Bagikan melalui

Kontrol akses berbasis peran untuk Azure OpenAI di Model Microsoft Foundry

Note

Dokumen ini mengacu pada portal Microsoft Foundry (klasik ).

🔍 Lihat dokumentasi Microsoft Foundry (baru) untuk mempelajari tentang portal baru.

Azure OpenAI mendukung kontrol akses berbasis peran Azure (Azure RBAC), sistem otorisasi untuk mengelola akses individual ke sumber daya Azure. Dengan menggunakan Azure RBAC, Anda menetapkan berbagai anggota tim tingkat izin yang berbeda berdasarkan kebutuhan mereka untuk proyek tertentu. Untuk informasi selengkapnya, lihat dokumentasi Azure RBAC.

Menambahkan penetapan peran ke sumber daya Azure OpenAI

Azure RBAC dapat ditetapkan ke sumber daya Azure OpenAI. Untuk memberikan akses ke sumber daya Azure, tambahkan penetapan peran.

  1. Di portal Microsoft Azure, cari Azure OpenAI.

  2. Pilih Azure OpenAI, dan navigasikan ke sumber daya spesifik Anda.

    Note

    Anda juga dapat menyiapkan Azure RBAC untuk seluruh grup sumber daya, langganan, atau grup manajemen. Lakukan ini dengan memilih tingkat cakupan yang diinginkan, lalu lakukan navigasi ke item yang diinginkan. Misalnya, memilih Grup sumber daya lalu melakukan navigasi ke grup sumber daya tertentu.

  3. Pilih Kontrol akses (IAM) di panel kiri.

  4. Pilih Tambahkan, lalu pilih Tambahkan penetapan peran.

  5. Di tab Peran pada layar berikutnya, pilih peran yang ingin Anda tambahkan.

  6. Di tab Anggota, pilih pengguna, grup, perwakilan layanan, atau identitas terkelola.

  7. Pada tab Review + assign, pilih Review + assign untuk memberikan peran.

Dalam beberapa menit, target akan diberi peran yang dipilih pada lingkup yang dipilih. Untuk bantuan terkait langkah-langkah ini, lihat Menetapkan peran Azure menggunakan portal Microsoft Azure.

Peran Azure OpenAI

  • Pengguna Cognitive Services OpenAI
  • Kontributor Cognitive Services OpenAI
  • Kontributor Layanan Kognitif
  • Pembaca Penggunaan Layanan Kognitif

Note

Peran Pemilik dan Kontributor tingkat langganan diwariskan dan diprioritaskan atas peran Azure OpenAI kustom yang diterapkan di tingkat Grup Sumber Daya.

Bagian ini mencakup tugas umum yang dapat dilakukan akun dan kombinasi akun yang berbeda untuk sumber daya Azure OpenAI. Untuk melihat daftar lengkap Tindakan dan DataActions yang tersedia, peran individual diberikan dari sumber daya Azure OpenAI Anda, buka Kontrol akses (IAM)> di bawah kolom > untuk peran yang Anda minati, pilih Tampilkan. Secara default, tombol radial Tindakan dipilih. Anda perlu memeriksa Tindakan dan DataActions untuk memahami cakupan penuh kemampuan yang diberikan kepada peran.

Pengguna Layanan Kognitif OpenAI

Jika pengguna diberikan akses berbasis peran hanya ke peran ini untuk sumber daya Azure OpenAI, mereka akan dapat melakukan tugas umum berikut:

✅ Menampilkan sumber daya di portal Microsoft Azure
✅ Menampilkan titik akhir sumber daya di bawah Kunci dan Titik Akhir
✅ Kemampuan untuk melihat sumber daya dan penyebaran model terkait di portal Microsoft Foundry.
✅ Kemampuan untuk melihat model apa yang tersedia untuk penyebaran di portal Foundry.
** ✅ Gunakan fitur Obrolan, Pelengkapan, dan DALL-E (pratinjau) di playground untuk menghasilkan teks dan gambar dengan model apa pun yang telah disebarkan ke sumber daya Azure OpenAI ini.
✅ Lakukan panggilan API inferensi dengan ID Microsoft Entra.

Pengguna yang hanya ditetapkan peran ini tidak akan dapat:

❌ Membuat sumber daya Azure OpenAI baru
❌ Lihat/Salin/Regenerasi kunci di bawah Kunci dan Titik Akhir
❌ Membuat penyebaran model baru atau mengedit penyebaran model yang sudah ada
❌ Membuat/menyebarkan model kustom yang disempurnakan
❌ Mengunggah himpunan data untuk penyempurnaan
❌ Menampilkan, mengkueri, memfilter data penyelesaian tersimpan
❌ Kuota akses
❌ Membuat pagar pembatas yang disesuaikan

Kontributor Layanan Kognitif OpenAI

Peran ini memiliki semua izin sebagai Pengguna Cognitive Services OpenAI dan juga mampu melakukan tugas tambahan seperti:

✅ Membuat model kustom yang disempurnakan
✅ Mengunggah himpunan data untuk penyempurnaan
✅ Menampilkan, mengkueri, memfilter data penyelesaian tersimpan
✅ Membuat penyebaran model baru atau mengedit penyebaran model yang ada [Ditambahkan Musim Gugur 2023]
✅ Memberikan akses ke Assistants API
✅ Tambahkan sumber data ke Azure OpenAI On Your Data.

Pengguna yang hanya ditetapkan peran ini tidak akan dapat:

❌ Membuat sumber daya Azure OpenAI baru
❌ Lihat/Salin/Regenerasi kunci di bawah Kunci dan Titik Akhir
❌ Kuota akses
❌ Membuat pagar pembatas yang disesuaikan

Kontributor Layanan Kognitif

Peran ini biasanya diberikan akses di tingkat grup sumber daya untuk pengguna bersama dengan peran tambahan. Dengan sendirinya peran ini akan memungkinkan pengguna untuk melakukan tugas-tugas berikut.

✅ Buat sumber daya Azure OpenAI baru dalam grup sumber daya yang ditetapkan.
✅ Lihat sumber daya di grup sumber daya yang ditetapkan di portal Microsoft Azure.
✅ Menampilkan titik akhir sumber daya di bawah Kunci dan Titik Akhir
✅ Lihat/Salin/Regenerasi kunci di bawah Kunci dan Titik Akhir
✅ Kemampuan untuk melihat model apa yang tersedia untuk penyebaran di portal Foundry
✅ Gunakan fitur Playground Obrolan, Penyelesaian, dan DALL-E (pratinjau) untuk menghasilkan teks dan gambar dengan model apa pun yang telah disebarkan dari sumber daya Azure OpenAI ini.
✅ Membuat pagar pembatas yang disesuaikan
✅ Tambahkan sumber data ke Azure OpenAI On Your Data.
✅ Membuat penyebaran model baru atau mengedit penyebaran model yang ada (melalui API)
✅ Buat model kustom yang disempurnakan [Ditambahkan Musim Gugur 2023]
✅ Unggah himpunan data untuk penyempurnaan [Ditambahkan Musim Gugur 2023]
✅ Buat penyebaran model baru atau edit penyebaran model yang ada (melalui Foundry) [Ditambahkan Musim Gugur 2023]
✅ Menampilkan, mengkueri, memfilter data penyelesaian tersimpan

Pengguna yang hanya ditetapkan peran ini tidak akan dapat:

❌ Kuota akses
❌ Lakukan panggilan API inferensi dengan ID Microsoft Entra.

Pembaca Penggunaan Cognitive Services

Melihat kuota membutuhkan peran Pembaca Penggunaan Cognitive Services. Peran ini menyediakan akses minimal yang diperlukan untuk melihat penggunaan kuota di seluruh langganan Azure.

Peran ini dapat ditemukan di portal Microsoft Azure di bawah Langganan> *Kontrol akses (IAM)>Tambahkan penetapan peran> peran untuk Pembaca Penggunaan Layanan Kognitif. Peran harus diterapkan di tingkat langganan, peran tersebut tidak ada di tingkat sumber daya.

Jika Anda tidak ingin menggunakan peran ini, peran Pembaca pada langganan menyediakan akses yang setara, tetapi juga menyediakan akses baca yang melampaui batas yang diperlukan untuk melihat kuota. Penyebaran model melalui portal Foundry juga sebagian bergantung pada kehadiran peran ini.

Peran ini memberikan sedikit nilai dengan sendirinya dan biasanya ditetapkan dalam kombinasi dengan satu atau beberapa peran yang dijelaskan sebelumnya.

Pembaca Penggunaan Layanan Kognitif + Pengguna Layanan Kognitif OpenAI

Semua kemampuan Pengguna OpenAI Cognitive Services ditambah kemampuan untuk:

✅ Lihat alokasi kuota di portal Foundry

Pembaca Penggunaan Cognitive Services + Kontributor Cognitive Services OpenAI

Semua kemampuan Kontributor Layanan Kognitif OpenAI ditambah kemampuan untuk:

✅ Lihat alokasi kuota di portal Foundry

Pembaca Penggunaan Cognitive Services + Kontributor Cognitive Services

Semua kemampuan dari Kontributor Cognitive Services, ditambah kemampuan tambahan untuk:

✅ Menampilkan & mengedit alokasi kuota di portal Foundry
✅ Membuat penyebaran model baru atau mengedit penyebaran model yang ada (melalui Foundry)

Summary

Permissions Pengguna Layanan Kognitif OpenAI Kontributor Layanan Kognitif OpenAI Kontributor Layanan Kognitif Pembaca Penggunaan Cognitive Services
Menampilkan sumber daya di portal Azure ✅ ✅ ✅ ➖
Lihat titik akhir sumber daya di bagian "Kunci dan Titik Akhir" ✅ ✅ ✅ ➖
Menampilkan penyebaran sumber daya dan model terkait di portal Foundry ✅ ✅ ✅ ➖
Lihat model apa yang tersedia untuk penyebaran di portal Foundry ✅ ✅ ✅ ➖
Gunakan fitur playground Obrolan, Penyelesaian, dan DALL-E (pratinjau) dengan model apa pun yang sudah diimplementasikan ke sumber daya Azure OpenAI ini. ✅ ✅ ✅ ➖
Membuat atau mengedit penerapan model ❌ ✅ ✅ ➖
Membuat atau menyebarkan model kustom yang disempurnakan ❌ ✅ ✅ ➖
Mengunggah himpunan data untuk penyempurnaan ❌ ✅ ✅ ➖
Menampilkan, mengkueri, memfilter data penyelesaian tersimpan ❌ ✅ ✅ ➖
Membuat sumber daya Azure OpenAI baru ❌ ❌ ✅ ➖
Lihat/Salin/Regenerasi kunci di bawah "Kunci dan Titik Akhir" ❌ ❌ ✅ ➖
Membuat pagar pembatas yang disesuaikan ❌ ❌ ✅ ➖
Menambahkan sumber data untuk fitur "pada data Anda" ✅ ✅ ✅ ➖
Kuota akses ❌ ❌ ❌ ✅
Melakukan panggilan API inferensi dengan ID Microsoft Entra ✅ ✅ ❌ ➖

Masalah Umum

Tidak dapat melihat opsi Azure Cognitive Search di portal Foundry

Issue:

Saat memilih sumber daya Azure Cognitive Search yang ada, indeks pencarian tidak dimuat, dan roda pemuatan berputar terus menerus. Di portal Foundry, buka Playground Chat>Tambahkan data Anda (pratinjau) di bawah pengaturan asisten. Memilih Tambahkan sumber data akan membuka modal yang memungkinkan Anda menambahkan sumber data melalui Azure Cognitive Search atau Blob Storage. Memilih opsi Azure Cognitive Search dan sumber daya Azure Cognitive Search yang ada harus memuat indeks Azure Cognitive Search yang tersedia untuk dipilih.

Akar masalah

Untuk melakukan panggilan API generik untuk mencantumkan layanan Azure Cognitive Search, panggilan berikut dilakukan:

https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Search/searchServices?api-version=2021-04-01-Preview

Ganti {subscriptionId} dengan ID langganan Anda yang sebenarnya.

Untuk panggilan API ini, Anda memerlukan peran dengan cakupan tingkat langganan . Anda dapat menggunakan peran Pembaca untuk akses baca-saja atau peran Kontributor untuk akses baca-tulis. Jika Anda hanya memerlukan akses ke layanan Azure Cognitive Search, Anda dapat menggunakan peran Kontributor Azure Cognitive Search Service atau Pembaca Azure Cognitive Search Service.

Opsi solusi

  • Hubungi administrator atau pemilik langganan Anda: Hubungi orang yang mengelola langganan Azure Anda dan minta akses yang sesuai. Jelaskan kebutuhan Anda dan peran spesifik yang Anda butuhkan (misalnya, Pembaca, Kontributor, Kontributor Azure Cognitive Search Service, atau Pembaca Azure Cognitive Search Service).

  • Meminta akses tingkat langganan atau tingkat grup sumber daya: Jika Anda memerlukan akses ke sumber daya tertentu, minta pemilik langganan untuk memberi Anda akses di tingkat yang sesuai (langganan atau grup sumber daya). Ini memungkinkan Anda melakukan tugas yang diperlukan tanpa memiliki akses ke sumber daya yang tidak terkait.

  • Gunakan kunci API untuk Azure Cognitive Search: Jika Anda hanya perlu berinteraksi dengan Azure Cognitive layanan Pencarian, Anda dapat meminta kunci admin atau kunci kueri dari pemilik langganan. Kunci ini memungkinkan Anda melakukan panggilan API langsung ke layanan pencarian tanpa memerlukan peran Azure RBAC. Perlu diingat bahwa menggunakan kunci API akan melewati kontrol akses Azure RBAC, jadi gunakan dengan hati-hati dan ikuti praktik terbaik keamanan.

Tidak dapat mengunggah file di portal Foundry untuk pada data Anda

Gejala: Tidak dapat mengakses penyimpanan untuk fitur data Anda menggunakan Foundry.

Akar masalah:

Tingkat langganan akses tidak cukup bagi pengguna yang mencoba mengakses penyimpanan blob di portal Foundry. Pengguna mungkin tidak memiliki izin yang diperlukan untuk memanggil titik akhir API Azure Management: https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{accountName}/listAccountSas?api-version=2022-09-01

Akses publik ke penyimpanan blob dinonaktifkan oleh pemilik langganan Azure karena alasan keamanan.

Izin yang diperlukan untuk panggilan API: **Microsoft.Storage/storageAccounts/listAccountSas/action:** Izin ini memungkinkan pengguna untuk mencantumkan token Tanda Tangan Akses Bersama (SAS) untuk akun penyimpanan yang ditentukan.

Kemungkinan alasan mengapa pengguna mungkin tidak memiliki izin:

  • Pengguna diberi peran terbatas dalam langganan Azure, yang tidak menyertakan izin yang diperlukan untuk panggilan API.
  • Peran pengguna telah dibatasi oleh pemilik atau administrator langganan karena masalah keamanan atau kebijakan organisasi.
  • Peran pengguna baru-baru ini diubah, dan peran baru tidak memberikan izin yang diperlukan.

Opsi solusi

  • Memverifikasi dan memperbarui hak akses: Pastikan pengguna memiliki akses tingkat langganan yang sesuai, termasuk izin yang diperlukan untuk panggilan API (Microsoft.Storage/storageAccounts/listAccountSas/action). Jika diperlukan, minta pemilik atau administrator langganan untuk memberikan hak akses yang diperlukan.
  • Meminta bantuan dari pemilik atau admin: Jika solusi di atas tidak layak, pertimbangkan untuk meminta pemilik atau administrator langganan untuk mengunggah file data atas nama Anda. Pendekatan ini dapat membantu mengimpor data ke Foundry tanpa pengguna yang memerlukan akses tingkat langganan atau akses publik ke penyimpanan blob.

Langkah selanjutnya

  • Last updated on