Ağ güvenlik çevresine arama hizmeti ekleme

Ağ güvenlik çevresi, sanal ağın dışına dağıttığınız hizmet olarak platform (PaaS) kaynaklarının etrafındaki mantıksal bir ağ sınırıdır. Microsoft Foundry Models içinde Azure Yapay Zeka Arama, Azure Depolama ve Azure OpenAI gibi kaynaklara genel ağ erişimini denetlemek için bir çevre oluşturur.

Bu makalede, arama hizmetinize ağ erişimini denetlemek için Azure Yapay Zeka Arama hizmetini bir ağ güvenlik çevresine nasıl katacağınız açıklanmaktadır. Ağ güvenlik çevresine katılarak şunları yapabilirsiniz:

• Arama hizmetinize tüm erişimi, aynı ağdaki diğer Azure kaynaklarıyla bağlamsal olarak kaydedin.
• Arama hizmetinden çevre dışındaki diğer hizmetlere veri sızdırmayı engelleyin.
• Ağ güvenlik çevresinin gelen ve giden erişim özelliklerini kullanarak arama hizmetinize erişime izin verin.

Bu makalede açıklandığı gibi Azure portalında bir ağ güvenlik çevresine arama hizmeti ekleyebilirsiniz. Alternatif olarak, yapılandırma ayarlarını görüntülemek ve eşitlemek için Arama Yönetimi REST API'lerini kullanın.

Önkoşullar

• Mevcut bir ağ güvenlik çevresi. Arama hizmetinizle ilişkilendirmek için bir tane oluşturabilirsiniz.

• Azure Yapay Zeka Arama, herhangi bir bölgede faturalanabilir herhangi bir katman.

• Azure rol atamaları: çevreyi, profilleri, erişim kurallarını ve ilişkilendirmeleri oluşturmak ve yönetmek için çevre üzerinde (veya kaynak grubunda ya da abonelikte) Ağ Güvenliği Çevresi Katkıda Bulunanı. Arama hizmetini bir çevreyle ilişkilendirmek için, arama hizmetinde Arama Hizmeti Katkıda Bulunanı (veya Katkıda Bulunan) rolüne sahip olmanız gerekir. Daha fazla bilgi için bkz. Ağ güvenlik çevresi nedir?.

• Dizin oluşturucuları kullanmayı planlıyorsanız, arama hizmetini sistem veya kullanıcı tarafından atanan yönetilen kimlikle yapılandırın ve kimliğe her veri kaynağında uygun bir veri düzlemi rolü atayın.

Sınırlamalar

• Desteklenen dizin oluşturucu veri kaynakları şu anda Azure Blob Depolama, NoSQL için Azure Cosmos DB ve Azure SQL Veritabanı ile sınırlıdır.

• Veri almak için Azure PaaS'a dizin oluşturucu bağlantıları birincil çevre içi kullanım örneğidir. Diğer trafik için gelen ve giden kurallarını yapılandırın. Microsoft Foundry kaynaklarına giden çağrılar için bkz. Microsoft Foundry kaynaklarına giden erişim. Paylaşılan özel bağlantı , belirli kaynak türleri için bir alternatiftir.

Microsoft Foundry kaynaklarına giden erişim

Hem arama hizmetinizi hem de Microsoft Foundry kaynağını içeren bir ağ güvenlik çevresi, aralarında giden aramalar için özel bir kanal sağlar. Çevre kaynak ve ağ katmanında çalıştığından, Foundry kaynağını çağıran her arama hizmeti özelliği aşağıdakiler de dahil olmak üzere aynı izin verilen yolu kullanır:

• Azure OpenAI yerleştirme becerisi, GenAI istem becerisi, İçerik Anlama becerisi ve yapay zeka zenginleştirmesi ile faturalandırma için kullanılan diğer Foundry kaynak becerileri gibi, bir Foundry kaynağını çağıran tüm beceriler

• Azure OpenAI vektörleştiricisi, tümleşik vektörleştirme sırasında sorgu zamanında.

• Bir bilgi aracısından Foundry model dağıtımına yapılan etmen tabanlı alma çağrıları.

