Microsoft Foundry'de aracı uç noktası yetkilendirmesi

Aracı uç noktası yetkilendirmesi, bir çağıranın Foundry Aracı Hizmeti'nde çalışma zamanında bir aracıyla etkileşimde bulunup bulunamayacağını belirler. Yönetim erişimi bunun yerine, Foundry projesinde aracıları ve diğer kaynakları kimlerin oluşturabileceğini, yapılandırabileceğini, güncelleştirebileceğini veya silebileceğini denetler. Bir ana yetkiliye, o aracıyı veya projesini yönetme izni almadan belirli bir aracıyı çağırmasına izin verilebilir. Dökümhane yönetimi erişimi için bkz. Microsoft Foundry'de kimlik doğrulaması ve yetkilendirme ve Foundry'de rol tabanlı erişim denetimi.

Çağıranların bir temsilci uç noktasına nasıl kimlik doğrulayıp erişim sağlayacağını seçmek için bu makaleyi kullanın. Bu ayarları uygulamak için bkz. Aracı uç noktası yetkilendirmesini yapılandırma. Uç nokta erişiminin bir ajanın araçlar ve kaynaklar için kullandığı kimliklerle nasıl ilişkili olduğunu anlamak için bkz. Agent Service’te kimlik ve erişim.

Uç nokta erişim sınırı

Ajan uç noktası, istemcilerin ve kanalların ajanı çağırmak için kullandığı kararlı URL'dir. Uç nokta birden çok protokolü kullanıma açabilir, ancak yetkilendirme yapılandırması çağıran ile aracı arasındaki sınırda uygulanır.

Bu sınırdaki yetkilendirme iki soruya yanıt verir:

  • İstek hangi kimliği veya güvenilen kanalı temsil ediyor?
  • Bu kimliğin veya kanalın agent’i çağırmasına hangi izin olanak tanır?

Uç nokta yetki şemalarını karşılaştırma

Uç nokta yetkilendirme düzeni, Foundry'nin gelen isteği nasıl doğrulayıp çağıranın ajanla etkileşime geçip geçemeyeceğine nasıl karar vereceğini tanımlar. Bir uç noktada birden çok şema yapılandırabilirsiniz. Örneğin, bir uç nokta hem Microsoft Teams veya Microsoft 365 için Bot Hizmeti düzeniyle birlikte hem Azure RBAC yetkili doğrudan istemcileri hem de agent blueprint tarafından yetkilendirilmiş doğrudan istemcileri kabul edebilir.

Scheme Erişime nasıl karar verilir? Tipik kullanım
AzureRbac veya takma adı Entra1 Çağıran, Foundry kaynağı için bir belirteç sunar ve Azure RBAC, temsil edilen güvenlik sorumlusunun aracıya erişip erişemeyeceğini belirler. Foundry erişimini kullanan uygulamalar, SDK'lar, REST istemcileri, geliştirici araçları ve iş yükü çağıranlar.
AgentBlueprint (önizleme) Çağıran, temsilcinin temsilci planı için bir belirteç sunar ve uç nokta şemanın belirteç doğrulama kurallarını uygular. Arayana Foundry RBAC izinleri vermeden tek tek aracılara erişime ihtiyaç duyan uygulamalar
BotServiceRbac 2 Azure Bot Hizmeti kanal isteğini doğrular ve Azure RBAC oturum açmış kullanıcının erişimi olup olmadığını belirler. Her kullanıcının geçerli Azure iznine ihtiyaç duyduğu Microsoft Teams ve Microsoft 365 kanalları.
BotServiceTenant 2 Azure Bot Hizmeti kanal isteğini doğrular ve erişimi yapılandırılan kiracıdaki oturum açmış kullanıcılarla sınırlar. kiracı genelinde erişime yönelik Microsoft Teams ve Microsoft 365 kanalları.
BotService 2 Azure Bot Hizmeti, kanal isteğini ek kullanıcı yetkilendirme kuralı olmadan doğrular. Yalnızca geriye dönük uyumluluk için. Yeni ajanlar için BotServiceTenant veya BotServiceRbac kullanın.

1AzureRbac , mevcut Entra yetkilendirme düzeninin geçerli adıdır. Yeni ad, Azure RBAC yetkilendirme davranışını Microsoft Entra kimlik doğrulaması kullanan diğer şemalardan ayırır. Entra kullanan mevcut yapılandırmalar desteklenmeye devam eder, ancak aynı uç noktada her iki takma adı da yapılandırmayın.

2 Bir seferde BotService, BotServiceRbac ve BotServiceTenant öğelerinden yalnızca birini yapılandırabilirsiniz.

API anahtarları ajan uç noktaları için desteklenmez. aracı uç noktasında yetkilendirme şemalarını yapılandırın ve proje veya aracı kapsamında gerekli Azure rolleri atayın.

