Tożsamości zarządzane w Microsoft Discovery

Microsoft Discovery używa tożsamości zarządzanych przypisanych przez użytkownika (UAMI) do uwierzytelniania względem zasobów platformy Azure w Twoim imieniu. Zamiast zarządzać tajne lub parametrami połączenia, należy utworzyć zarządzaną tożsamość, przyznać jej niezbędne role Azure i podać jej identyfikator zasobu podczas tworzenia zasobów Discovery. Platforma Discovery następnie używa tej tożsamości do uzyskiwania dostępu do kont magazynowych, rejestrów kontenerów, usług AI i zasobów zarządzanej grupy zasobów (MRG).

Dlaczego zarządzane tożsamości przypisane użytkownikowi

Odnajdywanie wymaga tożsamości zarządzanych przypisanych przez użytkownika (nie przypisanych przez system) z następujących powodów:

Powód Wyjaśnienie
Własność klienta Tworzysz tożsamość, zarządzasz nią i kontrolujesz jej cykl życia we własnej subskrypcji.
Współdzielony między zasobami Można ponownie użyć pojedynczego interfejsu użytkownika w obszarze roboczym, superkomputerze i operacjach magazynowania, co zmniejsza nakład pracy związany z zarządzaniem.
Przypisania ról prowizjonowane elektronicznie Role przypisujesz przed utworzeniem zasobu, aby Discovery miało potrzebne uprawnienia od samego początku.
Niezmienne powiązanie Tożsamość obszaru roboczego i tożsamość klastra superkomputera są powiązane w czasie tworzenia i nie można ich później zmienić, co zapewnia spójny stan zabezpieczeń. Po utworzeniu można zaktualizować tożsamości kubelet i obciążenia superkomputera.

Ważna

Identyfikator obszaru roboczego i identyfikator klastra superkomputerowego są niezmienne po ich utworzeniu. Nie można ich zmienić po ich aprowizacji. Możesz zaktualizować kubelet i tożsamości obciążeń superkomputera. Zaplanuj strategię tożsamości przed utworzeniem zasobów.

Jak Discovery używa twojej tożsamości

Pl-PL: Po stworzeniu przestrzeni roboczej lub superkomputera płaszczyzna sterowania Discovery:

  • Odczytuje Twoją tożsamość UAMI: Sprawdza, czy tożsamość istnieje i czy usługa może na niej operować.
  • Przypisuje sobie rolę Operator tożsamości zarządzanej: jednostka usługi aplikacji Discovery otrzymuje rolę Operator tożsamości zarządzanej dla Twojej tożsamości UAMI, aby mogła używać tej tożsamości do operacji na zarządzanych zasobach.
  • Używa UAMI w czasie wykonywania: narzędzie działa na superkomputerze używa tożsamości do ściągania obrazów kontenerów i uzyskiwania dostępu do magazynu obiektów blob. Agenci używają go do interakcji z Azure OpenAI i magazynem.

Sloty tożsamości na każdy typ zasobu.

Różne zasoby Discovery używają tożsamości zarządzanych na różne sposoby.

Workspace

Obszar roboczy wymaga pojedynczego interfejsu użytkownika udostępnionego workspaceIdentity za pośrednictwem właściwości . Odnajdywanie używa funkcji UAMI do:

  • Zidentyfikuj swój obszar roboczy: UAMI jest jednostką zabezpieczeń, która łączy obszar roboczy z zasobami Twojej subskrypcji.
  • Odczytywanie i zapisywanie danych: Konta usługi Azure Blob Storage odczytują i zapisują dane przy użyciu kontenerów magazynu.
  • Ściąganie obrazów kontenerów: obrazy kontenerów są pobierane z Azure Container Registry podczas uruchamiania narzędzi na superkomputerze.

Discovery udostępnia i obsługuje MRG (Azure Cosmos DB, usługi AI, indeksy wyszukiwania i Azure OpenAI) przy użyciu własnych jednostek usługi, a nie Twojego identyfikatora UAMI. Twoje UAMI nie wymaga ról w MRG.

Superkomputer

Superkomputer używa trzech miejsc tożsamości, z których wszystkie mogą odwoływać się do tego samego interfejsu użytkownika dla uproszczenia lub oddzielnych interfejsów użytkownika dla najniższych uprawnień.

gniazdo Purpose
Tożsamość klastra Używany przez płaszczyznę sterowania usługi AKS do zarządzania zasobami na poziomie klastra, takimi jak sieci i moduły równoważenia obciążenia.
Tożsamość Kubelet Używany na poziomie węzła do ściągania obrazów kontenerów z usługi Container Registry i uzyskiwania dostępu do zasobów Azure.
Tożsamość zadania Używane jako poświadczenia federacyjne, przez pod-y uruchamiające narzędzia i agentów na superkomputerze.

Regał na książki

Półka odwołuje się do UAMI poprzez jej workloadIdentities właściwość. Discovery używa własnych jednostek usługi do aprowizacji i obsługi grupy MRG bookshelf (AI Search, SQL, AI Services). Usługa tworzy również tożsamość zarządzaną przez system wewnątrz magazynu książek MRG na potrzeby wewnętrznego uwierzytelniania typu "zasób do zasobu".

Wymagane przypisania ról

Przed utworzeniem zasobów odnajdywania należy przypisać następujące wbudowane role do interfejsu użytkownika. Przypisz te role w zakresie grupy zasobów .

roli Identyfikator definicji roli Purpose
Współautor Microsoft Discovery Platform (wersja zapoznawcza) 01288891-85ee-45a7-b367-9db3b752fc65 Zarządzanie zasobami odnajdywania, takimi jak obszary robocze, projekty, agenci i narzędzia.
Współautor danych w usłudze Storage Blob ba92f5b4-2d11-453d-a403-e96b0029c9fe Odczytywanie i zapisywanie obiektów blob na kontach Azure Storage.
AcrPull 7f951dda-4ed3-4680-a7ca-43fe172d538d Ściąganie obrazów kontenerów z usługi Container Registry.

Aby zapoznać się z innymi rolami wymaganymi w wyspecjalizowanych scenariuszach, zobacz Konfigurowanie tożsamości zarządzanych.

Całościowy przepływ tożsamości w obrębie zasobów Discovery

Po wdrożeniu kompletnego stosu Discovery platforma tworzy trzy grupy MRG (workspace, bookshelf i supercomputer). Każda grupa MRG zawiera zasoby platformy Azure zarządzane przez usługę.

Czym usługa zarządza automatycznie

Podczas tworzenia obszaru roboczego, biblioteki lub superkomputera usługa Discovery automatycznie:

  • Tworzy przypisania ról dla MRG, aby usługa mogła udostępniać zasoby MRG i zarządzać nimi. Zasoby obejmują Microsoft Foundry, Azure Cosmos DB, Wyszukiwanie AI platformy Azure, Storage, Azure Key Vault i Azure Kubernetes Service (AKS).
  • Przypisuje operator tożsamości zarządzanej w interfejsie użytkownika, aby usługa mogła jej używać na potrzeby wdrożeń MRG.
  • Tworzy tożsamość zarządzaną przez system wewnątrz każdego obszaru roboczego i magazynu książek mrG na potrzeby wewnętrznego uwierzytelniania między zasobami (Azure Container Apps, Foundry, SQL).

Nie musisz tworzyć ani zarządzać żadną z tych tożsamości ani przypisań ról. Usługa w pełni zarządza nimi w całym cyklu życia.

Co odpowiadasz za

Odpowiadasz za następujące zadania:

  • Utwórz tożsamość UAMI: przed utworzeniem zasobów Discovery przypisz trzy podstawowe role (Discovery Platform Contributor, Storage Blob Data Contributor i AcrPull).
  • Podaj identyfikator zasobu UAMI: wprowadź identyfikator podczas tworzenia obszaru roboczego lub superkomputera.

Twój UAMI w czasie wykonywania

Twoja tożsamość UAMI to tożsamość, której agenci i narzędzia używają w czasie wykonywania.

Operation dostęp do zasobu Azure Wymagana rola
Odczytywanie/zapisywanie danych w kontenerach magazynu Azure Blob Storage Współautor danych w usłudze Storage Blob
Pobieranie obrazów kontenerów narzędziowych Container Registry AcrPull
Zarządzanie zasobami odnajdywania Dostawca zasobów odnajdywania Współautor Microsoft Discovery Platform (wersja zapoznawcza)
Zarządzanie siecią klastra AKS podsieci Azure Virtual Network (VNet) Uczestnik sieci (identyfikacja klastra superkomputera)

W przypadku superkomputera twój UAMI jest używany w trzech slotach.

  • Tożsamość klastra: płaszczyzna kontroli AKS używa jej do zarządzania usługami równoważenia obciążenia i obsługą sieci.
  • Tożsamość kubeletu: agent na poziomie węzła używa jej do pobierania obrazów z rejestru kontenerów i uzyskiwania dostępu do zasobów platformy Azure.
  • Tożsamość obciążenia: zasobniki używają poświadczeń federacyjnych do uruchamiania narzędzi i agentów.

Aby uzyskać wskazówki dotyczące wybierania między jednym udostępnionym interfejsem użytkownika i oddzielnymi tożsamościami na funkcję, zobacz Zalecenia dotyczące najlepszych rozwiązań dotyczących tożsamości zarządzanych.

Konfiguracja zaawansowana: Szczegółowe przypisania ról dla każdej tożsamości

W sekcji Wymagane przypisania ról opisano najprostsze podejście, w którym jeden udostępniony element UAMI odbiera wszystkie trzy podstawowe role w zakresie grupy zasobów. W przypadku środowisk produkcyjnych, które wymagają ściślejszej kontroli zabezpieczeń, przypisz oddzielne interfejsy użytkownika z przypisaniami ról z najmniejszymi uprawnieniami w zakresie do określonych zasobów, do których uzyskuje dostęp każda tożsamość.

Ważna

Agenci mają dostęp do tożsamości obciążenia roboczego poprzez uruchamianie narzędzi. Agenty sterowane przez duże modele językowe (LLM) wywołują narzędzia korzystające z tej tożsamości w czasie działania, więc minimalizowanie uprawnień tożsamości obciążenia roboczego ma kluczowe znaczenie. Przypisz uprawnienia wyłącznie niezbędne do wykonywania operacji narzędzi. Szerokie uprawnienia dla tożsamości obciążenia roboczego stwarzają ryzyko, jeśli agent używa tej tożsamości poza przewidzianym zakresem.

Przypisania ról dla każdej tożsamości

W poniższej tabeli przedstawiono zalecane szczegółowe przypisanie roli dla każdej tożsamości podczas korzystania z oddzielnych interfejsów użytkownika.

Identity roli Scope Purpose
Tożsamość obszaru roboczego Współautor Microsoft Discovery Platform (wersja zapoznawcza) Grupa zasobów Zarządzaj zasobami obszaru roboczego, takimi jak projekty, wdrożenia modeli czatu i kontenery magazynowe.
Tożsamość obszaru roboczego Współautor danych w usłudze Storage Blob Konto magazynu Odczyt/zapis danych obszaru roboczego, artefakty modelu czatu i zasoby projektu na koncie magazynu zapasowego.
Tożsamość klastra Współautor sieci zarządzanej przez platformę Grupa zasobów węzła/VNet Zarządzanie sieciami na poziomie klastra, modułami równoważenia obciążenia i zasobami grupy zasobów węzłów.
Tożsamość klastra Operator tożsamości zarządzanej Grupa zasobów węzła Zarządzaj tożsamościami zarządzanymi dla obciążeń klastra.
Tożsamość Kubelet AcrPull Grupa zasobów (obejmuje rejestr kontenerów) Pobieranie obrazów kontenerów na potrzeby uruchomień narzędzi z dowolnego rejestru kontenerów utworzonego w grupie zasobów.
Tożsamość Kubelet Współautor danych w usłudze Storage Blob Konto magazynu Odczytywanie artefaktów obciążenia i danych wejściowych z bazowego konta magazynu podczas uruchamiania zasobnika.
Tożsamość zadania Współautor danych w usłudze Storage Blob Konto magazynu Uzyskiwanie dostępu do danych podczas wykonywania narzędzia przez obciążenia robocze agentów (tożsamość federacyjna).

Dlaczego oddzielne tożsamości zwiększają bezpieczeństwo

Gdy używasz jednej współdzielonej tożsamości UAMI, tożsamość obciążenia roboczego (z której agenci korzystają podczas wykonywania narzędzi) dziedziczy wszystkie role, w tym Discovery Platform Contributor i AcrPull. Daje to agentom opartym na modelach LLM szerszy dostęp, niż jest im potrzebny.

Oddzielając tożsamości:

  • Tożsamość obciążenia roboczego ma przypisaną tylko rolę Storage Blob Data Contributor na poziomie konta magazynowego, co ogranicza to, do czego agenci mogą uzyskiwać dostęp za pomocą narzędzi.
  • Tożsamość klastra otrzymuje role sieciowe i operatora, które nigdy nie są udostępniane obciążeniom agentów.
  • Tożsamość kubeleta odpowiada za pobieranie obrazów i dostęp do danych związanych z uruchamianiem zasobnika, oddzielona od wykonywania narzędzi agenta.

Ta separacja gwarantuje, że nawet jeśli agent spróbuje użyć swojej tożsamości do operacji poza dostępem do danych, żądanie kończy się niepowodzeniem z powodu niewystarczających uprawnień.

Kiedy należy używać szczegółowych przypisań

Użyj oddzielnych tożsamości z rolami o określonym zakresie, gdy:

  • Twoja organizacja wymaga kontroli dostępu z najmniejszymi uprawnieniami.
  • Uruchamiasz narzędzia, które przetwarzają poufne dane i chcesz ograniczyć promień wybuchu.
  • Wymagania dotyczące zgodności określają rozdzielenie tożsamości płaszczyzny sterowania i płaszczyzny danych.
  • Chcesz przeprowadzić inspekcję dostępu do danych agenta niezależnie od operacji infrastruktury.

Aby uzyskać wskazówki dotyczące wyboru między tożsamościami współdzielonymi a oddzielnymi, zobacz Zalecenia dotyczące najlepszych praktyk w zakresie tożsamości zarządzanych.

Ograniczenia

  • Element UAMI musi znajdować się w tym samym regionie co zasób Discovery, który go używa.
  • Tożsamości obszaru roboczego i klastra superkomputerowego nie można zmienić po utworzeniu zasobu. Musisz usunąć i ponownie utworzyć zasób. Możesz zaktualizować kubelet superkomputera i tożsamości obciążeń za pomocą PATCH.
  • Propagacja przypisania roli może potrwać do 10 minut. Przed utworzeniem zasobów Discovery utwórz przypisania ról.
  • Odnajdywanie wymaga roli Operator tożsamości zarządzanej w interfejsie użytkownika. Jeśli przypisanie tej roli nie powiedzie się podczas tworzenia zasobu (na przykład z powodu ograniczeń zasad usługi Azure Policy), aprowizowanie obszaru roboczego zakończy się niepowodzeniem.

Treści powiązane

  • Ostatnia aktualizacja o