Controllo degli accessi a livello di Project in Microsoft Discovery

Microsoft Discovery utilizza il controllo di accesso basato su ruolo Azure (Azure RBAC) per rendere ogni progetto un confine di accesso all'interno di uno spazio di lavoro condiviso. Puoi concedere a un utente l'accesso a un progetto senza dare accesso a tutti i progetti nello spazio di lavoro.

L'accesso a livello di Project è utile quando più team di ricerca condividono l'infrastruttura dello spazio di lavoro ma devono mantenere isolati agenti, indagini, sessioni condivise e dati di ricerca.

Come funziona l'accesso a livello di progetto

Un progetto Microsoft Discovery è una risorsa Azure figlia di un workspace:

/subscriptions/{subscription-id}
  /resourceGroups/{resource-group-name}
    /providers/Microsoft.Discovery
      /workspaces/{workspace-name}
        /projects/{project-name}

Microsoft Discovery analizza le operazioni appartenenti al progetto in questo ambito delle risorse del progetto. L'eredità Azure RBAC si applica ancora:

• Un ruolo assegnato direttamente a un progetto si applica solo a quel progetto.
• Un ruolo assegnato all'area di lavoro genitore, al gruppo di risorse o all'abbonamento viene ereditato dal progetto.
• I ruoli esistenti della Microsoft Discovery Platform continuano a lavorare su progetti all'interno del loro ambito di assegnazione.

Questo modello consente agli amministratori della piattaforma di gestire ampiamente l'infrastruttura condivisa, concedendo ai ricercatori l'accesso solo ai progetti di cui hanno bisogno.

Ruoli del progetto

Usa i seguenti ruoli integrati di Microsoft Discovery per l'accesso a livello di progetto:

Ruolo	Capacità	Ambito consigliato
Contributore del Microsoft Discovery Project (Anteprima)	Leggi e gestisci le indagini, le sessioni condivise, le conversazioni, gli agenti, le attività, le operazioni del Discovery Engine e le impostazioni del progetto di un progetto esistente. Non posso creare un nuovo progetto o assegnare ruoli.	Progetto
Microsoft Discovery Project Reader (Anteprima)	Leggi un progetto e i suoi contenuti di proprietà senza creare, modificare, eseguire o eliminare risorse.	Progetto

Per creare un nuovo progetto, è necessario disporre di un ruolo appropriato di Microsoft Discovery Platform a livello di area di lavoro o in un ambito ereditato. L'assegnazione di uno dei due ruoli di progetto richiede Owner, User Access Administrator o Amministratore del controllo degli accessi in base al ruolo a livello di progetto o di un ambito ereditato.

Scegli il ruolo giusto nel progetto

Scenario	Compiti consigliati
Ricercatore che crea agenti e gestisce artefatti	Project Contributor abbinato a Tools Reader, Chat Model Reader, Storage Account Contributor, Storage Blob Data Contributor, Storage Container Contributor e Bookshelf Index Data Reader agli ambiti di risorse richiesti
Ricercatore che utilizza solo agenti pre-creati e Discovery Engine	Project Contributor; aggiungi ruoli di archiviazione o Bookshelf solo quando l'utente deve accedere direttamente a quelle risorse
Revisore che ispeziona i risultati del progetto	Project Reader abbinato a Storage Container Reader e Storage Blob Data Reader; opzionalmente aggiungere Tools Reader e Bookshelf Index Data Reader
Amministratore di piattaforma per uno spazio di lavoro	Ruolo appropriato nella Microsoft Discovery Platform presso lo spazio di lavoro, il gruppo di risorse o l'abbonamento; non aggiungere ruoli di progetto a meno che non sia richiesta un'assegnazione esplicita separata
Utente che lavora in due progetti	Assegnare un ruolo di progetto in modo indipendente a ciascun progetto; evitare di concedere un ruolo a livello di area di lavoro solo per comodità

Esempio: Project Contributor contro Project Reader

Consideriamo un progetto di scoperta di farmaci condiviso da un team di ricerca attivo e da un revisore scientifico esterno.

Esempio di Project Contributor

Uno scienziato di ricerca che progetta e gestisce gli esperimenti del project dovrebbe ricevere il Microsoft Discovery Project Contributor (Preview).

Il contribuente può:

• Crea e gestisci indagini, sessioni condivise, conversazioni, compiti e agenti nel progetto assegnato.
• Esegui agenti predefiniti e Discovery Engine.
• Crea o aggiorna gli agenti con strumenti approvati, modelli di chat e knowledge base quando vengono assegnati i ruoli corrispondenti di lettore compagno.
• Crea e gestisci asset di archiviazione del progetto e contenuti blob quando vengono assegnati i ruoli di storage dei contributori.
• Cambia le impostazioni esistenti del progetto.

Il contributore non può:

• Creare un nuovo progetto.
• Assegna ruoli di Azure.
• Accedi a un altro progetto a meno che non venga assegnato separatamente.
• Visualizza o seleziona strumenti, modelli di chat, archiviazione o risorse di conoscenza che non sono coperte da un'assegnazione di ruolo da compagno.

Esempio di Project Reader

Un investigatore principale, revisore, partner o revisore scientifico che deve ispezionare i risultati senza modificare la ricerca dovrebbe ricevere il Microsoft Discovery Project Reader (Preview).

Il lettore può:

• Visualizza il progetto assegnato e i suoi agenti, le indagini, le sessioni condivise, le conversazioni, i compiti e i risultati.
• Visualizza gli asset di archiviazione Discovery quando viene assegnato il Storage Container Reader.
• Apri il contenuto blob generato quando viene assegnato il lettore di dati di Storage Blob.
• Ispezionare le definizioni degli strumenti quando viene assegnato il Lettore degli Strumenti.
• Visualizza e consulta le librerie e le knowledge base accessibili quando viene assegnato il ruolo opzionale di Lettore di Dati dell'Indice della Libreria.

Il lettore non può:

• Creare, aggiornare, eseguire o eliminare indagini, agenti, attività o sessioni condivise.
• Modifica le impostazioni del progetto.
• Crea o modifica asset di archiviazione o contenuti blob.
• Accedi a un altro progetto o risorsa condivisa a meno che non venga assegnato separatamente.

Abbina i ruoli di progetto ai ruoli di risorsa

I progetti utilizzano strumenti, modelli, archiviazione e risorse di conoscenza che esistono al di fuori dell'ambito del progetto. Un ruolo di progetto non concede automaticamente l'accesso a queste risorse condivise. Assegna il ruolo del progetto insieme ai ruoli companion che si adattano alle responsabilità dell'utente.

Pacchetto di accesso Project Contributor

Per un collaboratore che crea agenti e gestisce gli artefatti del progetto, combina Microsoft Discovery Project Contributor (Preview) con i ruoli seguenti secondo necessità:

Ruolo di compagno	Perché il contributore ne ha bisogno	Ambito consigliato
Microsoft Discovery Tools Reader (Anteprima)	Visualizza le definizioni degli strumenti approvati e seleziona tali strumenti mentre crei o aggiorni un agente.	Strumento individuale, gruppo di risorse o abbonamento
Microsoft Discovery Chat Model Reader (Anteprima)	Visualizza e seleziona un modello di distribuzione approvato di chat mentre crei o aggiorni un agente.	Distribuzione o area di lavoro del modello di chat individuale
Collaboratore account di archiviazione	Accedi e gestisci l'account Archiviazione di Azure che contiene gli artefatti del progetto.	Account di archiviazione di backup o relativo gruppo di risorse
Collaboratore ai dati di Storage Blob	Leggere, creare, aggiornare ed eliminare il contenuto dei BLOB nell'account di archiviazione sottostante.	Contenitore BLOB o account di archiviazione di backup
Contributore al contenitore di archiviazione Microsoft Discovery (Anteprima)	Creare, aggiornare ed eliminare gli asset di archiviazione Discovery utilizzati dalle indagini del progetto.	Contenitore di archiviazione individuale di Microsoft Discovery
Microsoft Discovery Bookshelf Index Data Reader - Anteprima	Elenca scaffali e knowledge base approvate, interroga i loro contenuti e selezionali mentre crei un agente.	Libreria individuale, gruppo di risorse o abbonamento

Note

Questo modello di accesso presuppone che un utente con Microsoft Discovery Platform Administrator (Preview) o Microsoft Discovery Platform Contributor (Preview) crei e gestisca gli strumenti. Un Project Contributor riceve Microsoft Discovery Tools Reader (Preview) solo per visualizzare le definizioni degli strumenti approvati e collegare tali strumenti agli agenti che crea o aggiorna nel project assegnato. Tools Reader non concede il permesso di creare, aggiornare o eliminare strumenti.

Non tutti i contributori hanno bisogno di ogni ruolo da compagno. Concedere solo gli strumenti, i modelli, la memoria e le risorse di conoscenza richieste al progetto.

Pacchetto di accesso per Project Reader

Per un lettore che esamina i risultati di un project, abbina Microsoft Discovery Project Reader (Preview) ai seguenti ruoli secondo necessità:

Ruolo di compagno	Perché il lettore ne ha bisogno	Ambito consigliato
Microsoft Discovery Tools Reader (Anteprima)	Visualizza le definizioni degli strumenti a cui il progetto fa referenza.	Strumento individuale, gruppo di risorse o abbonamento
Microsoft Discovery Storage Container Reader (Anteprima)	Visualizza i contenitori di stoccaggio Discovery e gli asset di stoccaggio associati alle indagini di progetto.	Contenitore di archiviazione individuale di Microsoft Discovery
Lettore dei dati del BLOB di archiviazione	Apri e leggi il contenuto blob generato per le indagini del progetto.	Contenitore BLOB o account di archiviazione di backup
Microsoft Discovery Bookshelf Index Data Reader - Anteprima(opzionale)	Visualizza scaffali e basi di conoscenza associate agli agenti. Questo ruolo concede anche il permesso di interrogare le knowledge base accessibili, anche tramite la CLI.	Libreria individuale, gruppo di risorse o abbonamento

I ruoli di archiviazione di Microsoft Discovery controllano i metadati del container e degli asset di Discovery. Non concedono l'accesso ai byte memorizzati in Archiviazione BLOB di Azure, quindi abbinali al corrispondente ruolo dati di Archiviazione di Azure.

Come funziona l'accesso alle risorse dei compagni

• Controlli di creazione e aggiornamento degli agenti: Quando un utente crea o aggiorna un agente, Microsoft Discovery verifica che l'utente abbia accesso alla lettura a ogni strumento citato e alla distribuzione del modello di chat selezionato. L'operazione viene negata se una risorsa collegata non è accessibile.
• Isolamento tra progetti: I controlli impediscono a un utente solo di progetto di collegare un agente a uno strumento o modello appartenente a un altro team.
• Agenti precreati: Un Project Contributor non ha bisogno di Tools Reader o Chat Model Reader solo per eseguire un agente che un amministratore di piattaforma ha già creato con i suoi strumenti e modello. Questi ruoli sono necessari quando il contributore deve visualizzare o selezionare le risorse collegate durante la creazione o l'aggiornamento dell'agente.
• Revoca dell'accesso: L'accesso agli strumenti e ai modelli di chat viene controllato quando l'agente viene creato o aggiornato, non ogni volta che viene eseguito. Rimuovere successivamente il ruolo di risorsa collegata di un utente non impedisce a un agente già creato di continuare a usare quella risorsa. Aggiornare o rimuovere gli agenti interessati quando si revoca l'accesso alle risorse collegate.
• Modello di Discovery Engine: Discovery Engine utilizza la distribuzione del gpt-5-4 modello di chat configurato nella piattaforma. Un Project Contributor può eseguire Discovery Engine senza un assegno separato del Chat Model Reader per quella distribuzione.
• Accesso alla knowledge base e allo storage: Le knowledge base e lo storage hanno i propri requisiti di accesso. Assegna sia il ruolo Microsoft Discovery pertinente sia qualsiasi ruolo dati del servizio di supporto richiesto dal flusso di lavoro.

Operazioni di proprietà del Project

L'autorizzazione del progetto si applica alle operazioni di proprietà del progetto, tra cui:

• Indagini e compiti del motore di scoperta
• Sessioni condivise, conversazioni e risposte
• Agenti
• Risorse di archiviazione collegate
• Creazione di sessioni di Workbench con ambito di progetto

La risoluzione del Project può provenire dalla via della richiesta, dalla query, dal corpo della richiesta o da un record di conversazione esistente. Se Microsoft Discovery non riesce a risolvere il progetto, l'autorizzazione viene negata.

Note

Alcune operazioni di lettura della sessione Workbench e di verifica dello stato non includono il contesto del progetto e richiedono l'accesso ereditato al workspace. Un utente che ha solo un ruolo di progetto può ricevere un errore di autorizzazione per queste operazioni anche dopo aver creato una sessione Workbench con ambito di progetto.

Raccomandazioni sulla sicurezza

• Assegnare ruoli ai gruppi Microsoft Entra invece che agli utenti individuali quando possibile.
• Usa il campo di risorse più ristretto che supporti il flusso di lavoro.
• Separare l'accesso al progetto dall'accesso a strumenti, modelli, archiviazioni e knowledge base condivise.
• Esaminare sia le assegnazioni di progetto che quelle delle risorse collegate durante le revisioni di accesso.
• Rimuovere o aggiornare gli agenti esistenti quando l'accesso alle risorse collegate viene revocato.
• Non usare un ruolo ampio della Piattaforma per aggirare un ruolo di risorsa supplementare mancante.

Contenuti correlati

• Configurare l'accesso a livello di progetto
• Assegnazioni di ruolo in Microsoft Discovery
• Progetti Microsoft Discovery e sessioni condivise
• Panoramica dell'ambito Azure RBAC