Microsoft Entra uç nokta erişimi

Hem AgentBlueprint hem de AzureRbac, çağıranın kimliğini doğrulamak için Microsoft Entra kullanır. Bunlar, belirtecin hedeflediği kaynak ve kimlik doğrulamasından sonra uç noktanın erişime yetki vermesi açısından farklılık gösterir. Microsoft Entra erişim belirteci, belirtecin verildiği kaynağı tanımlayan bir audience (aud) talebi içerir. Her şema farklı bir belirteç kitlesi kabul eder ve farklı bir yetkilendirme kuralı uygular:

  • AzureRbacFoundry kaynağı (https://ai.azure.com) için verilen belirteçleri kabul eder ve Azure RBAC uygular.
  • AgentBlueprint, bireysel temsilcinin temsilci planı için verilen belirteçleri kabul eder ve bu şemada yapılandırılan belirteç doğrulama kurallarını uygular.

Her iki düzeni de aynı uç noktada yapılandırabilirsiniz. İstek belirtecinin hedef kitlesi, hangi yapılandırılmış şemanın isteği yetkilendirebileceğini belirler.

Azure RBAC düzeni

AzureRbac düzeni, aracı uç noktası için varsayılan değerdir. İstemci, https://ai.azure.com ile tanımlanan Foundry kaynağı için bir belirteç istemektedir. Çağıranın ayrıca Foundry projesi veya tekil temsilci kapsamında Microsoft.CognitiveServices/accounts/AIServices/endpoints/interact/action iznine sahip olması gerekir. Foundry Agent Consumer, bu izin için önerilen en az ayrıcalıklı yerleşik roldür. Foundry User ayrıca izni de içerir, ancak projede aracı oluşturmak ve yönetmek için ek ayrıcalıklar verir.

Important

Foundry RBAC rolleri yakın zamanda yeniden adlandırıldı. Foundry User, Foundry Owner, Foundry Hesabı Sahibi ve Foundry Project Manager daha önce Azure Yapay Zeka Kullanıcısı, Azure Yapay Zeka Sahibi, Azure Yapay Zeka Hesabı Sahibi ve Azure Yapay Zeka Project Yöneticisi olarak adlandırıldı. Yeniden adlandırma kullanıma sunulmaya devam ederken bazı yerlerde önceki adları görmeye devam edebilirsiniz. Rol kimlikleri ve temel izinler yeniden adlandırma ile değiştirilmez.

Bir kimliğin daha geniş proje erişimi almadan bir aracıyı çağırması gerektiğinde aracı kapsamlı atama kullanın. Aracı kapsamındaki rol atamaları aracı uç noktasına erişim için değerlendirilir ve daha geniş denetim düzlemi veya yönetim izinleri vermez.

Önceki Entra düzen adı, AzureRbac ile aynı çalışma zamanı davranışına sahiptir. Yeni yapılandırmalar için kullanın AzureRbac ve yalnızca mevcut bir yapılandırma veya istemci kitaplığıyla uyumluluğa ihtiyacınız olduğunda koruyun Entra .

Ajan taslak şeması (önizleme)

AgentBlueprint şeması, paylaşılan Foundry kaynağı yerine ayrı aracının aracısı taslağı için verilen bir belirteci kabul eder. Tüketen güvenlik ilkesinin bir Foundry rolüne sahip olmasını gerektirmeden doğrudan çalışma zamanı erişimini yetkilendirir.

Delege istemci, kullanıcının oturum açmasını sağlar ve agent blueprint uygulama kaydı tarafından kullanıma sunulan bir izin ister. Varsayılan olarak, tam nitelikli devredilmiş kapsam şöyledir:

api://<agent-blueprint-client-id>/access_agent

api://<agent-blueprint-client-id> kaynak URI'si ve access_agent izin adı, sabit değerler değil varsayılan değerlerdir. Aracı blueprint uygulaması kaydında değerlerden herhangi birini özelleştirirseniz, istemci yapılandırılmış tam nitelikli kapsamı ister.

Sonuçta elde edilen belirteç oturum açmış kullanıcıyı temsil eder, istemci uygulamasını tanımlar ve aracı taslağını hedefler. Foundry, aracıyı oluşturduğunda veya güncelleştirdiğinde Foundry portalı, CLI ve Visual Studio Code deneyimleri gibi desteklenen birinci taraf istemcilerini önceden yetkilendirir. Müşteriye ait bir istemci için ön yetkilendirmeyi yapılandırın veya kullanıcı veya yönetici onayı alın.

Gizli bir uygulama bunun yerine /.default kullanarak agent blueprint hedef kitlesi için yalnızca uygulama belirteci isteyebilir. Yalnızca uygulama belirteçleri için, AgentBlueprint şeması şu anda çağıranın uygulama kimliğini içeren boş olmayan bir token_validation_rules.allowed_clients listesi gerektirir. Kural atlanırsa veya çağıranı içermiyorsa yetkilendirme reddedilir. Bu istemci izin listesi şu anda desteklenen yalnızca uygulamaya özgü yetkilendirme mekanizmasıdır ve bir uygulama rolü gerektirmez.

Aracı blueprint belirtecini alma yetkilendirmesi, endpoint yetkilendirmesinden ayrıdır. İsteğin uç noktanın belirteç doğrulama kurallarını karşılaması gerekir.

Belirteç doğrulama kuralları

Microsoft Entra belirteci doğruladıktan sonra, AgentBlueprint şema kabul edilen hedef kitleleri, kiracıları, istemci uygulamalarını, sorumluları ve temsilci izinlerini kısıtlayabilir. Hizmet, arka plandaki aracı planı için hedef kitle, kiracı ve devredilmiş izin varsayılanları sağlarken, açık kurallar belirli bir aracı için erişimi daraltmanıza olanak sağlar.

Devredilen belirteçler için ön yetkilendirme veya onay, istemcinin belirteci alıp alamayacağını denetlerken, belirteç doğrulama kuralları uç noktanın belirteci kabul edip etmeyeceğini denetler. Ek bir temsilci-istemci kısıtlamasına ihtiyaç duymadığınızda, temsilci belirteçleri için allowed_clients öğesini atlayabilirsiniz. Yalnızca uygulama belirteçleri için gerekli, boş olmayan istemci izin listesi, belirteç doğrulamasından sonra aracıyı hangi uygulamaların çağırabileceğini denetler.

Yapılandırma özellikleri, varsayılanlar ve boş liste davranışı için bkz. Belirteç doğrulama kurallarını yapılandırma.

Aracı oluşturmak, yapılandırmak veya test etmek için geliştirme erişimi otomatik olarak son kullanıcı aracı planı erişimi oluşturmaz. Buna karşılık, bir istemciyi aracı şeması için yetkilendirmek, bu istemciye Foundry projesine yönetim erişimi vermez.

Normal yetkilendirme

Rutin dağıtım, Foundry hedef kitlesi için bir belirteç kullanır ve önizleme AgentBlueprint şemasını desteklemez. Bir rutinin çağırdığı bir uç nokta için Entra veya AzureRbac diğer adını yapılandırılmış olarak tutun.

Bot Hizmeti kanal yetkilendirmesi

Microsoft Teams’e veya Microsoft 365’e yayımlanan aracılar Etkinlik Protokolü ve Azure Bot Hizmeti yetkilendirme şemasını kullanır. Yayımlama akışı normalde uygun şemayı yapılandırıyor. BotServiceRbac ve BotServiceTenant, kullanıcının aracıyla etkileşim kurmadan önce kimlik doğrulaması yapabilmesi için konuşmada bir oturum açma istemi sunar.

  • Her kullanıcının geçerli Azure iznine ihtiyacı olduğunda BotServiceRbac kullanın.
  • Yapılandırılan kiracıdaki kullanıcılar tek tek Foundry RBAC atamaları olmadan aracıya erişebildiğinde kullanın BotServiceTenant .
  • BotService öğesini yalnızca eski uyumluluk için kullanın. Ek bir kullanıcı yetkilendirme kuralı uygulanmaz.

Azure RBAC uygulandığında

AzureRbac ve BotServiceRbac düzenleri Azure RBAC uygular. Diğer şemalar farklı bir yetkilendirme kuralı kullanır.

Configuration Azure RBAC gerekli mi? Yetkilendirme kuralı
AzureRbac veya takma adı Entra Yes Temsilci istemcilerin geçerli Foundry iznini isteme yetkisine sahip olması gerekir. Arayan daha sonra Foundry hedef kitlesi için bir belirteç sunar ve aracıya erişim izni veren bir Azure rolüne sahip olmalıdır.
AgentBlueprint No Temsilci istemcilerin yapılandırılmış izni isteme yetkisine sahip olması gerekir. Ardından çağıran, şemanın doğrulama kurallarını karşılaması gereken aracı taslağı audience’ı için bir belirteç sunar.
BotServiceRbac Yes Oturum açmış kullanıcının aracıya erişim izni veren bir Azure rolü olmalıdır.
BotServiceTenant No Oturum açmış kullanıcının yapılandırılmış tenant'ta olması gerekir. Bu kural, özelleştirilebilir bir kural yerine sabit bir tenant kuralıdır.
BotService No Azure Bot Hizmeti kanal isteğini doğruladıktan sonra ek kullanıcı yetkilendirme kuralı uygulanmaz.

İlgili içerik

  • Son güncelleştirme: