresési szolgáltatás létrehozását, konfigurálását és kezelését. Ezek a szerepkörök hierarchikusak, ezért a szükséges hozzáférési szint alapján válasszon egyet.

Szerepkör azonosító
Tulajdonos 8e3af657-a8ff-443c-a75c-2fe8c4bcb635
Közreműködő b24988ac-6180-42a0-ab88-20f7382ddd24c
Olvasó acdd72a7-3385-48ef-bd42-f606fba81ae7

  1. Nyissa meg a keresőszolgáltatást a Azure portálon.

  2. A bal oldali panelen válassza a Hozzáférés-vezérlés (IAM) lehetőséget.

  3. Válassza a lehetőséget +>hozzáadása, szerepkör-hozzárendelés.

    Képernyőkép a szolgáltatásfelügyeleti szerepkörök hozzárendelésére szolgáló Hozzáférés-vezérlés (IAM) lapról.

  4. Válasszon ki egy szerepkört: Tulajdonos, Közreműködő vagy Olvasó.

  5. A Tagok lapon válassza ki a Microsoft Entra felhasználó vagy csoport identitását. Ha egy másik Azure szolgáltatás engedélyeit állítja be, válasszon ki egy rendszer által hozzárendelt vagy felhasználó által hozzárendelt felügyelt identitást.

  6. A szerepkör hozzárendeléséhez a Felülvizsgálat + hozzárendelés lapon válassza a Felülvizsgálat + hozzárendelés lehetőséget.

Szerepkörök hozzárendelése fejlesztéshez

Az alábbi szerepkörök lehetővé teszik keresési objektumok létrehozását, dokumentumok betöltését, lekérdezési indexek létrehozását és tudásbázisokból való lekérését. Rendelje hozzá mindhárom szerepkört a fejlesztési feladatok teljes körének lefedéséhez.

Szerepkör azonosító
Keresési szolgáltatás közreműködője 7ca78c08-252a-4471-8644-bb5ff32d4ba0
Keresési index adatszolgáltatója 8ebe5a00-799e-43f5-93ac-243d3dce84a7
Keresési index adatolvasó 1407120a-92aa-4202-b7e9-c0e197c71c8f

  1. Nyissa meg a keresőszolgáltatást a Azure portálon.

  2. A bal oldali panelen válassza a Hozzáférés-vezérlés (IAM) lehetőséget.

  3. Válassza a lehetőséget +>hozzáadása, szerepkör-hozzárendelés.

    Képernyőkép a fejlesztési szerepkörök hozzárendelésére szolgáló Hozzáférés-vezérlés (IAM) oldalról.

  4. Válassza a Keresési szolgáltatás közreműködője lehetőséget.

  5. A Tagok lapon válassza ki a Microsoft Entra felhasználó vagy csoport identitását. Ha egy másik Azure szolgáltatás engedélyeit állítja be, válasszon ki egy rendszer által hozzárendelt vagy felhasználó által hozzárendelt felügyelt identitást.

  6. A szerepkör hozzárendeléséhez a Felülvizsgálat + hozzárendelés lapon válassza a Felülvizsgálat + hozzárendelés lehetőséget.

  7. Ismételje meg ezeket a lépéseket a keresési index adatszolgáltatója és a keresési index adatolvasója hozzárendeléséhez.

Szerepkörök hozzárendelése csak olvasási hozzáféréshez

Használja az alábbi szerepkört olyan alkalmazásokhoz és folyamatokhoz, amelyekhez csak olvasási hozzáférésre van szükség az indexekhez és a tudásbázisokhoz. A támogatott műveletek közé tartozik a keresés, a keresés, az automatikus kiegészítés és az indexekre vonatkozó javaslatok , valamint a tudásbázisok lekérése .

Szerepkör azonosító
Keresési index adatolvasó 1407120a-92aa-4202-b7e9-c0e197c71c8f

  1. Nyissa meg a keresőszolgáltatást a Azure portálon.

  2. A bal oldali panelen válassza a Hozzáférés-vezérlés (IAM) lehetőséget.

  3. Válassza a lehetőséget +>hozzáadása, szerepkör-hozzárendelés.

    Az IAM (Hozzáférés-vezérlés) lap képernyőképe, amely csak olvasható adathozzáférési szerepkörök hozzárendelésére szolgál.

  4. Válassza ki a Keresési index adatolvasó szerepkört.

  5. A Tagok lapon válassza ki a Microsoft Entra felhasználó vagy csoport identitását. Ha egy másik Azure szolgáltatás engedélyeit állítja be, válasszon ki egy rendszer által hozzárendelt vagy felhasználó által hozzárendelt felügyelt identitást.

