Configurar a autenticação do Microsoft Entra para a ingestão de rastreamentos do agente do Foundry (versão prévia)

Importante

Os itens marcados como visualização neste artigo estão atualmente em versão prévia. Esta versão prévia é fornecida sem um contrato de nível de serviço (SLA), e a Microsoft não a recomenda para cargas de trabalho de produção. Alguns recursos podem não ter suporte ou podem ter restrição de recursos. Para obter mais informações, consulte Termos de Uso Complementares para Versões Prévias do Microsoft Azure.

Use a autenticação do Microsoft Entra para ingestão de rastreamento quando os agentes enviam telemetria para o recurso do Application Insights conectado ao projeto do Foundry. Essa abordagem substitui a ingestão baseada em chave pelo controle de acesso baseado em identidade.

Este artigo se aplica aos agentes do Foundry que enviam rastreamentos ao recurso do Application Insights conectado ao seu projeto do Foundry.

Pré-requisitos

• Um projeto do Foundry.
• Um recurso do Azure Monitor Application Insights para armazenar logs (criar um novo ou conectar-se a um já existente).
• Acesso ao recurso do Application Insights conectado ao seu projeto.
• Permissão para atribuir funções do Azure no recurso conectado do Application Insights, como User Access Administrator, no mínimo. Consulte os pré-requisitos para atribuir funções por meio do portal Azure.
• Autenticação local desabilitada no recurso conectado do Application Insights para impor a ingestão exclusiva com o Microsoft Entra ID.
• Para exibir rastreamentos no Foundry, a função Leitor da Análise de Logs é necessária no recurso do Application Insights conectado. Se as tabelas de Log Analytics subjacentes estiverem protegidas, atribua também o Leitor de Dados de Monitoramento Privilegiado.

Conectar o Application Insights ao seu projeto do Foundry

A Foundry armazena rastreamentos no Application Insights usando convenções semânticas do OpenTelemetry.

Atualizar uma conexão existente

Se o projeto já tiver uma conexão com o Application Insights e você quiser convertê-lo para usar Microsoft Entra autenticação, siga estas etapas. Se você não tiver uma conexão existente, pule para Criar uma nova conexão.

1. Selecione Gerenciar na navegação no canto superior direito e, em seguida, selecione Detalhes do projeto.
2. Selecione a conexão existente do Application Insights e selecione Editar autenticação.
3. Selecione Identidade gerenciada do projeto e, em seguida, selecione Salvar.

Criar uma nova conexão

1. Entre no Microsoft Foundry. Verifique se o botão New Foundry está ativado. Essas etapas referem-se ao Foundry (versão nova).

   

2. Abra seu projeto do Foundry.

3. Na navegação à esquerda, selecione Agentes.

4. Na parte superior, selecione Rastreamentos.

5. À direita, selecione Conectar para criar ou conectar um recurso do Application Insights.

   

• Para conectar um recurso existente, selecione o recurso e selecione Conectar.
• Para criar um novo recurso, selecione Criar novo e conclua o assistente.

6. Na experiência de criação da conexão, defina o Tipo de autenticação como Identidade Gerenciada do Projeto.

7. Conclua o assistente e selecione Criar.

Uma mensagem de confirmação é exibida quando a conexão é bem-sucedida.

Usar o caminho da conexão dos detalhes do projeto

Se você não vir a barra de mensagens ou o botão Conectar, use essa maneira alternativa para habilitar Azure Monitor Application Insights.

1. Selecione Gerenciar na navegação no canto superior direito e, em seguida, selecione Detalhes do projeto.
2. Selecione a guia Recursos conectados e, em seguida, selecione Adicionar conexão.
3. Em Escolher uma conexão, selecione Application Insights.

4. Antes de selecionar Conectar, ao criar a conexão, defina Tipo de autenticação como Identidade Gerenciada do Projeto.

   

Depois de conectar o recurso, seu projeto está pronto para a ingestão de rastreamentos autenticada pelo Entra. O Foundry usa a Identidade Gerenciada do projeto a fim de ingerir rastreamentos para o Application Insights conectado.

Observação

Quando você cria a conexão no portal do Foundry com o Tipo de autenticação definido como Identidade gerenciada do projeto, o portal do Foundry atribui a função Publicador de Métricas de Monitoramento à identidade gerenciada do projeto do Foundry.

Configurar a autenticação do Entra para rastreamentos de agentes hospedados

Para agentes hospedados, além de configurar a conexão usando a Identidade Gerenciada do Projeto, você também precisa conceder à Identidade do Agente permissão no recurso do Application Insights conectado.

Essa permissão é necessária porque os rastreamentos do agente hospedado podem vir de duas identidades:

• O Foundry Agent Service gera rastreamentos no lado do servidor usando a identidade gerenciada do projeto.
• O agente emite rastreamentos do código que é executado na área restrita do agente hospedado usando a Identidade do Agente.

Para atribuir a função Publicador de Métricas de Monitoramento à identidade do agente, use o portal do Foundry ou o CLI do Azure.

Portal da Foundry

1. No portal do Azure, abra o recurso application insights conectado ao seu projeto do Foundry.
2. Selecione Controlo de acesso (IAM).
3. Selecione Adicionar>Adicionar atribuição de função.
4. Selecione Métricas de Monitoramento Publisher e selecione Avançar.
5. Em Membros, selecione a Identidade do Agente do agente hospedado.
6. Selecione Examinar + atribuir.

Para obter diretrizes detalhadas do portal, consulte Atribuir funções Azure usando o portal Azure.

CLI do Azure

Use essa opção para criar a mesma atribuição de função usando CLI do Azure.

1. Entre usando CLI do Azure:

   az login
   

2. Execute o seguinte comando para atribuir a função Monitoring Metrics Publisher:

   az role assignment create \
     --assignee-object-id "$AGENT_IDENTITY_OBJECT_ID" \
     --assignee-principal-type ServicePrincipal \
     --role "Monitoring Metrics Publisher" \
     --scope "$APP_INSIGHTS_RESOURCE_ID"
   

   Defina essas variáveis de ambiente antes de executar o comando:

   • APP_INSIGHTS_RESOURCE_ID: ID completo do recurso do Application Insights conectado.
   • AGENT_IDENTITY_OBJECT_ID: Microsoft Entra ID do objeto da Identidade do Agente.

Referência: az login, az role assignment create

Solucionar problemas comuns de ingestão

Issue	Causa provável	Resolução
Error creating connection: Multiple connection with same category (AppInsights) created, we only allow to have 1 connection for category	Uma conexão de rastreamento com o Application Insights já está configurada para o projeto	Atualize a conexão existente em vez de criar uma nova.
azure.monitor.opentelemetry.exporter.export._base: Retryable server side error: Operation returned an invalid status 'Forbidden'. Your application might be configured with a token credential, but your Application Insights resource might be configured incorrectly.	O Application Insights não está configurado para autenticação do Microsoft Entra ID, ou a identidade de ingestão não tem Monitoring Metrics Publisher no recurso do Application Insights conectado	Desabilite a autenticação local no recurso conectado do Application Insights para exigir a ingestão somente com Microsoft Entra ID e, em seguida, atribua Monitoring Metrics Publisher à identidade que envia a telemetria (por exemplo, Identidade gerenciada do projeto ou Identidade do Agente).
Rastreamentos do código do agente não são exibidos	O código do agente usa uma identidade que não tem permissão para ingerir telemetria ou envia dados para um recurso diferente do Application Insights	Atribua Monitoring Metrics Publisher para a Identidade do Agente no recurso conectado do Application Insights e verifique se o ambiente de execução aponta para esse mesmo recurso.
A conexão é criada, mas os rastros ainda não são exibidos	A atribuição de função de ingestão ou as configurações de conexão ainda não estão totalmente aplicadas	Verifique se o tipo de autenticação está definido como identidade gerenciada do projeto, confirme as atribuições de função da identidade necessária e aguarde de 2 a 5 minutos antes de verificar a página Rastreamentos novamente.

Conteúdo relacionado

• Configure o rastreamento no Microsoft Foundry
• Configurar o rastreamento para frameworks de agentes de IA
• Visão geral de rastreamento de agente
• Autenticação do Microsoft Entra para Application Insights