Microsoft Discovery'de Project seviyesinde erişim kontrolü

Microsoft Discovery, her projeyi paylaşılan bir çalışma alanı içinde erişim sınırı haline getirmek için Azure rol tabanlı erişim kontrolü (Azure RBAC) kullanır. Bir kullanıcıya çalışma alanındaki her projeye erişim vermeden bir projeye erişim verebilirsiniz.

Proje düzeyinde erişim, birden fazla araştırma ekibinin çalışma alanı altyapısını paylaştığı ancak ajanlarını, araştırmalarını, paylaşılan oturumlarını ve araştırma verilerini birbirinden ayrı tutmaları gereken durumlarda faydalıdır.

Proje düzeyinde erişim nasıl çalışır

Bir Microsoft Discovery projesi, bir çalışma alanının bir Azure alt kaynağıdır:

/subscriptions/{subscription-id}
  /resourceGroups/{resource-group-name}
    /providers/Microsoft.Discovery
      /workspaces/{workspace-name}
        /projects/{project-name}

Microsoft Discovery, bu proje kaynağı düzeyinde projeye ait işlemleri değerlendirir. Azure RBAC mirası hâlâ geçerlidir:

  • Doğrudan bir projeye atanan bir rol sadece o projeye uygulanır.
  • Ana çalışma alanı, kaynak grubu veya aboneliğe atanan bir rol proje tarafından devralınır.
  • Mevcut Microsoft Discovery Platform pozisyonları, görev kapsamı altında projeler üzerinde çalışmaya devam ediyor.

Bu model, platform yöneticilerinin paylaşılan altyapıyı geniş şekilde yönetmesini sağlarken, araştırmacılara yalnızca ihtiyaç duydukları projelere erişim sağlar.

Proje rolleri

Proje düzeyinde erişim için aşağıdaki Microsoft Discovery yerleşik rollerini kullanın:

Rolü Yetenekler Önerilen kapsam
Microsoft Discovery Project Contributor (Önizleme) Mevcut bir projenin soruşturmalarını, paylaşılan oturumlarını, konuşmalarını, ajanlarını, görevlerini, Discovery Engine işlemlerini ve proje ayarlarını okuyun ve yönetin. Yeni bir proje oluşturamıyor veya rol atamıyor. Project
Microsoft Discovery Project Reader (Önizleme) Bir projeyi ve projeye ait içeriğini kaynak oluşturmadan, değiştirmeden, çalıştırmadan veya silmeden okuyun. Project

Yeni bir proje oluşturmak, çalışma alanında uygun bir Microsoft Discovery Platform rolü veya miras alınan bir kapsam gerektirir. Proje rollerinden birini atayabilmek için, projede veya devralınan bir kapsamda Sahip, Kullanıcı Erişimi Yöneticisi ya da Rol Tabanlı Erişim Denetimi Yöneticisi gerekir.

Doğru proje rolünü seçin

Scenario Önerilen görevler
Ajanlar yaratan ve eserleri yöneten araştırmacı Project Contributor, gerekli kaynak kapsamlarında Tools Reader, Chat Model Reader, Storage Account Contributor, Storage Blob Data Contributor, Storage Container Contributor ve Bookshelf Index Data Reader rolleriyle eşleştirildi
Sadece önceden oluşturulmuş ajanları ve Discovery Engine'i çalıştıran araştırmacı Project Contributor; yalnızca kullanıcı doğrudan bu kaynaklara erişmesi gerektiğinde depolama veya Kitaplık rolleri ekleyin
Proje sonuçlarını denetleyen incelemeci Project Reader, Storage Container Reader ve Storage Blob Data Reader ile eşleştirilmiş; isteğe bağlı olarak Tools Reader ve Bookshelf Index Data Reader eklenebilir
Bir çalışma alanı için platform yöneticisi Çalışma alanında, kaynak grubunda veya abonelikte uygun Microsoft Discovery Platform rolü; ayrı ve açık bir atama gerekmedikçe proje rolleri eklemeyin
İki projede çalışan kullanıcı Her proje için bağımsız olarak bir proje rolü atamak; yalnızca kolaylık için çalışma alanı düzeyinde Platform rolü vermekten kaçının

Örnek: Project Contributor ile Project Reader arasındaki görüş

Aktif bir araştırma ekibi ve dış bir bilimsel hakem tarafından paylaşılan bir ilaç keşfi projesini düşünün.

Proje Katılımcısı örneği

Proje'nin deneylerini tasarlayan ve yürüten bir araştırma bilimcisi, Microsoft Discovery Project Contributor (Önizleme) ödülünü almalıdır.

Katılımcı şunları yapabilir:

  • Atanan projede soruşturmalar, paylaşılan oturumlar, konuşmalar, görevler ve ajanlar oluşturun ve yönetin.
  • Önceden oluşturulmuş ajanları ve Discovery Engine'i çalıştırın.
  • İlgili eşlikçi okuyucu rolleri atandığında onaylı araçlar, sohbet modelleri ve bilgi tabanlarıyla ajanlar oluşturun veya güncelleyin.
  • Katkıcı depolama rolleri atandığında proje depolama varlıkları ve blob içeriği oluşturun ve yönetin.
  • Mevcut proje ayarlarını değiştir.

Katkıda bulunan şu yapamaz:

  • Yeni bir proje oluşturun.
  • Azure rollerini atayın.
  • Ayrı olarak atanmadıkça başka bir projeye erişin.
  • Eşlik görevi atamasında kapsama alınmayan araçları, sohbet modellerini, depolama veya bilgi kaynaklarını görüntüleyin veya seçin.

Project Reader örneği

Sonuçları incelemesi gereken ve araştırmayı değiştirmeden incelemesi gereken baş araştırmacı, denetçi, ortak veya bilimsel hakem, Microsoft Discovery Project Reader (Önizleme) almalıdır.

Okuyucu şunları yapabilir:

  • Atanan projeyi ve ajanlarını, soruşturmalarını, paylaşılan oturumları, konuşmaları, görevleri ve sonuçlarını görüntüleyin.
  • Storage Container Reader rolü atandığında keşif depolama varlıklarını görüntüleyin.
  • Storage Blob Data Reader atandığında oluşturulan blob içeriğini açın.
  • Tools Reader atandığında araç tanımlarını inceleyin.
  • Isteğe bağlı Kitapraf Dizini Veri Okuyucusu rolü atandığında erişilebilir kitaplıkları ve bilgi tabanlarını görüntüleyin ve sorgulayın.

Okuyucu şunları yapamaz:

  • Soruşturmalar, ajanlar, görevler veya paylaşılan oturumlar oluşturun, güncelledin, çalıştırın veya silin.
  • Proje ayarlarını değiştir.
  • Depolama varlıkları veya blob içeriği oluşturun ya da değiştirin.
  • Ayrı ayrı atamadıkça başka bir projeye veya paylaşılan kaynağa erişin.

Proje rollerini kaynak rolleriyle eşleştirin

Projeler, proje kapsamı dışında bulunan araçlar, modeller, depolama ve bilgi kaynakları kullanır. Bir proje rolü, bu paylaşılan kaynaklara otomatik olarak erişim sağlamaz. Proje rolünü kullanıcının sorumluluklarına uygun eşlik rolleriyle birlikte atayın.

Project Contributor erişim paketi

Ajanlar yazan ve proje yapıtlarını yöneten bir katkıda bulunan söz konusuysa, Microsoft Discovery Project Contributor (Önizleme) rolünü gerektiğinde aşağıdaki rollerle eşleştirin:

Yoldaş rolü Katkıda bulunanın buna neden ihtiyacı olduğu Önerilen kapsam
Microsoft Discovery Tools Okuyucu (Önizleme) Onaylanmış araç tanımlarını görüntüleyin ve bir ajanı oluştururken veya güncellerken bu araçları seçin. Bireysel araç, kaynak grubu veya abonelik
Microsoft Discovery Chat Model Reader (Önizleme) Bir ajan oluştururken veya güncellerken onaylanmış sohbet modeli dağıtımını görüntüleyin ve seçin. Tek bir sohbet modeli dağıtımı veya çalışma alanı
Depolama Hesabı Katkı Sağlayan Proje eserlerini barındıran Azure Depolama hesabına erişin ve yönetin. Yedek depolama hesabı veya ilgili kaynak grubu
Depolama Blobu Verilerine Katkıda Bulunan Yedekleme depolama hesabındaki blob içeriğini okuyun, oluşturun, güncelledin ve silin. Yedekleme blob konteyneri veya depolama hesabı
Microsoft Discovery Storage Container Contributor (Preview) Proje araştırmalarında kullanılan Discovery depolama varlıklarını oluşturun, güncelleyin ve silin. Bireysel Microsoft Discovery depolama konteyneri
Microsoft Discovery Kitaplık Rafı İndeksini Veri Okuyucu - Önizleme Onaylanmış kitap raflarını ve bilgi tabanlarını listeleyin, içeriklerini sorgulayın ve bir ajans oluştururken bunları seçin. Bireysel kitaplık, kaynak grubu veya abonelik

Note

Bu erişim modeli, Microsoft Discovery Platform Administrator (Önizleme) veya Microsoft Discovery Platform Katkı Sağlayıcısı (Önizleme) olan bir kullanıcının araçları oluşturup yönettiğini varsayar. Bir Proje Katkıcısına, yalnızca onaylanmış araç tanımlarını görüntülemesi ve bu araçları atanan projede oluşturduğu veya güncellediği aracılara eklemesi için Microsoft Discovery Tools Reader (Önizleme) atanır. Tools Reader, araçları oluşturma, güncelleme veya silme izni vermez.

Her katkı yapanın her yardımcı rolüne ihtiyacı yoktur. Sadece proje için gereken araçlar, modeller, depolama ve bilgi kaynakları ver.