  6. A szerepkör hozzárendeléséhez a Felülvizsgálat + hozzárendelés lapon válassza a Felülvizsgálat + hozzárendelés lehetőséget.

Szerepkör-hozzárendelések tesztelése

Ügyfél használatával tesztelje a szerepkör-hozzárendeléseket. Ne feledje, hogy a szerepkörök kumulatívak. Nem törölheti vagy tagadhatja meg azokat az örökölt szerepköröket, amelyek hatóköre az előfizetés vagy az erőforráscsoport szintjén van az erőforrás (keresési szolgáltatás) szintjén.

A folytatás előtt konfigurálja az alkalmazást kulcs nélküli kapcsolatokhoz , és rendelkezzen szerepkör-hozzárendelésekkel.

  1. Nyissa meg a keresőszolgáltatást a Azure portálon.

  2. A bal oldali panelen válassza a Keresési felügyeleti>indexek lehetőséget az indexhez kapcsolódó engedélyek teszteléséhez:

    • A keresési szolgáltatás közreműködői létrehozhatnak, módosíthatnak és törölhetnek keresési objektumokat, de nem tölthetnek be dokumentumokat, és nem futtathatnak lekérdezéseket. Az engedélyek ellenőrzéséhez hozzon létre egy keresési indexet.

    • A keresési index adatszolgáltatói betölthetik a dokumentumokat. A Import data varázslón kívül nincs dokumentumbetöltési lehetőség a Azure portálon, de a dokumentumbetöltési engedélyek megerősítéséhez reset és indexelőt futtathat.

    • A keresési index adatolvasói lekérdezhetik az indexeket. Az engedélyek ellenőrzéséhez használja a Kereséskezelőt. Lekérdezéseket küldhet és megtekintheti az eredményeket, de nem tekintheti meg az indexdefiníciókat, és nem hozhat létre indexeket.

Hozzáférés biztosítása egyetlen indexhez

Bizonyos esetekben érdemes lehet korlátozni egy alkalmazás hozzáférését egyetlen erőforráshoz, például egy indexhez.

A Azure portál jelenleg nem támogatja a szerepkör-hozzárendeléseket az index szintjén. A Azure CLI, a PowerShell vagy a REST API használatával hozzárendelhet szerepköröket egyetlen indexhez.

Indexenkénti hatókör- és indexelőműveletek

Az indexenkénti szerepkör-hozzárendelések csak a közvetlen API-műveletekre vonatkoznak, például a felhasználóktól vagy alkalmazásoktól érkező lekérdezésekre vagy dokumentumok feltöltésére. Az indexelőket nem korlátozzák indexenkénti engedélyek, mert szolgáltatásszintű hitelesítő adatokkal működnek.

A keresési szolgáltatás közreműködői szerepkörrel rendelkező felhasználók olyan indexelőket hozhatnak létre, amelyek a keresési szolgáltatás bármely indexére írnak, még olyan indexeket is, ahol a felhasználó nem rendelkezik indexenkénti szerepkör-hozzárendeléssel.

Az indexek közötti szigorú adatelkülönítéshez vegye figyelembe az alábbi megközelítéseket:

  • Használjon külön keresési szolgáltatásokat az indexszintű elkülönítést igénylő csapatokhoz vagy felhasználókhoz.
  • A keresési szolgáltatás közreműködője csak az indexelőket kezelő rendszergazdákhoz rendelhető hozzá.
  • A dokumentumszintű hozzáférés-vezérlés biztonsági szűrőkkel történő használatával korlátozhatja a lekérdezési eredményeket egy megosztott indexen belül.

Egyéni szerepkör létrehozása

Ha a beépített szerepkörök nem biztosítják az engedélyek megfelelő kombinációját, létrehozhat egy egyéni szerepkört a szükséges műveletek támogatásához.

Az alábbi példák klónozzák a keresési index adatolvasót , majd hozzáadják az indexek név szerinti listázásának lehetőségét. A keresési szolgáltatás indexeinek felsorolása általában rendszergazdai jognak minősül.

  1. Jelentkezzen be a Azure portálra és keresse meg a keresési szolgáltatást.

  2. A bal oldali panelen válassza a Hozzáférés-vezérlés (IAM) lehetőséget.

  3. A Szerepkörök lapon keresse meg a Keresési index adatolvasó vagy egy másik szerepkört, válassza a három pontot (...), majd válassza a Klónozás lehetőséget.

  4. A Basics lapon adja meg az egyéni szerepkör nevét( például "Keresési index Data Explorer"), majd válassza a Next lehetőséget.

  5. Az Engedélyek lapon válassza az Engedélyek hozzáadása lehetőséget.

  6. Az Címek panelen válassza a Microsoft Keresés csempét.

  7. Ha a műveletek felül ki van jelölve, állítsa be a következő engedélyeket:

    • A Microsoft.Search/operations területen válassza a Read: List all available operations lehetőséget.
    • A Microsoft.Search/searchServices/indexes területen válassza a Read : Index olvasása lehetőséget.

  8. Kapcsoljon a Adatműveletek lapra a tetején, majd a Microsoft.Search/searchServices/indexes/documents területen válassza az Olvasás: Dokumentumok olvasása lehetőséget.

    A JSON-definíció a következő példához hasonlóan néz ki:

    {
    "properties": {
        "roleName": "Search Index Data Explorer",
        "description": "List all indexes on the service and query them.",
        "assignableScopes": [
            "/subscriptions/<subscription>/resourceGroups/<resource-group>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Search/operations/read",
                    "Microsoft.Search/searchServices/indexes/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Search/searchServices/indexes/documents/read"
                ],
                "notDataActions": []
            }
        ]
    }
}

  9. Kattintson a Hozzáadás gombra a panel bezárásához.

  10. Válassza a Véleményezés + létrehozás lehetőséget a szerepkör létrehozásához.

    Mostantól hozzárendelhet felhasználókat és csoportokat a szerepkörhöz. A lépésekről további információt a A Azure egyéni szerepkörök létrehozása vagy frissítése a Azure portálon.

Feltételes hozzáférési szabályzat létrehozása

Ha vállalati szabályzatokat, például többtényezős hitelesítést szeretne kikényszeríteni, használja a Microsoft Entra Feltételes hozzáférés.

Feltételes hozzáférési irányelv létrehozása az Azure AI Keresés-hez:

  1. Jelentkezzen be a Azure portálra.

  2. Keresse meg a Microsoft Entra Feltételes hozzáférés.

  3. Az Áttekintés lapon válassza az Új szabályzat létrehozása lehetőséget.

  4. A Cloud-alkalmazások vagy -műveletek területen adja hozzá Azure AI Keresés felhőalkalmazásként, attól függően, hogy hogyan szeretné beállítani a szabályzatot.

  5. Frissítse a szabályzat fennmaradó paramétereit. Megadhatja például, hogy a szabályzat mely felhasználókra és csoportokra vonatkozik.

  6. Mentse a szabályzatot.

Fontos

Ha a keresési szolgáltatáshoz hozzárendelt egy felügyelt identitást, az adott keresési szolgáltatás felhőalkalmazásként jelenik meg. Az adott keresési szolgáltatás kiválasztása azonban nem kényszeríti ki a szabályzatot. Ehelyett válassza ki az általános Azure AI Keresés felhőalkalmazást a feltételes hozzáférési szabályzatok keresési szolgáltatásra való alkalmazásához.

Hibaelhárítás

Amikor olyan alkalmazásokat fejleszt, amelyek szerepköralapú hozzáférés-vezérlést használnak a hitelesítéshez, gyakori problémák léphetnek fel:

  • A keresési szolgáltatás alapértelmezett konfigurációja a kulcsalapú hitelesítés. Ha nem módosítja ezt a beállítást mindkettőre vagy szerepköralapú hozzáférés-vezérlésre, a rendszer a mögöttes engedélyektől függetlenül automatikusan elutasítja a szerepköralapú hitelesítést használó összes kérést.

  • Ha a kérés tartalmaz egy API-kulcsot a szerepköralapú hitelesítő adatok mellett, a szolgáltatás a kulccsal hitelesít. Távolítsa el az API-kulcsot a kérésfejlécekből a szerepköralapú hitelesítés használatához.

  • Ha az engedélyezési jogkivonat egy felügyelt identitásból származik, és nemrég rendelte hozzá a megfelelő engedélyeket, az engedély-hozzárendelések érvénybe lépése több órát is igénybe vehet .

  • Ha a dokumentumszintű engedélyekkel rendelkező lekérdezések nem adják vissza a várt eredményeket, használja a Keresési index adatszolgáltatóját, vagy hozzon létre egy egyéni szerepkörtemelt szintű engedélyekkel (előzetes verzió) a vizsgálathoz.

Következő lépés

Ez a cikk bemutatja, hogyan rendelhet szerepköröket a vezérlő- és adatsík-műveletekhez Azure AI Keresés. A szerepköralapú hozzáférés alkalmazáskódhoz való hozzáadására vonatkozó átfogó útmutatásért:

Kapcsolja össze alkalmazását az Azure AI Keresés-sel identitások használatával

  • Utolsó frissítés időpontja: