Kontrola dostępu na poziomie Project w Microsoft Discovery

Microsoft Discovery wykorzystuje Azure opartą na rolach kontroli dostępu (Azure RBAC), aby uczynić każdy projekt granicą dostępu w ramach współdzielonej przestrzeni roboczej. Możesz przyznać użytkownikowi dostęp do jednego projektu bez udostępniania wszystkich projektów w przestrzeni roboczej.

Dostęp na poziomie projektu jest przydatny, gdy wiele zespołów badawczych współdzieli infrastrukturę obszaru roboczego, ale musi utrzymywać swoich agentów, badania, współdzielone sesje i dane badawcze w izolacji.

Jak działa dostęp na poziomie projektu

Projekt Microsoft Discovery jest podrzędnym zasobem platformy Azure obszaru roboczego:

/subscriptions/{subscription-id}
  /resourceGroups/{resource-group-name}
    /providers/Microsoft.Discovery
      /workspaces/{workspace-name}
        /projects/{project-name}

Microsoft Discovery ocenia operacje należące do projektu w tym zakresie zasobów projektu. Dziedziczenie Azure RBAC nadal ma zastosowanie:

  • Rola przypisana bezpośrednio projektowi dotyczy tylko tego projektu.
  • Rola przypisana do nadrzędnego obszaru roboczego, grupy zasobów lub subskrypcji jest dziedziczona przez ten projekt.
  • Obecne stanowiska w Microsoft Discovery Platform nadal pracują nad projektami mieszczącymi się w ramach ich zakresu przydziałów.

Model ten pozwala administratorom platform szeroko zarządzać współdzieloną infrastrukturą, jednocześnie przyznając badaczom dostęp tylko do projektów, których potrzebują.

Role projektu

Korzystaj z następujących wbudowanych ról Microsoft Discovery do dostępu na poziomie projektu:

Rola Capabilities Zalecany zakres
Microsoft Discovery Project Contributor (wersja zapoznawcza) Czytaj i zarządzaj istniejącymi dochodzeniami projektu, wspólnymi sesjami, rozmowami, agentami, zadaniami, operacjami Discovery Engine oraz ustawieniami projektów. Nie mogę utworzyć nowego projektu ani przypisać ról. Projekt
Microsoft Discovery Project Reader (Zapowiedź) Czytaj projekt i jego treści należące do projektu bez tworzenia, zmieniania, uruchamiania lub usuwania zasobów. Projekt

Utworzenie nowego projektu wymaga odpowiedniej roli platformy Microsoft Discovery Platform w obszarze roboczym lub w zakresie dziedziczonym. Przypisanie dowolnej roli projektu wymaga roli Właściciel, Administrator dostępu użytkowników lub Administrator kontroli dostępu opartej na rolach na poziomie projektu lub zakresu dziedziczonego.

Wybierz odpowiednią rolę projektową

Scenario Zalecane zadania
Badacz, który tworzy agentów i zarządza artefaktami Project Contributor w połączeniu z Tools Reader, Chat Model Reader, Storage Account Contributor, Storage Blob Data Contributor, Storage Container Contributor oraz Bookshelf Index Data Reader w wymaganych zakresach zasobów
Badacz, który tylko uruchamia wstępnie utworzone agenty i Discovery Engine Współtwórca projektu; dodawaj role Storage lub Bookshelf tylko wtedy, gdy użytkownik musi mieć bezpośredni dostęp do tych zasobów
Recenzent oceniający wyniki projektów Project Reader wraz z Storage Container Reader i Storage Blob Data Reader; opcjonalnie można dodać także Tools Reader oraz Bookshelf Index Data Reader
Administrator platformy dla przestrzeni roboczej Odpowiednia rola platformy Microsoft Discovery na poziomie obszaru roboczego, grupy zasobów lub subskrypcji; nie dodawaj ról projektu, chyba że wymagane jest oddzielne, jawne przypisanie
Użytkownik pracujący w dwóch projektach Przypisz rolę projektu niezależnie dla każdego projektu; unikaj przyznawania roli platformy na poziomie przestrzeni roboczej wyłącznie dla wygody

Przykład: Project Contributor kontra Project Reader

Weźmy pod uwagę projekt odkrywania leków prowadzony przez aktywny zespół badawczy oraz zewnętrznego recenzenta naukowego.

Przykład współtwórcy projektu

Naukowiec, który projektuje i prowadzi eksperymenty w projekcie, powinien otrzymać Microsoft Discovery Project Contributor (Zapowiedź).

Współtwórca może:

  • Twórz i zarządzaj śledztwami, wspólnymi sesjami, rozmowami, zadaniami i agentami w przypisanym projekcie.
  • Uruchamiaj wstępnie utworzone agenty i Discovery Engine.
  • Twórz lub aktualizuj agentów przy użyciu zatwierdzonych narzędzi, modeli konwersacyjnych i baz wiedzy, gdy przypisano odpowiednie role Companion Reader.
  • Tworzenie i zarządzanie zasobami pamięci roboczej projektów oraz treściami blob, gdy przypisane są role pamięci współtwórców.
  • Zmień istniejące ustawienia projektu.

Autor nie może:

  • Utwórz nowy projekt.
  • Przypisz role platformy Azure.
  • Uzyskaj dostęp do innego projektu, chyba że został on przypisany osobno.
  • Zobacz lub wybierz narzędzia, modele czatu, magazyn lub zasoby wiedzy, które nie są objęte rolą towarzysza.

Przykład Project Reader

Główny badacz, audytor, partner lub recenzent naukowy, który musi dokonać inspekcji wyników bez zmiany badań, powinien otrzymać Microsoft Discovery Project Reader (Zapowiedź).

Czytelnik może:

  • Zobacz przypisany projekt oraz jego agentów, śledztwa, wspólne sesje, rozmowy, zadania i wyniki.
  • Wyświetlaj zasoby magazynowe Discovery, gdy przypisany jest Storage Container Reader.
  • Otwórz wygenerowaną zawartość obiektu blob po przypisaniu roli Storage Blob Data Reader.
  • Sprawdź definicje narzędzi, gdy przypisany jest Tool Reader.
  • Przeglądaj i wyszukuj informacje w dostępnych półkach z książkami oraz bazach wiedzy, gdy przypisano opcjonalną rolę Bookshelf Index Data Reader.

Czytelnik nie może:

  • Tworz, aktualizuj, uruchamiaj lub usuwaj dochodzenia, agentów, zadania lub wspólne sesje.
  • Zmodyfikuj ustawienia projektu.
  • Twórz lub zmieniaj zasoby pamięci masowej lub treści blob.
  • Uzyskaj dostęp do innego projektu lub współtworzonego zasobu, chyba że jest przypisany osobno.

Połącz role projektowe z rolami zasobów

Projekty wykorzystują narzędzia, modele, magazyn i zasoby wiedzy istniejące poza zakresem projektu. Rola projektowa nie przyznaje automatycznie dostępu do tych współdzielonych zasobów. Przypisz rolę projektu razem z rolami towarzyszącymi, które odpowiadają obowiązkom użytkownika.

Pakiet dostępu Project Contributor

W przypadku współtwórcy, który tworzy agentów i zarządza artefaktami projektu, w razie potrzeby połącz rolę Microsoft Discovery Project Contributor (Wersja zapoznawcza) z następującymi rolami:

Rola towarzysza Dlaczego autor tego potrzebuje Zalecany zakres
Microsoft Discovery Tools Reader (Podgląd) Zobacz zatwierdzone definicje narzędzi i wybierz je podczas tworzenia lub aktualizacji agenta. Indywidualne narzędzie, grupa zasobów lub subskrypcja
Microsoft Discovery Chat Model Reader (wersja zapoznawcza) Zobacz i wybierz zatwierdzony model czatu podczas tworzenia lub aktualizacji agenta. Wdrożenie indywidualnego modelu czatu lub przestrzeń robocza
Współpracownik konta magazynowego Uzyskaj dostęp i zarządzaj kontem Azure Storage, które przechowuje artefakty projektów. Wsparcie konta pamięci masowej lub jego grupy zasobów
Współautor danych Storage Blob Czytaj, twórz, aktualizuj i usuwaj zawartość blobow na koncie pamięci zapasowej. Wsparcie kontenera blob lub konta pamięci
Współautor kontenera magazynu Microsoft Discovery (wersja zapoznawcza) Twórz, aktualizuj i usuwaj zasoby magazynowe Discovery używane przez badania projektów. Pojedynczy kontener pamięci Microsoft Discovery
Microsoft Discovery Bookshelf Index Data Reader — wersja zapoznawcza Wystaw zatwierdzone regały i bazy wiedzy, zapytaj ich treści i wybieraj je podczas tworzenia agenta. Pojedyncza półka na książki, grupa zasobów lub subskrypcja

Uwaga

Model dostępu zakłada, że użytkownik korzystający z Microsoft Discovery Platform Administrator (Preview) lub Microsoft Discovery Platform Contributor (Preview) tworzy i zarządza tymi narzędziami. Uczestnik Project otrzymuje Microsoft Discovery Tools Reader (Preview) wyłącznie w celu przeglądania zatwierdzonych definicji narzędzi i dołączania tych narzędzi do agentów, których tworzy lub aktualizuje w przypisanym projekcie. Tools Reader nie przyznaje uprawnień do tworzenia, aktualizowania ani usuwania narzędzi.

Nie każdy współtwórca potrzebuje każdej roli uzupełniającej. Udzielaj tylko narzędzi, modeli, magazynu i zasobów wiedzy wymaganych przez projekt.

Pakiet dostępu do Project Reader

Dla czytelnika, który przegląda wyniki projektów, połącz Microsoft Discovery Project Reader (Podgląd) z następującymi rolami w razie potrzeby:

Rola towarzysza Dlaczego czytelnik tego potrzebuje Zalecany zakres
Microsoft Discovery Tools Reader (Podgląd) Zobacz definicje narzędzi cytowane przez projekt. Indywidualne narzędzie, grupa zasobów lub subskrypcja
Microsoft Discovery Storage Container Reader (wersja zapoznawcza) Wyświetl kontenery pamięci i zasoby pamięci masowej usługi Discovery powiązane z dochodzeniami w projekcie. Pojedynczy kontener pamięci Microsoft Discovery
Czytnik danych Storage Blob Otwórz i odczytaj zawartość obiektu blob wygenerowaną na potrzeby analiz projektowych. Wsparcie kontenera blob lub konta pamięci
Microsoft Discovery Bookshelf Index Data Reader - Podgląd(opcjonalnie) Zobacz regały z książkami i bazy wiedzy związane z agentami. Ta rola daje również uprawnienia do zapytań w dostępnych bazach wiedzy, w tym za pośrednictwem CLI. Pojedyncza półka na książki, grupa zasobów lub subskrypcja

Role magazynowania Microsoft Discovery kontrolują metadane kontenerów Discovery i zasobów. Nie zapewniają dostępu do bajtów przechowywanych w usłudze Azure Blob Storage, więc należy je połączyć z odpowiednią rolą danych usługi Azure Storage.

Jak działa dostęp do zasobów towarzyszących

  • Kontrole podczas tworzenia i aktualizacji agentów: Gdy użytkownik tworzy lub aktualizuje agenta, Microsoft Discovery sprawdza, czy użytkownik ma uprawnienia do odczytu wszystkich narzędzi, do których istnieją odwołania, oraz wybranego wdrożenia modelu czatu. Operacja zostaje odrzucona, jeśli żaden powiązany zasób nie jest dostępny.
  • Izolacja między projektami: Kontrole uniemożliwiają użytkownikowi zajmującemu się wyłącznie projektem przypisanie agenta do narzędzia lub modelu należącego do innego zespołu.
  • Wstępnie utworzeni agenci: Współautor projektu nie potrzebuje uprawnień Tools Reader ani Chat Model Reader wyłącznie do uruchomienia agenta, którego administrator platformy utworzył już wraz z jego narzędziami i modelem. Te role są potrzebne, gdy współtwórca musi przeglądać lub wybierać powiązane zasoby podczas tworzenia lub aktualizacji agenta.
  • Cofnięcie dostępu: Dostęp do narzędzia i modelu czatu jest sprawdzany podczas tworzenia lub aktualizacji agenta, a nie przy każdym jego uruchomieniu. Późniejsze usunięcie roli użytkownika powiązanej z zasobem nie uniemożliwia agentowi już utworzonemu dalszego korzystania z tego zasobu. Aktualizuj lub usuwa dotkniętych agentów podczas cofania dostępu do zasobów powiązanych.
  • Model Discovery Engine: Discovery Engine wykorzystuje gpt-5-4 platformę konfigurowaną do wdrożenia modelu czatu. Użytkownik z rolą Project Contributor może uruchomić Discovery Engine bez osobnego przypisania roli Chat Model Reader dla tego wdrożenia.
  • Baza wiedzy i dostęp do magazynu: Baze wiedzy i magazyny mają własne wymagania dotyczące dostępu. Przyznaj zarówno odpowiednią rolę Microsoft Discovery, jak i każdą rolę danych usługi pomocniczej wymaganą przez przepływ pracy.

Działalność należąca do Project

Autoryzacja projektu dotyczy operacji będących własnością projektu, w tym:

  • Zadania modułu Investigations and Discovery Engine
  • Wspólne sesje, rozmowy i odpowiedzi
  • Agenci
  • Powiązane zasoby pamięci masowej
  • Tworzenie sesji Workbench w zakresie projektu

Określenie projektu może pochodzić ze ścieżki żądania, parametrów zapytania, treści żądania lub istniejącego rekordu konwersacji. Jeśli usługa Microsoft Discovery nie może rozpoznać projektu, autoryzacja kończy się niepowodzeniem.

Uwaga

Niektóre operacje odczytu i sprawdzania stanu sesji Workbench nie uwzględniają kontekstu projektu i wymagają dostępu do dziedziczonego obszaru roboczego. Użytkownik, który ma tylko rolę projektu, może otrzymać błąd autoryzacji dla tych operacji nawet po utworzeniu sesji Workbench w ramach projektu.

Zalecenia dotyczące zabezpieczeń

  • Przypisuj role grupom Microsoft Entra zamiast pojedynczych użytkowników, jeśli to możliwe.
  • Używaj najwęższego zakresu zasobów, który wspiera workflow.
  • Oddziel dostęp do projektów od współdzielonych narzędzi, modeli, pamięci masowej i baz wiedzy.
  • Przeglądaj zarówno zadania projektowe, jak i powiązane zasoby podczas przeglądów dostępu.
  • Usuń lub zaktualizuj istniejących agentów, gdy dostęp do zasobów łączonych zostanie cofnięty.
  • Nie używaj ogólnej roli platformy, aby obejść brak roli zasobu pomocniczego.

Treści powiązane

  • Ostatnia aktualizacja o