Microsoft Discovery'de yönetilen kimlikler

Microsoft Bulma, sizin adınıza Azure kaynaklarda kimlik doğrulaması yapmak için kullanıcı tarafından atanan yönetilen kimlikleri (UAMI) kullanır. Gizli anahtarları veya bağlantı dizilerini yönetmek yerine, yönetilen bir kimlik oluşturur, gerekli Azure rollerini verir ve Discovery kaynaklarını oluştururken kaynak kimlik sağlar. Daha sonra Discovery platformu depolama hesaplarına, kapsayıcı kayıt defterlerine, yapay zeka hizmetlerine ve yönetilen kaynak grubu (MRG) kaynaklarına erişmek için bu kimliği kullanır.

Kullanıcıya atanmış yönetilen kimlikler neden tercih edilir?

Bulma, aşağıdaki nedenlerle kullanıcı tarafından atanan (sistem tarafından atanmamış) yönetilen kimlikler gerektirir:

Nedeni Explanation
Müşteri sahipliği Kendi aboneliğinizde kimliğin yaşam döngüsünü oluşturur, yönetir ve denetlersiniz.
Kaynaklar arasında paylaşılan Bir çalışma alanı, süper bilgisayar ve depolama işlemleri arasında tek bir UAMI'yi yeniden kullanabilir ve bu da yönetim ek yükünü azaltır.
E-sağlanan rol atamaları Kaynak oluşturmadan önce rolleri atarsınız, böylece Keşif başlangıçtan itibaren ihtiyaç duyduğu izinlere sahip olur.
Sabit bağlama Çalışma alanı kimliği ve süper bilgisayar kümesi kimliği oluşturma zamanında bağlıdır ve daha sonra değiştirilemez, bu da tutarlı bir güvenlik duruşu sağlar. Oluşturma işleminden sonra süper bilgisayarın kubelet ve iş yükü kimliklerini güncelleştirebilirsiniz.

Önemli

Çalışma alanı kimliği ve süper bilgisayar kümesi kimliği, oluşturulduktan sonra sabittir . Sağlandıktan sonra bunları değiştiremezsiniz. Süper bilgisayarın kubelet ve iş yükü kimliklerini güncelleştirebilirsiniz. Kaynak oluşturmadan önce kimlik stratejinizi planlayın.

Discovery kimliğinizi nasıl kullanır?

Bir çalışma alanı veya süper bilgisayar oluşturulduğunda Discovery kontrol düzlemi:

  • UAMI'nizi okur: Kimliğin var olduğunu ve hizmetin bu kimlik üzerinde çalışabildiğini doğrular.
  • Kendisine Yönetilen Kimlik İşleci atar: Bulma hizmet sorumlusu, kimliği yönetilen kaynak işlemleri için kullanabilmesi için UAMI'nizde Yönetilen Kimlik İşleci rolünü alır.
  • UAMI'yi çalışma zamanında kullanır: Araç süper bilgisayarda çalıştırılır, kapsayıcı görüntülerini çekmek ve blob depolamaya erişmek için kimliği kullanır. Ajanslar, Azure OpenAI ve depolama alanıyla etkileşim kurar.

Kaynak türü başına kimlik yuvaları

Farklı Bulma kaynakları yönetilen kimlikleri farklı şekillerde kullanır.

Workspace

Çalışma alanı, workspaceIdentity özelliği aracılığıyla sağlanan tek bir UAMI gerektirir. Bulma, UAMI'nizi kullanarak:

  • Çalışma alanınızı tanımlama: UAMI, çalışma alanını aboneliğinizin kaynaklarına bağlayan güvenlik sorumlusudur.
  • Verileri okuma ve yazma: Azure Blob Depolama hesapları depolama kapsayıcıları aracılığıyla verileri okur ve yazar.
  • Kapsayıcı görüntülerini çekme: Araçları bir süper bilgisayarda çalıştırdığınızda kapsayıcı görüntüleri Azure Container Registry çekilir.

