Abilitare o disabilitare il controllo degli accessi in base al ruolo in Azure AI Search
Prima di poter assegnare ruoli per un accesso autorizzato ad Azure AI Search, abilitare il controllo degli accessi in base al ruolo nel servizio di ricerca.
L'accesso in base al ruolo per le operazioni del piano dati è facoltativo, ma consigliato, in quanto rappresenta l'opzione più sicura. L'alternativa è l'autenticazione basata su chiave, ovvero l'impostazione predefinita.
I ruoli per l'amministrazione del servizio (piano di controllo) sono incorporati e non possono essere abilitati o disabilitati.
Nota
Il piano dati fa riferimento alle operazioni sull'endpoint del servizio di ricerca, ad esempio l'indicizzazione o le query, o qualsiasi altra operazione specificata nell'API REST di ricerca o nelle librerie client equivalenti di Azure SDK.
Prerequisiti
Un servizio di ricerca in qualsiasi area e a qualsiasi livello, incluso quello gratuito.
Proprietario, Amministratore accesso utenti o un ruolo personalizzato con autorizzazioni Microsoft.Authorization/roleAssignments/write.
Abilitare l'accesso in base al ruolo per le operazioni del piano dati
Configurare il servizio di ricerca in modo da riconoscere un'intestazione dell'autorizzazione nelle richieste di dati che forniscono un token di accesso OAuth2.
Quando si abilitano i ruoli per il piano dati, la modifica viene applicata immediatamente, ma occorre attendere alcuni secondi prima di assegnare i ruoli.
La modalità di errore predefinita per le richieste non autorizzate è http401WithBearerChallenge. In alternativa, è possibile impostare la modalità di errore su http403.
Accedere al portale di Azure e aprire la pagina del servizio di ricerca.
Selezionare Impostazioni e quindi chiavi nel riquadro di spostamento a sinistra.
Scegliere Controllo in base al ruolo o Entrambi se si usano attualmente le chiavi e occorre tempo per eseguire la transizione dei client al controllo degli accessi in base al ruolo.
Opzione Descrizione Chiave API (impostazione predefinita). Richiede chiavi API nell'intestazione della richiesta per l'autorizzazione. Controllo degli accessi in base al ruolo Richiede l'appartenenza a un'assegnazione di ruolo per completare l'attività. Richiede anche un'intestazione di autorizzazione nella richiesta. Entrambi Le richieste sono valide usando una chiave API o un controllo degli accessi in base al ruolo, ma se si specificano entrambe nella stessa richiesta, viene usata la chiave API. In qualità di amministratore, se si sceglie un approccio basato solo su ruoli, assegnare ruoli del piano dati all'account utente per ripristinare l'accesso amministrativo completo sulle operazioni del piano dati nel portale di Azure. I ruoli includono Collaboratore al servizio di ricerca, Collaboratore ai dati dell'indice di ricerca e Lettore di dati dell'indice di ricerca. Se si vuole un accesso equivalente, sono necessari tutti e tre i ruoli.
A volte possono essere necessari da cinque a dieci minuti per rendere effettive le assegnazioni di ruolo. Fino a quando questo accade, nelle pagine del portale utilizzate per le operazioni del piano dati viene visualizzato il messaggio seguente.
Disabilitare il controllo degli accessi in base al ruolo
È possibile disabilitare il controllo degli accessi in base al ruolo per le operazioni del piano dati e usare invece l'autenticazione basata su chiave. È possibile eseguire questa operazione come parte di un flusso di lavoro di test, ad esempio per escludere i problemi di autorizzazione.
Invertire i passaggi seguiti in precedenza per abilitare l'accesso in base al ruolo.
Accedere al portale di Azure e aprire la pagina del servizio di ricerca.
Selezionare Impostazioni e quindi chiavi nel riquadro di spostamento a sinistra.
Selezionare Chiavi API.
Disabilitare l'autenticazione tramite chiave API
L'accesso alla chiaveo l'autenticazione locale può essere disabilitato nel servizio se si usano esclusivamente i ruoli predefiniti e l'autenticazione di Microsoft Entra. La disabilitazione delle chiavi API fa sì che il servizio di ricerca rifiuti tutte le richieste correlate ai dati che passano una chiave API nell'intestazione.
Le chiavi API di amministrazione possono essere disabilitate, ma non eliminate. Le chiavi API di query possono essere eliminate.
Le autorizzazioni di proprietario o collaboratore sono necessarie per disabilitare le funzionalità di sicurezza.
Nel portale di Azure passare al servizio di ricerca.
Nel pannello di navigazione sinistro selezionare Chiavi.
Selezionare Controllo degli accessi in base al ruolo.
La modifica viene applicata immediatamente, ma attendere alcuni secondi prima del test. Supponendo di disporre dell'autorizzazione per assegnare ruoli come membro del proprietario, dell'amministratore del servizio o del co-amministratore, è possibile usare le funzionalità del portale per testare l'accesso in base al ruolo.
Limiti
Il controllo degli accessi in base al ruolo può aumentare la latenza di alcune richieste. Ogni combinazione univoca di risorsa del servizio (indice, indicizzatore e così via) ed entità servizio attiva un controllo di autorizzazione. Questi controlli di autorizzazione possono aggiungere fino a 200 millisecondi di latenza per richiesta.
Nei rari casi in cui le richieste provengono da un numero elevato di entità servizio diverse, tutte destinate a risorse del servizio diverse (indici, indicizzatori e così via), è possibile che i controlli di autorizzazione comportino una limitazione delle richieste. La limitazione delle richieste si verifica solo se vengono usate centinaia di combinazioni univoche di risorse del servizio di ricerca ed entità servizio nell’arco di un secondo.