Özel kanalı etkinleştirmek için:

1. Hem arama hizmetinizi hem de Dökümhane kaynağınızı aynı ağ güvenlik çevresine veya aralarında iletişime izin veren çevrelere ekleyin.

2. Her iki kaynak da aynı güvenlik çevresi içindeyse ve arama hizmeti, Foundry kaynağına yönetilen kimlik kullanarak kimlik doğrulaması yapıyorsa bir giden kural eklemeniz gerekmez. Çevre içi trafiğe örtük olarak izin verilir. Kaynaklar farklı güvenlik çevrelerindeyse veya arama hizmeti API anahtarlarıyla kimlik doğruluyorsa, arama hizmetinizle ilişkili güvenlik çevresinde, Foundry kaynağının ana bilgisayar adını hedefleyen bir giden FQDN erişim kuralı ekleyin. Yapılandırmanın Foundry tarafına ilişkin yönergeler için bkz: Microsoft Foundry’yi bir ağ güvenliği çevresine ekleme.

3. Erişimi iki aşamada doğrulayın:

   1. Perimetre öğrenme modundayken, Foundry kaynağını çağıran bir beceri kümesi, vektörleştirici sorgusu veya ajan tabanlı alma çağrısı çalıştırın. Beklenen erişim yolunu onaylamak için çevre günlüklerini gözden geçirin.

   2. Zorlanan moda geçin ve aynı işlemi yeniden çalıştırın. Dizin oluşturucunun yürütme geçmişinde ve çevrenin dışa yönelik izin günlüklerinde başarılı olduğunu doğrulayın.

Microsoft.CognitiveServices (Microsoft Foundry) türünde AIServices kaynakları için ağ güvenlik çevresi (NSP) desteği genel olarak kullanılabilir. OpenAI (Azure OpenAI Service) türünde kaynaklar için NSP desteği genel önizleme aşamasındadır. Geçerli destek listesi için bkz. Eklenen özel bağlantı kaynakları.

Foundry kaynağına olan paylaşılan özel bağlantı, alternatif olarak desteklenmeye devam eder.

Ağ güvenlik çevresine arama hizmeti atama

Tüm dizin oluşturma ve sorgu trafiğinin çevre kurallarına tabi olması için arama hizmetinizi bir çevreyle ilişkilendirin.

Tavsiye

Otomasyon için portal yerine Arama Yönetimi REST API'lerini kullanın. Daha fazla bilgi için bkz. REST API'lerini kullanarak Azure Yapay Zeka Arama hizmetinizi yönetme.

1. Azure portalında aboneliğinizin ağ güvenlik çevre hizmetini bulun.

2. Sol bölmeden Ayarlar>İlişkili kaynaklar'ı seçin.

   

3. Önce 'Ekle'> basın ve ardından kaynakları mevcut bir profille ilişkilendirin.

   

4. Profil için ağ güvenlik çevresini oluştururken oluşturduğunuz profili seçin.

5. Ekle'yi ve ardından arama hizmetinizi seçin.

   

6. İlişkilendirmeyi oluşturmak için sol alt köşedeki İlişkilendirme'yi seçin.

Ağ güvenlik çevresinden arama hizmetini kaldırma

Bir arama hizmetinin bir çevre ile olan ilişkisini kaldırmak için:

1. Azure portalında ağ güvenlik çevre kaynağınıza gidin.

2. Sol bölmeden Ayarlar>İlişkili kaynaklar'ı seçin.

3. Tabloda arama hizmetinizi bulun, satırın sonundaki üç noktayı seçin ve ardından İlişkilendirmeyi kaldır'ı seçin.

4. Kaldırma işlemini onaylayın. İlişkilendirme kaldırıldıktan sonra çevre kuralları artık arama hizmetine uygulanmaz ve publicNetworkAccess arama hizmetindeki ayar gelen trafiği yeniden denetler.

Ağ güvenliği çevre erişim modları

Ağ güvenlik çevresi, ilişkili kaynaklar için iki farklı erişim modunu destekler:

Mode	Description
Öğrenme modu	Bu, varsayılan erişim modudur. Öğrenme modunda ağ güvenlik çevresi, çevre zorlanmış moddaysa reddedilecek tüm trafiği arama hizmetine kaydeder. Bu erişim modu, ağ yöneticilerinin erişim kurallarını zorlamadan önce arama hizmetinin mevcut erişim desenlerini anlamasını sağlar.
Zorunlu mod	Zorunlu modda, ağ güvenlik duvarı, günlük tutar ve erişim kuralları tarafından açıkça izin verilmeyen tüm trafiği reddeder.

Ağ güvenlik çevresi ve arama hizmeti ağ ayarları

Bu publicNetworkAccess ayar, bir ağ güvenlik çevresi ile arama hizmeti ilişkilendirmesini belirler.

• Öğrenme modunda, publicNetworkAccess ayar kaynağa genel erişimi denetler.

• Zorunlu modda, ağ güvenlik çevre kuralları ayarı geçersiz kılar publicNetworkAccess . Örneğin, ayarına publicNetworkAccess sahip bir enabled arama hizmeti zorunlu modda bir ağ güvenlik çevresiyle ilişkiliyse, arama hizmetine erişim ağ güvenlik çevresi erişim kuralları tarafından denetlenmeye devam eder.

Ağ güvenliği çevre erişim modunu değiştirme

1. Azure portalında ağ güvenlik çevre kaynağınıza gidin.

2. Sol bölmeden Ayarlar>İlişkili kaynaklar'ı seçin.

   

3. Arama hizmetinizi tabloda bulun.

4. Satırın sonundaki üç noktayı seçin ve ardından Erişim modunu değiştir'i seçin.

   

5. İstediğiniz erişim modunu seçin ve ardından Uygula'yı seçin.

   

Ağ erişiminin günlüğe kaydedilmesini etkinleştir

1. Azure portalında ağ güvenlik çevre kaynağınıza gidin.

2. Sol bölmeden İzleme>Tanılama ayarları seçin.

   

3. Tanılama ayarı ekle’yi seçin.

4. diagnostic için, gibi herhangi bir ad girin.

5. Logs altında, allLogs'u seçin. allLogs , ağ güvenlik çevrenizdeki kaynaklara gelen ve giden tüm ağ erişiminin günlüğe kaydedilmesini sağlar.

6. Hedef ayrıntıları'nın altında Depolama hesabına arşivle'yi veya Log Analytics çalışma alanına gönder'i seçin. Depolama hesabının ağ güvenlik çevresi ile aynı bölgede olması gerekir. Mevcut bir depolama hesabını kullanabilir veya yeni bir hesap oluşturabilirsiniz. Log Analytics çalışma alanı, ağ güvenlik çevresi tarafından kullanılandan farklı bir bölgede olabilir. Ayrıca diğer geçerli hedeflerden herhangi birini de seçebilirsiniz.

   

7. Tanılama ayarını oluşturmak ve ağ erişimini günlüğe kaydetmeye başlamak için Kaydet'i seçin.

8. Günlüğün etkin olduğunu doğrulamak için arama hizmetine trafik oluşturun (örneğin, bir sorgu çalıştırın). Yaklaşık 10 dakika içinde Log Analytics NSPAccessLogs tablosunu sorgula veya depolama hesabındaki ilgili insights-logs-* kapsayıcısını denetleyin.

Ağ erişim günlüklerini okuma

Ağ güvenlik çevre günlükleri Tanılama ayarlarında seçtiğiniz hedeflere teslim edilir. En yaygın hedefler bir Log Analytics çalışma alanı ve depolama hesabıdır.

Log Analytics çalışma alanı

Tablo NSPAccessLogs, NspPublicInboundPerimeterRulesAllowed gibi her günlük kategorisi için tüm logları içerir. Her kayıt, günlük kategorisiyle eşleşen ağ güvenlik çevresi ağ erişiminin bir kaydını içerir.