Bulma, MRG'yi (Azure Cosmos DB, yapay zeka hizmetleri, arama dizinleri ve Azure OpenAI) UAMI'nizi değil kendi hizmet sorumlularını kullanarak sağlar ve çalıştırır. UAMI'nizin MRG'de rollerine ihtiyacı yoktur.

Süper bilgisayar

Süper bilgisayar üç kimlik yuvası kullanır ve bunların tümü basitlik için aynı UAMI'ye başvurabilir veya en az ayrıcalık için UAM'leri ayırabilir.

Yuvası Amaç
Küme kimliği AKS denetim düzlemi tarafından ağ ve yük dengeleyiciler gibi küme düzeyindeki kaynakları yönetmek için kullanılır.
Kubelet kimliği Kapsayıcı görüntülerini Container Registry'den çekmek ve Azure kaynaklarına erişmek için düğüm düzeyinde kullanılır.
İş yükü tanımlayıcı Süper bilgisayarda araçları ve aracıları çalıştıran podlar tarafından federasyon kimlik bilgileri olarak kullanılır.

Kitaplık

Kitaplık, workloadIdentities özelliği aracılığıyla UAMI'nize referans verir. Discovery, kitaplık MRG'sini (AI Search, SQL, AI Services) sağlamak ve çalıştırmak için kendi hizmet sorumlularını kullanır. Hizmet ayrıca, kaynaklar arası iç kimlik doğrulaması için kütüphane MRG'si içinde sistem tarafından yönetilen bir kimlik oluşturur.

Gerekli rol atamaları

Bulma kaynaklarını oluşturmadan önce UAMI'nize aşağıdaki yerleşik rolleri atamanız gerekir. Bu rolleri kaynak grubu kapsamında atayın.

Rol Rol tanımı kimliği Amaç
Microsoft Bulma Platformu Katkıda Bulunanı (önizleme) 01288891-85ee-45a7-b367-9db3b752fc65 Çalışma alanları, projeler, aracılar ve araçlar gibi Bulma kaynaklarını yönetin.
Storage Blob Veri Katılımcısı ba92f5b4-2d11-453d-a403-e96b0029c9fe Azure Depolama hesaplarındaki blobları okuma ve yazma işlemleri gerçekleştirin.
AcrPull 7f951dda-4ed3-4680-a7ca-43fe172d538d Kapsayıcı görüntülerini Container Registry'den çekin.

Özel senaryolarda gerekli olan diğer roller için bkz. Yönetilen kimlikleri yapılandırma.

Discovery kaynakları arasında uçtan uca kimlik akışı

Eksiksiz bir Bulma yığını dağıttığınızda platform üç MRG oluşturur (çalışma alanı, kitaplık ve süper bilgisayar). Her MRG, hizmetin yönettiği Azure kaynakları içerir.

Hizmetin otomatik olarak yönettiği şeyler

Bir çalışma alanı, kitaplık veya süper bilgisayar oluşturduğunuzda, Bulma otomatik olarak:

  • Hizmetin MRG kaynaklarını sağlayıp çalıştırabilmesi için MRG'de rol atamaları oluşturur. Kaynaklar Microsoft Foundry, Azure Cosmos DB, Azure Yapay Zeka Arama, Depolama, Azure Key Vault ve Azure Kubernetes Service (AKS) içerir.
  • Hizmetin BUNU MRG dağıtımları için kullanabilmesi için UAMI'nize Yönetilen Kimlik İşleci atar.
  • Her çalışma alanında sistem tarafından yönetilen bir kimlik ve kaynaktan kaynağa iç kimlik doğrulaması (Azure Container Apps, Foundry, SQL) için mrg kitaplığı oluşturur.

Bu kimliklerin veya rol atamalarının hiçbirini oluşturmanız veya yönetmeniz gerekmez. Bunlar, hizmet tarafından yönetilen tam yaşam döngüsüne sahiptir.

Sorumlu olduğunuz şey

Aşağıdaki görevlerden siz sorumlusunuz:

  • UAMI'nizi oluşturma: Bulma kaynaklarını oluşturmadan önce üç temel rolü (Bulma Platformu Katkıda Bulunanı, Depolama Blobu Veri Katkıda Bulunanı ve AcrPull) atayın.
  • UAMI kaynak kimliğini belirtin: Çalışma alanı veya süper bilgisayar oluştururken kimliği girin.

Çalışma zamanında UAMI'niz

UAMI'niz, aracıların ve araçların çalışma zamanında kullandığı kimliktir.

Operation Azure kaynağa erişildi Gerekli rol
Depolama kapsayıcılarındaki verileri okuma/yazma Azure Blob Depolama Storage Blob Veri Katılımcısı
Araçla konteyner imajlarını çekme Container Registry AcrPull
Bulma kaynaklarını yönetme Bulma kaynak sağlayıcısı Microsoft Bulma Platformu Katkıda Bulunanı (önizleme)
AKS kümesi ağını çalıştırma Azure Sanal Ağ (VNet) alt ağları Ağ Katkıda Bulunanı (süper bilgisayar kümesi kimliği)

Süper bilgisayar için UAMI'niz üç yuvada kullanılır:

  • Küme kimliği: AKS denetim düzlemi, yük dengeleyicileri ve ağı yönetmek için bunu kullanır.
  • Kubelet kimliği: Düğüm düzeyinde aracı, Container Registry'den görüntü çekmek ve Azure kaynaklarına erişmek için bu aracıyı kullanır.
  • İş yükü kimliği: Podlar, araçları ve aracıları çalıştırmak için federasyon kimlik bilgilerini kullanır.

Tek bir paylaşılan UAMI ile işlev başına ayrı kimlikler arasında seçim yapma konusunda rehberlik için bkz. Yönetilen kimlik en iyi uygulama önerileri.

Gelişmiş yapılandırma: Kimlik başına ayrıntılı rol atamaları

Gerekli rol atamaları bölümünde, tek bir paylaşılan UAMI'nin kaynak grubu kapsamındaki üç temel rolün tümünü aldığı en basit yaklaşım açıklanmaktadır. Daha sıkı güvenlik denetimi gerektiren üretim ortamları için, her kimliğin eriştiği belirli kaynaklar kapsamında en az ayrıcalıklı rol atamalarına sahip ayrı UAMI'ler atayın.

Önemli

İş yükü kimliğine, aracılar tarafından araçların çalıştırılması yoluyla erişilebilir. Büyük dil modelleri (LLM' ler) tarafından yönetilen aracılar çalışma zamanında bu kimliği kullanan araçları çağırır, bu nedenle iş yükü kimliğinin izinlerini en aza indirmek kritik önem taşır. Aracın çalışması için yalnızca kesinlikle gerekli olan izinleri verin. Bir aracı, kimliği amaçlanan kapsamının ötesinde kullanırsa, iş yükü kimliği üzerindeki geniş izinler risk oluşturur.

Kimlik başına rol atamaları

Aşağıdaki tabloda, ayrı UAMI'ler kullandığınızda her kimlik için önerilen ayrıntılı rol ataması gösterilmektedir.

Identity Rol Scope Amaç
Çalışma alanı kimliği Microsoft Bulma Platformu Katkıda Bulunanı (önizleme) Kaynak Grubu Projeler, sohbet modeli dağıtımları ve depolama kapsayıcıları gibi çalışma alanı kaynaklarını yönetin.
Çalışma alanı kimliği Storage Blob Veri Katılımcısı Depolama hesabı Yedekleme depolama hesabındaki çalışma alanı verilerini, sohbet modeli yapıtlarını ve proje varlıklarını okuma/yazma.
Küme kimliği Platform Yönetimli Ağ Katılımcısı Düğüm kaynak grubu/VNet Küme düzeyinde ağ, yük dengeleyiciler ve düğüm kaynak grubu kaynaklarını yönetin.
Küme kimliği Yönetilen Kimlik Operatörü Düğüm kaynak grubu Küme iş yükleri için yönetilen kimlikler üzerinde çalışma.
Kubelet kimliği AcrPull Kaynak grubu (Container Registry'yi kapsar) Kaynak grubunda sağlanan herhangi bir Container Registry'den araç çalıştırmaları için kapsayıcı görüntülerini çekin.
Kubelet kimliği Storage Blob Veri Katılımcısı Depolama hesabı Pod başlatma sırasında yedekleme depolama hesabından iş yükü yapıtlarını ve girişleri okuyun.
İş yükü tanımlayıcı Storage Blob Veri Katılımcısı Depolama hesabı Aracı iş yükleri (federasyon kimliği) tarafından araç yürütme sırasında verilere erişin.

Ayrı kimlikler güvenliği neden geliştirir?

Tek bir paylaşılan UAMI kullandığınızda, iş yükü kimliği (aracıların araç yürütme aracılığıyla kullandığı), Bulma Platformu Katkıda Bulunanı ve AcrPull dahil olmak üzere tüm rolleri devralır. Bu, LLM temelli aracılara ihtiyaç duyduklarından daha geniş erişim sağlar.

Kimlikleri ayırarak:

  • İş yükü kimliği yalnızca depolama hesabı düzeyinde Depolama Blobu Veri Katkıda Bulunanı alır ve bu da aracıların araçlar aracılığıyla erişebileceklerini sınırlar.
  • Küme kimliği, hiçbir zaman aracı iş yüklerine sunulmamış ağ ve işleç rollerini alır.
  • Kubelet kimliği, aracı aracı yürütmesinden yalıtılmış görüntü çekme işlemlerini ve pod başlatma veri erişimini işler.

Bu ayrım, bir aracı veri erişiminin ötesindeki işlemler için kimliğini kullanmayı denese bile isteğin yetersiz izinler nedeniyle başarısız olmasını sağlar.

Ayrıntılı atamalar ne zaman kullanılır?

Aşağıdaki durumlarda kapsamlı rollerle ayrı kimlikler kullanın:

  • Kuruluşunuz için en az ayrıcalıklı erişim denetimi gerekiyor.
  • Hassas verileri işleyen ve patlama yarıçapını sınırlamak isteyen araçlar çalıştırırsınız.
  • Uyumluluk gereksinimleriniz, denetim düzlemi ve veri düzlemi kimliklerinin ayrılmalarını zorunlu tutuyor.
  • Aracı veri erişimini altyapı işlemlerinden bağımsız olarak denetlemek istiyorsunuz.

Paylaşılan ve ayrı kimlikler arasında seçim yapma konusunda rehberlik için bkz. Yönetilen kimlik en iyi uygulama önerileri.

Sınırlamalar

  • UAMI, onu kullanan Bulma kaynağıyla aynı bölgede olmalıdır.
  • Kaynak oluşturulduktan sonra çalışma alanı kimliği ve süper bilgisayar kümesi kimliği değiştirilemez. Kaynağı silmeniz ve yeniden oluşturmanız gerekir. aracılığıyla süper bilgisayarın kubelet ve iş yükü kimliklerini PATCHgüncelleştirebilirsiniz.
  • Rol ataması yayma işlemi 10 dakikaya kadar sürebilir. Bulma kaynaklarını oluşturmadan önce rol atamaları oluşturun.
  • Bulma, UAMI'nizde Yönetilen Kimlik İşleci rolünü gerektirir. Bu rol ataması kaynak oluşturma sırasında başarısız olursa (örneğin, Azure İlkesi kısıtlamaları nedeniyle), çalışma alanı sağlama başarısız olur.

İlgili içerik

  • Son güncelleştirme: