Peran RBAC Azure OpenAI

  • 7 menit

Peran RBAC ini tersedia bagi Anda untuk Anda tetapkan ke identitas untuk Azure OpenAI Service.

  • Peran Pengguna OpenAI Cognitive Services memungkinkan melihat sumber daya, titik akhir, dan penyebaran model; menggunakan pengalaman taman bermain; dan melakukan panggilan API inferensi. Namun, itu tidak mengizinkan pembuatan sumber daya, melihat/menyalin/meregenerasi kunci, atau mengelola penyebaran model.
  • Peran Kontributor OpenAI Cognitive Services mencakup semua izin pengguna ditambah kemampuan untuk membuat model kustom yang disempurnakan, mengunggah himpunan data, dan mengelola penyebaran model. Ini tidak memungkinkan pembuatan sumber daya baru atau mengelola kunci.
  • Peran Kontributor Cognitive Services memungkinkan pembuatan sumber daya baru, melihat dan mengelola kunci, membuat dan mengelola penyebaran model, dan menggunakan pengalaman taman bermain. Ini tidak mengizinkan akses ke kuota atau melakukan panggilan API inferensi.
  • Peran Pembaca Penggunaan Cognitive Services memungkinkan Anda untuk melihat penggunaan batas pemakaian di seluruh langganan. Peran ini menyediakan akses minimal dan biasanya dikombinasikan dengan peran lain.

Selalu pilih peran yang memberikan jumlah hak istimewa terendah yang diperlukan identitas untuk melakukan tugas yang perlu dilakukan. Untuk detail selengkapnya tentang peran Azure OpenAI RBAC.

Mengonfigurasi penetapan peran di portal Microsoft Azure

Untuk mengaktifkan autentikasi tanpa kunci, ikuti langkah-langkah ini untuk mengonfigurasi penetapan peran yang diperlukan:

  1. Di portal Microsoft Azure, buka sumber daya Azure OpenAI spesifik Anda.
  2. Pada menu layanan, pilih Kontrol Akses (IAM).
  3. Pilih Tambahkan penetapan peran. Pada panel yang terbuka, pilih tab Peran .
  4. Pilih peran yang ingin Anda tetapkan.
  5. Pada tab Anggota , pilih pengguna, grup, perwakilan layanan, atau identitas terkelola untuk ditetapkan ke peran.
  6. Pada tab Tinjau + tetapkan , konfirmasikan pilihan Anda. Pilih Tinjau + tetapkan untuk menyelesaikan penetapan peran.

Dalam beberapa menit, pengguna atau identitas yang dipilih diberikan peran yang ditetapkan pada cakupan yang dipilih. Pengguna atau identitas kemudian dapat mengakses layanan Azure OpenAI tanpa memerlukan kunci API.

Mengonfigurasi penugasan peran pada Azure CLI

Untuk mengonfigurasi penetapan peran dengan menggunakan Azure CLI, lakukan langkah-langkah berikut:

  1. Temukan peran untuk penggunaan Azure OpenAI Anda. Bergantung pada bagaimana Anda ingin mengatur peran tersebut, Anda memerlukan nama atau ID:

    • Untuk Azure CLI atau Azure PowerShell, Anda bisa menggunakan nama peran.
    • Untuk Bicep, Anda memerlukan ID peran.

    Gunakan tabel berikut untuk memilih nama peran atau ID peran:

    Kasus penggunaan Nama peran ID Peran
    Asisten Kontributor Cognitive Services OpenAI a001fd3d-188f-4b5d-821b-7da978bf7442
    Penyelesaian percakapan Pengguna Layanan Kognitif OpenAI 5e0bd9bd-7b93-4f28-af87-19fc36ad61bd

  2. Pilih jenis identitas yang akan digunakan:

    • Satu identitas pribadi terkait dengan akun masuk Azure Anda.
    • Identitas terkelola dikelola oleh Azure dan dibuat untuk digunakan di Azure. Untuk pilihan ini, buat identitas terkelola yang ditetapkan pengguna. Saat membuat identitas terkelola, Anda memerlukan ID klien (juga disebut ID aplikasi).

  3. Temukan identitas pribadi Anda dan gunakan ID sebagai nilai <identity-id> dalam langkah ini.

    Untuk pengembangan lokal, untuk mendapatkan ID identitas Anda sendiri, gunakan perintah berikut. Anda perlu masuk dengan az login sebelum menggunakan perintah ini.

    az ad signed-in-user show \
    --query id -o tsv

  4. Tetapkan peran RBAC ke identitas untuk grup sumber daya. Untuk memberikan izin identitas Anda ke sumber daya Anda melalui RBAC, tetapkan peran dengan menggunakan perintah Azure CLI az role assignment create. Ganti <identity-id>, <subscription-id>, dan <resource-group-name> dengan nilai aktual Anda.

    az role assignment create \
    --role "Cognitive Services OpenAI User" \
    --assignee "\<identity-id>" \
    --scope "/subscriptions/\<subscription-id>/resourceGroups/\<resource-group-name>"