Project Reader erişim paketi

Proje sonuçlarını inceleyen bir okuyucu için, Microsoft Discovery Project Reader (Önizleme) ile ihtiyaç duydukça aşağıdaki rolleri eşleştirebilirsiniz:

Yoldaş rolü Okuyucunun buna neden ihtiyacı olduğu Önerilen kapsam
Microsoft Discovery Tools Okuyucu (Önizleme) Proje tarafından referans verilen araç tanımlarını görüntüleyin. Bireysel araç, kaynak grubu veya abonelik
Microsoft Discovery Storage Container Reader (Önizleme) Proje araştırmalarıyla ilişkili Discovery depolama konteynerlerini ve depolama varlıklarını görüntüleyin. Bireysel Microsoft Discovery depolama konteyneri
Storage Blob Veri Okuyucusu Proje araştırmaları için oluşturulan blob içeriğini açın ve okuyun. Yedekleme blob konteyneri veya depolama hesabı
Microsoft Discovery Bookshelf Index Data Reader - Önizleme(isteğe bağlı) Ajanlarla ilgili kitaplıkları ve bilgi tabanlarını inceleyin. Bu rol ayrıca CLI dahil erişilebilir bilgi tabanlarını sorgulama izni verir. Bireysel kitaplık, kaynak grubu veya abonelik

Microsoft Discovery depolama rolleri, Discovery konteyneri ve varlık meta verilerini kontrol eder. Azure Blob Depolama'da depolanan baytlara erişim vermezler, bu yüzden onları ilgili Azure Depolama veri rolünle eşleştirin.

Eşlik kaynak erişimi nasıl çalışır

  • Ajan oluşturma ve güncelleme kontrolleri: Bir kullanıcı bir ajan oluşturduğunda veya güncellerken, Microsoft Discovery kullanıcının referans verilen her araçta ve seçilen sohbet modeli dağıtımına okuma erişimine sahip olduğunu doğrular. Herhangi bir bağlı kaynak erişilmezse işlem reddedilir.
  • Projeler arası izolasyon: Bu kontroller, yalnızca proje kullanıcısının başka bir ekibe ait bir araç veya modele bir ajan bağlamasını engeller.
  • Önceden oluşturulmuş ajanlar: Bir Project Katkı Sağlayıcısı, platform yöneticisinin araçları ve modeliyle zaten oluşturduğu bir ajanı çalıştırmak için yalnızca Tools Reader veya Chat Model Reader'e ihtiyaç duymaz. Bu roller, katkıda bulunanın ajan oluşturma veya güncelleme sırasında bağlı kaynakları görüntülemesi veya seçmesi gerektiğinde gereklidir.
  • Erişim iptal edilmesi: Araç ve sohbet modeli erişimi, ajan oluşturulduğunda veya güncellendiğinde kontrol edilir, her çalıştığında değil. Bir kullanıcının bağlantılı kaynak rolünü daha sonra kaldırmak, zaten oluşturulmuş bir ajanın o kaynağı kullanmaya devam etmesini engellemez. Bağlantılı kaynak erişimini iptal ederken etkilenen ajanları güncelleyin veya kaldırın.
  • Discovery Engine modeli: Discovery Engine, platformda yapılandırılmış gpt-5-4 sohbet modeli dağıtımını kullanır. Bir Project Katkı Sağlayıcısı, bu dağıtım için ayrı bir Chat Model Okuyucu ataması olmadan Discovery Engine'i çalıştırabilir.
  • Bilgi tabanı ve depolama erişimi: Bilgi tabanlarının ve depolamanın kendi erişim gereksinimleri vardır. İlgili Microsoft Discovery rolünü ve iş akışının gerektirdiği ilgili arka uç hizmet veri rolünü birlikte atayın.

Project tarafından işletilen operasyonlar

Proje yetkilendirmesi, aşağıdakiler dahil olmak üzere projeye ait işlemler için geçerlidir:

  • Soruşturmalar ve Keşif Motoru görevleri
  • Paylaşılan oturumlar, sohbetler ve yanıtlar
  • Ajanslar
  • Bağlı depolama varlıkları
  • Proje kapsamındaki Workbench oturumu oluşturma

Projenin belirlenmesi, istek yolundan, sorgu parametrelerinden, istek gövdesinden veya mevcut bir konuşma kaydından gelebilir. Microsoft Discovery projeyi çözemiyorsa, yetkilendirme kapalı olarak başarısız olur.

Note

Bazı Workbench oturumu okuma ve durum işlemleri proje bağlamını taşımaz ve devralınan çalışma alanı erişimi gerektirir. Sadece proje rolü olan bir kullanıcı, proje kapsamında bir Workbench oturumu oluşturduktan sonra bile bu işlemler için yetkilendirme hatası alabilir.

Güvenlik önerileri

  • Pratik olduğunda bireysel kullanıcılar yerine Microsoft Entra gruplarına roller ata.
  • İş akışını destekleyen en dar kaynak kapsamını kullanın.
  • Proje erişimini paylaşılan araçlara, modellere, depolama ve bilgi tabanlarına erişimden ayırın.
  • Erişim incelemeleri sırasında hem proje hem de bağlantılı kaynak atamalarını gözden geçirin.
  • Bağlı kaynağa erişim iptal edildiğinde mevcut ajanları kaldırın veya güncelleyin.
  • Eksik bir ek kaynak rolünü aşmak için geniş bir Platform rolü kullanmayın.

İlgili içerik

  • Son güncelleştirme: