ロールを使用して Azure AI 検索に接続する

[アーティクル]
09/03/2024

Azure には、プラットフォームで実行されるすべてのサービスに対し、グローバルな認証とロールベースの承認システムが用意されています。 Azure AI Search では、次の目的で Azure ロールを割り当てることができます。

サービス管理
Search Service の開発、または Search Service への書き込みアクセス
クエリのための読み取り専用アクセス
単一のインデックスへのスコープ指定されたアクセス

検索結果に対するユーザーごとのアクセス ("行レベルセキュリティ" または "ドキュメントレベルセキュリティ" と呼ばれることもあります) は、ロールの割り当てではサポートされていません。回避策としては、[セキュリティフィルターの作成] を使用してユーザー ID 別に結果を整理し、要求者がアクセスしてはならないドキュメントを削除します。デモについては、こちらの「RAG を使用したエンタープライズチャットサンプル」を参照してください。

ロールの割り当ては、すべてのツールとクライアントライブラリ全体に累積され、広く適用されます。ロールは、Azure のロールベースのアクセス制御のドキュメントで説明されている、サポートされている方法のいずれかを使用して割り当てることができます。

ロールベースのアクセスはオプションですが、使用することをお勧めします。代替策としてはキーベースの認証があり、こちらは既定のものです。

前提条件

ロールベースのアクセスが有効であり、任意のレベル上の、任意の Azure リージョン内の検索サービス。
所有者、ユーザーアクセス管理者、または Microsoft.Authorization/roleAssignments/write アクセス許可を持つカスタムロール。

Azure AI 検索で使用される組み込みロール

次のロールが組み込まれています。これらのロールが不十分な場合は、カスタムロールを作成します。

役割	プレーン	説明
所有者	コントロールとデータ	Azure ロールを割り当てる機能を含む、検索リソースのコントロールプレーンへのフルアクセス。所有者ロールだけが、認証オプションを有効または無効にしたり、他のユーザーのロールを管理したりできます。サブスクリプション管理者は既定でメンバーになります。データプレーンでは、このロールには、Search サービス共同作成者ロールと同じアクセス権があります。これには、検索インデックスまたはインデックスドキュメントのクエリを実行する機能を除く、すべてのデータプレーンアクションへのアクセス権が含まれます。
Contributor	コントロールとデータ	ロールの割り当て、認証オプションの変更を除いて、所有者と同じコントロールプレーンアクセスレベル。データプレーンでは、このロールには、Search サービス共同作成者ロールと同じアクセス権があります。これには、検索インデックスまたはインデックスドキュメントのクエリを実行する機能を除く、すべてのデータプレーンアクションへのアクセス権が含まれます。
Reader	コントロールとデータ	検索メトリック、コンテンツメトリック (消費されたストレージ、オブジェクトの数)、データプレーンリソース (インデックス、インデクサーなど) のオブジェクト定義など、サービス全体にわたる読み取りアクセス。閲覧者ロールは、API キーの読み取りやインデックス内のコンテンツの読み取りには引き続きアクセスできません。
Search Service Contributor	コントロールとデータ	オブジェクト定義 (インデックス、別名、同意語マップ、インデクサー、データソース、スキルセット) に対する読み取り/書き込みアクセス。このロールは、オブジェクトを作成する開発者、および検索サービスとそのオブジェクトを管理する管理者向けですが、インデックスコンテンツにはアクセスできません。このロールを使用して、インデックスの作成、削除、一覧表示、インデックス定義の取得、サービス情報 (統計とクォータ) の取得、アナライザーのテスト、同意語マップ、インデクサー、データソース、スキルセットの作成と管理を行います。アクセス許可の一覧については、「`Microsoft.Search/searchServices/*`」を参照してください。
検索インデックスデータ共同作成者	データ	インデックス内のコンテンツに対する読み取り/書き込みアクセス。このロールは、インデックスのドキュメントコレクションのインポート、更新、またはクエリを行う必要がある開発者またはインデックス所有者向けです。このロールでは、インデックスの作成や管理はサポートしていません。既定では、検索サービスのすべてのインデックスを対象としています。スコープを絞り込むには、「1 つのインデックスへのアクセスを許可する」を参照してください。
検索インデックスデータ閲覧者	データ	検索インデックスのクエリを実行するための読み取り専用アクセス。このロールは、クエリを実行するアプリおよびユーザー向けです。このロールでは、オブジェクト定義への読み取りアクセスはサポートしていません。たとえば、検索インデックス定義を読み取ったり、検索サービスの統計情報を取得したりすることはできません。既定では、検索サービスのすべてのインデックスを対象としています。スコープを絞り込むには、「1 つのインデックスへのアクセスを許可する」を参照してください。

これらのロールを組み合わせて、自分のユースケースのために十分なアクセス許可を取得します。

Note

Azure ロールベースのアクセスを無効にした場合、コントロールパネルの組み込みロール (所有者、共同作成者、閲覧者) を引き続き使用できます。ロールベースのアクセスを無効にすると、これらのロールに関連付けられたデータ関連の権限だけが削除されます。データプレーンのロールが無効の場合、Search サービス共同作成者はコントロールプレーンの共同作成者と同等になります。

ロールの割り当て

このセクションでは、次のロールを割り当てます。

サービス管理

ロール ID

Owner 8e3af657-a8ff-443c-a75c-2fe8c4bcb635

Contributor b24988ac-6180-42a0-ab88-20f7382dd24c

Reader acdd72a7-3385-48ef-bd42-f606fba81ae7

ロール	ID
`Owner`	8e3af657-a8ff-443c-a75c-2fe8c4bcb635
`Contributor`	b24988ac-6180-42a0-ab88-20f7382dd24c
`Reader`	acdd72a7-3385-48ef-bd42-f606fba81ae7

Search Service の開発、または Search Service への書き込みアクセス

タスク	ロール	ID
CRUD 操作	`Search Service Contributor`	7ca78c08-252a-4471-8644-bb5ff32d4ba0
ドキュメントを読み込み、インデックス作成ジョブを実行する	`Search Index Data Contributor`	8ebe5a00-799e-43f5-93ac-243d3dce84a7
インデックスのクエリ	`Search Index Data Reader`	1407120a-92aa-4202-b7e9-c0e197c71c8f

クエリのための読み取り専用アクセス

ロール ID

PowerShell を使用した Search Index Data Reader 1407120a-92aa-4202-b7e9-c0e197c71c8f

ロール	ID
PowerShell を使用した `Search Index Data Reader`	1407120a-92aa-4202-b7e9-c0e197c71c8f

サービス管理のロールを割り当てる

サービス管理者は、Search Service を作成して構成し、Management REST API または同等のクライアントライブラリに記述されているすべてのコントロールプレーン操作を実行できます。ロールによっては、ほとんどのデータプレーンの Search REST API を実行することもできます。

Azure Portal
PowerShell

Azure portal にサインインします。
お使いの検索サービスに移動します。
左側のナビゲーションペインで [アクセス制御 (IAM)] を選択します。
[+ 追加]>[ロール割り当ての追加] の順に選択します。
該当するロールを選びます。
- 所有者 (クエリのアクセス許可を除く、すべてのデータプレーン操作とコントロールプレーン操作へのフルアクセス)
- 共同作成者 (ロールを割り当てるアクセス許可を除き、所有者と同じ)
- 閲覧者 (メトリックの監視と表示に使用可能)
[メンバー] タブで Microsoft Entra ユーザーまたはグループの ID を選びます。
[確認と割り当て] タブで、 [確認と割り当て] を選択してロールを割り当てます。

PowerShell を使用してロールを割り当てる場合は、New-AzRoleAssignment を呼び出して、Azure のユーザーまたはグループの名前と、割り当てのスコープを指定します。

この例では、検索サービスにスコープを設定したロールの割り当てを作成します。

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Reader" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

開発用のロールを割り当てる

ロールの割り当ては、Search Service 全体でグローバルに行われます。単一のインデックスにアクセス許可のスコープ指定を行う場合は、代わりに PowerShell または Azure CLI を使用してカスタムロールを作成します。

フルアクセスを提供するロールのもう 1 つの組み合わせは、共同作成者または所有者、および Search インデックスデータ閲覧者です。

重要

サービスまたはインデックスに対してロールベースのアクセスを構成し、要求に API キーも指定した場合、Search Service では API キーを使用して認証が行われます。

Azure Portal
PowerShell

Azure portal にサインインします。
お使いの検索サービスに移動します。
左側のナビゲーションペインで [アクセス制御 (IAM)] を選択します。
[+ 追加]>[ロール割り当ての追加] の順に選択します。
ロールを選択します。
- Search Service Contributor (インデックス、インデクサー、スキルセット、その他の最上位オブジェクトに対する create-read-update-delete 操作)
- Search インデックスデータ共同作成者 (ドキュメントの読み込みとインデックス作成ジョブの実行)
- Search インデックスデータ閲覧者 (インデックスのクエリ)
フルアクセスを提供するロールのもう 1 つの組み合わせは、共同作成者または所有者、および Search インデックスデータ閲覧者です。
[メンバー] タブで Microsoft Entra ユーザーまたはグループの ID を選びます。
[確認と割り当て] タブで、 [確認と割り当て] を選択してロールを割り当てます。
他のロールに対しても繰り返します。ほとんどの開発者には、3 つがすべて必要です。

この例では、検索サービスにスコープを設定したロールの割り当てを作成します。

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

この例では、特定のインデックスにスコープを設定したロールの割り当てを作成します。

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>/indexes/<index-name>"

読み取り専用クエリのロールを割り当てる

インデックスへの読み取りアクセスのみが必要なアプリとプロセスには、Search インデックスデータ閲覧者ロールを使用します。

これは目的に非常に特化したロールです。検索、オートコンプリート、検索候補のための Search インデックスのドキュメントコレクションに対する GET アクセスまたは POST アクセスを許可します。インデックスまたはその他の最上位レベルのオブジェクトに対する GET 操作や LIST 操作、またサービス統計の GET はサポートされていません。

このセクションでは、ロールの割り当てを設定するための基本的な手順について説明し、このセクションは完全を期すために存在します。しかし、ロールベースのアクセス用にアプリを構成する際の包括的な手順については、「キーなしで Azure AI 検索を使用する」をお勧めします。

Azure Portal
PowerShell

Azure portal にサインインします。
お使いの検索サービスに移動します。
左側のナビゲーションペインで [アクセス制御 (IAM)] を選択します。
[+ 追加]>[ロール割り当ての追加] の順に選択します。
Search インデックスデータ閲覧者ロールを選択します。
[メンバー] タブで Microsoft Entra ユーザーまたはグループの ID を選びます。別のサービスのアクセス許可を設定する場合は、システムマネージド ID またはユーザーマネージド ID を使用している可能性があります。ロールの割り当てがサービス ID 向けの場合は、そのオプションを選択します。
[確認と割り当て] タブで、 [確認と割り当て] を選択してロールを割り当てます。

サブスクリプション ID、Search Service リソースグループ、Search Service 名を取得します。
Azure OpenAI などの Azure サービスのオブジェクト識別子を取得します。
```
 Get-AzADServicePrincipal -SearchString <YOUR AZURE OPENAI RESOURCE NAME>
```
ロール定義を取得し、アクセス許可を確認して、これが目的のロールであることを確認します。
```
Get-AzRoleDefinition -Name "Search Index Data Reader"
```

プレースホルダーを有効な値で置き換えて、ロールの割り当てを作成します。

New-AzRoleAssignment -ObjectId YOUR-AZURE-OPENAI-OBJECT-ID -RoleDefinitionName "Search Index Data Reader" -Scope /subscriptions/YOUR-SUBSCRIPTION-ID/resourcegroups/YOUR-RESOURCE-GROUP/providers/Microsoft.Search/searchServices/YOUR-SEARCH-SERVICE-NAME

特定のインデックスにスコープを設定したロールの割り当ての例を次に示します。

New-AzRoleAssignment -ObjectId YOUR-AZURE-OPENAI-OBJECT-ID `
    -RoleDefinitionName "Search Index Data Reader" `
    -Scope /subscriptions/YOUR-SUBSCRIPTION-ID/resourcegroups/YOUR-RESOURCE-GROUP/providers/Microsoft.Search/searchServices/YOUR-SEARCH-SERVICE-NAME/indexes/YOUR-INDEX-NAME

ロールの割り当てをテストする

クライアントを使用して、ロールの割り当てをテストします。ロールは累積的であり、サブスクリプションまたはリソースグループレベルにスコープを設定された継承されたロールは、リソース (Search Service) レベルでは削除も拒否もできないことに注意してください。

キーレス接続用にアプリケーションを構成し、テストする前にロールの割り当てを行います。

Azure portal にサインインします。
お使いの検索サービスに移動します。
[概要] ページで、[インデックス] タブを選択します。
- Search サービス共同作成者は、任意のオブジェクトを表示および作成できますが、ドキュメントを読み込んだり、インデックスに対してクエリを実行したりすることはできません。権限を確認するには、検索インデックスを作成します。
- Search インデックスデータ共同作成者は、ドキュメントを読み込むことができます。ポータルでは [データのインポート] ウィザードの外部には [ドキュメントの読み込み] オプションはありませんが、[インデクサーのリセットと実行] を行うことでドキュメントの読み込みアクセス許可を確認できます。
- 検索インデックスデータ閲覧者は、インデックスに対してクエリを実行できます。権限を確認するには、Search エクスプローラーを使用します。クエリを送信し、結果を表示できるようにする必要がありますが、インデックス定義を表示できたり、作成できたりする必要はありません。

このアプローチは、REST クライアント拡張機能を備えた Visual Studio Code を前提としています。

Azure CLI のコマンドシェルを開き、Azure サブスクリプションにサインインします。
```
az login
```
テナント ID とサブスクリプション ID を取得します。この ID は、今後の手順で変数として使用されます。
```
az account show
```

アクセストークンを取得します。

az account get-access-token --query accessToken --output tsv

Visual Studio Code 内の新しいテキストファイルに、次の変数を貼り付けます。

@baseUrl = PASTE-YOUR-SEARCH-SERVICE-URL-HERE
@index-name = PASTE-YOUR-INDEX-NAME-HERE
@token = PASTE-YOUR-TOKEN-HERE

指定した変数を使用する要求を貼り付けて送信します。 "検索インデックスデータ閲覧者" であればクエリを送信できます。サポートされている API バージョンを使用できます。

POST https://{{baseUrl}}/indexes/{{index-name}}/docs/search?api-version=2024-07-01 HTTP/1.1
  Content-type: application/json
  Authorization: Bearer {{token}}

    {
         "queryType": "simple",
         "search": "motel",
         "filter": "",
         "select": "HotelName,Description,Category,Tags",
         "count": true
     }

特定の環境のトークンを取得する方法の詳細については、「REST API を使用して Azure AI 検索サービスを管理する」および「Microsoft ID プラットフォームの認証ライブラリ」を参照してください。

Azure.Search.Documents パッケージを使用します。
トークン認証用に Azure.Identity for .NET を使用します。 Microsoft ではほとんどのシナリオで DefaultAzureCredential() を推奨します。

DefaultAzureCredential() を使用したクライアント接続の例を次に示します。

// Create a SearchIndexClient to send create/delete index commands
SearchIndexClient adminClient = new SearchIndexClient(serviceEndpoint, new DefaultAzureCredential());

// Create a SearchClient to load and query documents
SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, new DefaultAzureCredential());

クライアントシークレット資格情報の別の使用例を次に示します。

var tokenCredential =  new ClientSecretCredential(aadTenantId, aadClientId, aadSecret);
SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, tokenCredential);

azure.search.documents (Azure SDK for Python) を使用します。
トークン認証用に Azure.Identity for Python を使用します。
Python クライアントがサーバー側で実行しているアプリケーションである場合、DefaultAzureCredential を使用します。アプリがブラウザーで実行している場合、対話型の認証を有効にします。

次に例を示します。

from azure.search.documents import SearchClient
from azure.identity import DefaultAzureCredential

credential = DefaultAzureCredential()
endpoint = "https://<mysearch>.search.windows.net"
index_name = "myindex"
client = SearchClient(endpoint=endpoint, index_name=index_name, credential=credential)

@azure/search-documents (Azure SDK for JavaScript) バージョン 11.3 を使用します。
トークン認証用に Azure.Identity for JavaScript を使用します。
React を使用している場合は、Search に対する Microsoft Entra 認証に InteractiveBrowserCredential を使用します。詳細については、「@azure/identity を使用する場合」を参照してください。

現在のユーザーとしてテスト

既に検索サービスの共同作成者または所有者である場合は、Azure AI Search への認証用のユーザー ID としてベアラートークンを提示できます。

Azure CLI を使用して現在のユーザーのベアラートークンを取得します。
```
az account get-access-token --scope https://search.azure.com/.default
```
または PowerShell を使用する方法:
```
Get-AzAccessToken -ResourceUrl https://search.azure.com
```

Visual Studio Code の新しいテキストファイルに、次の変数を貼り付けます。

@baseUrl = PASTE-YOUR-SEARCH-SERVICE-URL-HERE
@index-name = PASTE-YOUR-INDEX-NAME-HERE
@token = PASTE-YOUR-TOKEN-HERE

アクセスを確認する要求を貼り付けて送信します。これは hotels-quickstart インデックスに対してクエリを実行するものです。

POST https://{{baseUrl}}/indexes/{{index-name}}/docs/search?api-version=2024-07-01 HTTP/1.1
  Content-type: application/json
  Authorization: Bearer {{token}}

    {
         "queryType": "simple",
         "search": "motel",
         "filter": "",
         "select": "HotelName,Description,Category,Tags",
         "count": true
     }

1 つのインデックスへのアクセスを許可する

シナリオの一部では、アプリケーションでアクセスできる範囲を単一のリソース (インデックスなど) に制限することが必要になる場合があります。

ポータルでは現在、このレベルの細分性でロールの割り当てはサポートされていませんが、 PowerShell または Azure CLI を使用して実行できます。

PowerShell では、New-AzRoleAssignment を使って、Azure のユーザーまたはグループの名前と、割り当てのスコープを指定します。

Azure および AzureAD モジュールを読み込み、Azure アカウントに接続します。
```
Import-Module -Name Az
Import-Module -Name AzureAD
Connect-AzAccount
```

個々のインデックスにスコープを設定したロールの割り当てを追加します。

New-AzRoleAssignment -ObjectId <objectId> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>/indexes/<index-name>"

カスタムロールを作成する

組み込みロールに適切なアクセス許可の組み合わせがない場合は、カスタムロールを作成して必要な操作をサポートすることができます。

この例では、検索インデックスデータ閲覧者を複製し、名前でインデックスを一覧表示する権限を追加します。通常、検索サービスのインデックスを一覧表示することは管理者の権利とされています。

次の手順は、「Azure portal を使用して Azure カスタムロールを作成または更新する」から派生したものです。検索サービスページでは、既存のロールからの複製がサポートされています。

次の手順では、インデックスを名前で一覧表示する権限を追加して検索クエリの権限を増強したカスタムロールを作成します。通常、インデックスの一覧表示は管理者用の機能とされています。

Azure portal で検索サービスに移動します。
左側のナビゲーションペインで [アクセス制御 (IAM)] を選択します。
アクションバーで、[ロール] を選択します。
[検索インデックスデータ閲覧者] (または別のロール) を右クリックし、[複製] を選択して [カスタムロールを作成する] ウィザードを開きます。
[基本] タブでカスタムロールの名前 ("Search Index Data Explorer" など) を指定し、[次へ] をクリックします。
[アクセス許可] タブで [アクセス許可の追加] を選択します。
[アクセス許可の追加] タブで、Microsoft Search タイルを検索して選択します。
カスタムロールのアクセス許可を設定します。ページの上部で、既定の [アクション] の選択を使用して以下を行います。
- Microsoft.Search/operations で、[Read : List all available operations]\(読み取り: 使用可能なすべての操作を一覧表示する\) を選択します。
- Microsoft.Search/searchServices/indexes で、[Read: Read Index]\(読み取り: インデックスの読み取り\) を選択します。

同じページの [データアクション] に切り替え、Microsoft.Search/searchServices/indexes/documents で [Read : Read Documents]\(読み取り: ドキュメントの読み取り\) を選択します。

JSON の定義は、次の例のようになります。

{
 "properties": {
     "roleName": "search index data explorer",
     "description": "",
     "assignableScopes": [
         "/subscriptions/0000000000000000000000000000000/resourceGroups/free-search-svc/providers/Microsoft.Search/searchServices/demo-search-svc"
     ],
     "permissions": [
         {
             "actions": [
                 "Microsoft.Search/operations/read",
                 "Microsoft.Search/searchServices/indexes/read"
             ],
             "notActions": [],
             "dataActions": [
                 "Microsoft.Search/searchServices/indexes/documents/read"
             ],
             "notDataActions": []
         }
     ]
   }
 }

[確認および作成] を選択してロールを作成します。これで、ユーザーとグループをロールに割り当てることがきるようになりました。

この PowerShell の例は、検索インデックスデータ閲覧者の複製に、すべてのインデックスを名前で一覧表示することができる権限を追加したカスタムロールを作成するための JSON 構文を示しています。

アトミックアクセス許可の一覧を確認して、必要なものを判断します。この例には、次のものが必要です。
```
"Microsoft.Search/operations/read",
"Microsoft.Search/searchServices/read",
"Microsoft.Search/searchServices/indexes/read"
```
カスタムロールを作成する PowerShell セッションを設定します。詳細な手順については、Azure PowerShell の記事を参照してください。
JSON ドキュメントとしてロール定義を用意します。 PowerShell を使ってカスタムロールを作成する構文の例を次に示します。

{
  "Name": "Search Index Data Explorer",
  "Id": "88888888-8888-8888-8888-888888888888",
  "IsCustom": true,
  "Description": "List all indexes on the service and query them.",
  "Actions": [
      "Microsoft.Search/operations/read",
      "Microsoft.Search/searchServices/read"
  ],
  "NotActions": [],
  "DataActions": [
      "Microsoft.Search/searchServices/indexes/read"
  ],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{subscriptionId1}"
  ]
}

Note

割り当て可能なスコープがインデックスレベルの場合、データアクションは "Microsoft.Search/searchServices/indexes/documents/read" である必要があります。

条件付きアクセス

多要素認証などの組織のポリシーを適用する必要がある場合、Microsoft Entra 条件付きアクセスを推奨します。

Azure AI Search の条件付きアクセスポリシーを有効にするには、次の手順を実行します。

Azure portalにサインインします。
Microsoft Entra 条件付きアクセスを検索します。
[ポリシー] を選択します。
[新しいポリシー] を選択します。
ポリシーの [クラウドアプリまたは操作] セクションで、ポリシーの設定方法に応じて、クラウドアプリとして Azure AI Search を追加します。
ポリシーの残りのパラメーターを更新します。たとえば、このポリシーを適用するユーザーとグループを指定します。
ポリシーを保存します。

重要

検索サービスにマネージド ID が割り当てられている場合、その検索サービスは、条件付きアクセスポリシーの一部として含めたり、除外したりすることができるクラウドアプリとして表示されます。条件付きアクセスポリシーを特定の検索サービスに適用することはできません。代わりに、一般的な Azure AI Search クラウドアプリを選択してください。

制限事項

ロールベースのアクセス制御では、一部の要求の待機時間が長くなる可能性があります。サービスリソース (インデックス、インデクサーなど) とサービスプリンシパルの一意の組み合わせごとに、認可チェックがトリガーされます。これらの認可チェックにより、要求あたり最大 200 ミリ秒の待機時間が追加される可能性があります。
まれに、多数の異なるサービスプリンシパルから要求が送信され、すべてが異なるサービスリソース (インデックス、インデクサーなど) を対象としている場合、認可チェックによって調整が発生する可能性があります。調整が発生するのは、検索サービスリソースとサービスプリンシパルの一意の組み合わせが 1 秒間に何百も使われた場合のみです。

ロールベースの Access Control の問題のトラブルシューティング

認証にロールベースのアクセス制御を使用するアプリケーションを開発する場合、いくつかの一般的な問題が発生する可能性があります。

承認トークンがマネージド ID から取得され、適切なアクセス許可が最近割り当てられた場合、これらのアクセス許可の割り当てが有効になるには、数時間かかる場合があります。
Search Service の既定の構成は、キーベースの認証です。既定のキー設定を [両方] または [ロールベースのアクセス制御] に変更しなかった場合、基になるアクセス許可に関係なく、ロールベースの認証を使用するすべての要求が自動的に拒否されます。

次の方法で共有

ロールを使用して Azure AI 検索に接続する

前提条件

Azure AI 検索で使用される組み込みロール

ロールの割り当て

サービス管理のロールを割り当てる

開発用のロールを割り当てる

読み取り専用クエリのロールを割り当てる

ロールの割り当てをテストする

現在のユーザーとしてテスト

1 つのインデックスへのアクセスを許可する

カスタムロールを作成する

条件付きアクセス

制限事項

ロールベースの Access Control の問題のトラブルシューティング

フィードバック

その他のリソース

次の方法で共有

ロールを使用して Azure AI 検索に接続する

前提条件

Azure AI 検索で使用される組み込みロール

ロールの割り当て

サービス管理のロールを割り当てる

開発用のロールを割り当てる

読み取り専用クエリのロールを割り当てる

ロールの割り当てをテストする

現在のユーザーとしてテスト

1 つのインデックスへのアクセスを許可する

カスタム ロールを作成する

条件付きアクセス

制限事項

ロール ベースの Access Control の問題のトラブルシューティング

フィードバック

その他のリソース

カスタムロールを作成する

ロールベースの Access Control の問題のトラブルシューティング