İşte NspPublicInboundPerimeterRulesAllowed kayıt formatına bir örnek:

Sütun adı	Anlamı	Örnek değer
Sonuç Açıklaması	Ağ erişim işleminin adı.	POST /indexes/my-index/docs/search
Profil	Arama hizmetinin ilişkilendirildiği ağ güvenlik çevresi.	varsayılan profil
ServiceResourceId	Arama hizmetinin kaynak kimliği.	search-service-resource-id
Eşleşen Kural	Günlüğün eşleşmiş olduğu kuralın JSON açıklaması.	{ "accessRule": "IP firewall" }
Kaynak IP Adresi	Varsa, gelen ağ erişiminin kaynak IP'sini seçin.	192.0.2.1
Erişim Kuralı Sürümü	Ağ erişim kurallarını uygulamak için kullanılan ağ güvenliği çevre erişim kurallarının sürümü.	0

Depolama hesabı

Depolama hesabı, insights-logs-nsppublicinboundperimeterrulesallowed gibi her günlük kategorisi için kapsayıcılara sahiptir. Kapsayıcının içindeki klasör yapısı, ağ güvenlik çevresinin kaynak kimliğiyle ve günlüklerin alındığı saatle eşleşir. JSON günlük dosyasındaki her satır, günlük kategorisiyle eşleşen ağ güvenlik çevre ağı erişiminin kaydını içerir.

Örneğin, izin verilen gelen çevre kuralları kategori günlüğü aşağıdaki biçimi kullanır:

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

Arama hizmetiniz için erişim kuralı ekleme

Ağ güvenlik çevre profili, çevre üzerinden erişime izin veren veya erişimi reddeden kuralları belirtir.

Çevre içinde, tüm kaynaklar ağ düzeyinde karşılıklı erişime sahiptir. Kimlik doğrulaması ve yetkilendirmeyi yine de ayarlamanız gerekir, ancak ağ düzeyinde çevrenin içinden gelen bağlantı istekleri kabul edilir.

Ağ güvenlik çevresi dışındaki kaynaklar için, gelen ve giden erişim kurallarını belirtmeniz gerekir. Gelen kurallar, hangi bağlantılara izin verileceğini, giden kurallar ise hangi isteklere izin verileceğini belirtir.

Arama hizmeti, Microsoft Döküm portalı gibi uygulamalardan gelen istekleri ve dizin oluşturma veya sorgu istekleri gönderen tüm uygulamaları kabul eder. Arama hizmeti, dizin oluşturucu tabanlı dizin oluşturma ve beceri kümesi yürütme sırasında giden istekler gönderir. Bu bölümde, Azure Yapay Zeka Arama senaryoları için gelen ve giden erişim kurallarının nasıl ayarlanacağı açıklanmaktadır.

Not

Arama hizmeti yönetilen kimlik ve Microsoft Entra tabanlı role atamaları kullanarak kimlik doğrulaması gerçekleştirdiğinde, aynı ağ güvenlik çevresindeki kaynaklar arasındaki trafiğe ağ düzeyinde örtük olarak izin verilir. Arama hizmeti API anahtarlarıyla kimlik doğrulaması yaparsa, çevre trafiği çevre içi olarak tanımlayamaz, bu nedenle her iki kaynak da aynı çevre içinde olsa bile açık gelen ve giden erişim kuralları eklemeniz gerekir.

Gelen erişim kuralı ekleme

Gelen erişim kuralları, İnternet'in ve çevre dışındaki kaynakların çevre içindeki kaynaklarla bağlanmasına izin verebilir.

Ağ güvenlik çevresi iki tür gelen erişim kuralını destekler:

• IP adresi aralıkları. IP adresleri veya aralıkları Sınıfsız Etki Alanları Arası Yönlendirme (CIDR) biçiminde olmalıdır. CIDR gösterimi örneği, 192.0.2.0 ile 192.0.2.255 arasında değişen IP'leri temsil eden 192.0.2.0/24'tür. Bu kural türü, aralıktaki herhangi bir IP adresinden gelen isteklere izin verir.

• Abonelikler. Bu tür bir kural, abonelikteki herhangi bir yönetilen kimlik kullanılarak kimliği doğrulanmış gelen erişime izin verir. Kural yalnızca ağ yolunu kontrol eder; isteği yapan kullanıcının yine de arama hizmeti üzerinde bir Azure RBAC rol atamasına sahip olması gerekir.

Azure portalına bir gelen erişim kuralı eklemek için:

1. Azure portalında ağ güvenlik çevre kaynağınıza gidin.

2. Sol bölmeden Ayarlar>Profilleri'ni seçin.

   

3. Ağ güvenlik çevrenizle birlikte kullandığınız profili seçin.

   

4. Sol bölmeden Ayarlar>Gelen erişim kuralları'nı seçin.

   

5. Ekle'yi seçin.

   

6. Aşağıdaki değerleri yazın veya seçin:

   Ayar	Değer
   Kural adı	Gelen erişim kuralının adı, örneğin MyInboundAccessRule.
   Kaynak türü	Geçerli değerler IP adresi aralıkları veya Aboneliklerdir.
   İzin verilen kaynaklar	IP adresi aralıklarını seçtiyseniz, gelen erişime izin vermek istediğiniz IP adresi aralığını CIDR biçiminde girin. Azure IP Aralıkları ve Hizmet Etiketleri dosyasını indirin. Abonelikler'i seçtiyseniz, gelen erişime izin vermek istediğiniz aboneliği kullanın.

7. Gelen erişim kuralını oluşturmak için Ekle'yi seçin.

   

8. Kuralı doğrulamak için, bir test profilinde ilişkilendirmeyi zorlanmış moda geçirin. Eşleşen isteklerin NspPublicInboundPerimeterRulesAllowed günlük kategorisinde, eşleşmeyen isteklerin ise kategoride NspPublicInboundPerimeterRulesDenied göründüğünü onaylayın.

Giden erişim kuralı ekleme

Arama hizmeti, dizin oluşturucu tabanlı dizin oluşturma ve beceri kümesi yürütme sırasında giden çağrılar yapar. Dizin oluşturucu veri kaynaklarınız, Foundry Tools faturalama becerileri için ekli bir Microsoft Foundry kaynağı veya özel beceri mantığınız ağ güvenlik sınırının dışındaysa, arama hizmetinizin bağlantıyı kurmasına izin veren bir giden erişim kuralı oluşturun.

Güvenlik çevresi içinde dizin oluşturucular Azure Blob Depolama’a, Azure Cosmos DB for NoSQL’a ve Azure SQL Veritabanı’e bağlanabilir. Dizin oluşturucularınız başka veri kaynakları kullanıyorsa, bu bağlantıyı desteklemek için bir giden erişim kuralına ihtiyacınız vardır.

Ağ güvenlik çevresi, hedefin Tam Nitelikli Alan Adı'nı (FQDN) temel alan giden erişim kurallarını destekler. Örneğin, ağ güvenlik çevrenizle ilişkili herhangi bir hizmetten mystorageaccount.blob.core.windows.net gibi bir FQDN'ye giden erişime izin verebilirsiniz.

Azure portalında giden erişim kuralı eklemek için:

1. Azure portalında ağ güvenlik çevre kaynağınıza gidin.

2. Sol bölmeden Ayarlar>Profilleri'ni seçin.

   

3. Ağ güvenlik çevrenizle birlikte kullandığınız profili seçin.

   

4. Sol bölmeden Ayarlar>Giden erişim kuralları'nı seçin.

   

5. Ekle'yi seçin.

   

6. Aşağıdaki değerleri yazın veya seçin:

   Ayar	Değer
   Kural adı	Giden erişim kuralının adı, örneğin MyOutboundAccessRule.
   Hedef türü	FQDN olarak bırakın.
   İzin verilen hedefler	Giden erişime izin vermek istediğiniz FQDN'lerin virgülle ayrılmış listesini girin.

7. Giden erişim kuralını oluşturmak için Ekle'yi seçin.

   

8. Kuralı doğrulamak için, bir test profilinde ilişkilendirmeyi zorlanmış moda geçirin. Eşleşen giden isteklerin NspPublicOutboundPerimeterRulesAllowed günlük kategorisinde göründüğünü onaylayın.

Ağ güvenlik çevresi üzerinden bağlantınızı test edin

Ağ güvenlik çevresi üzerinden bağlantınızı test etmek için, İnternet bağlantısı olan yerel bir bilgisayarda veya Azure VM'de bir web tarayıcısına erişmeniz gerekir.

1. Arama hizmetinize ağ erişimi için ağ güvenlik çevresi gereksinimlerini zorlamaya başlamak amacıyla ağ güvenlik çevresi ilişkilendirmenizi zorlayıcı mod olarak değiştirin.

2. bir istemci seçin:

   1. Yerel bir bilgisayar için genel IP adresinizi alın.

   2. Bir Azure VM için Private Link kullanın veya IP adresini Azure portalında bulun.

3. Erişime izin vermek için bu IP adresi için bir gelen erişim kuralı oluşturun.

4. Azure portalında arama hizmetinizi açın ve dizinlerini görüntüleyin.

   • Beklenen başarı: Dizin listesi yüklenir ve bir test sorgusu çalıştırabilirsiniz. Gelen IP kuralı çalışıyor.

   • 403 veya "Genel ağ erişimi devre dışı bırakıldı" hatası görürseniz: İstemci IP'niz veya Azure portalı bir gelen kuralı kapsamında değildir. Gelen erişim kurallarını denetleyin.

Yaygın sorunları giderme

Belirti	Olası neden	Mitigation
Dizin oluşturucu zorunlu moda geçtikten sonra başarısız oluyor.	Arama hizmeti kimliğinin veri kaynağı üzerinde bir veri düzlemi rolü yok veya veri kaynağı çevre kapsamında desteklenmiyor.	Arama hizmetinin yönetilen kimlik kullandığını ve veri kaynağında gerekli role sahip olduğunu onaylayın. Desteklenmeyen veri kaynakları için bir giden erişim kuralı ekleyin.
Foundry kaynağına yönelik beceri, vektörleştirici veya etmen tabanlı alma çağrıları reddedilir.	Foundry kaynağı farklı bir çevre içindedir veya arama hizmeti API anahtarlarıyla kimlik doğrulaması yapar, bu nedenle kanal örtük değildir.	Her iki kaynağı da aynı çevreye ekleyin ve yönetilen kimlik kullanın ya da Foundry kaynağının ana bilgisayar adını hedefleyen bir giden FQDN kuralı ekleyin. Daha fazla bilgi için bkz. Outbound access to Microsoft Foundry resources.
Tanılama günlükleri Log Analytics veya Depolama'da görünmez.	Alım gecikmesi veya depolama hesabı çevreyle aynı bölgede değil.	Trafik üretildikten sonra 10 dakika kadar bekleyin, sonra tabloyu sorgulayın NSPAccessLogs veya eşleşen insights-logs-* depolama kapsayıcısını denetleyin. Depolama hesabı bölgesini doğrulayın.
İlke uygulandıktan sonra arama hizmetine portal üzerinden erişim engellenir.	İstemci IP'niz herhangi bir gelen kuralı kapsamında değildir.	İstemci IP'niz için bir gelen erişim kuralı ekleyin veya yapılandırmayı tamamlarken öğrenme moduna geri dönebilirsiniz.

Ağ güvenliği çevre yapılandırmasını görüntüleme ve yönetme

Bir arama hizmetindeki çevre yapılandırmalarını gözden geçirmek ve mutabık hale getirmek için Ağ Güvenliği Çevre Yapılandırması REST API'lerini kullanın.

Örneğin, bir arama hizmetindeki geçerli çevre yapılandırmalarını listeleyin:

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

Yapılandırma perimetreyle senkronize değilse, bir uzlaştırma işlemi başlatın:

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

Arama Yönetimi REST API'lerinin en son kararlı sürümü olan 2025-05-01 REST API sürümünü kullanın. Daha fazla bilgi için bkz. REST API'lerini kullanarak Azure Yapay Zeka Arama hizmetinizi yönetme.

İlgili içerik

• Ağ güvenliği sınır kavramları
• Paylaşılan özel bağlantı üzerinden bağlantılar kurarak dışa dönük bağlantılar yapma
• Yönetilen kimlikleri kullanarak Azure Yapay Zeka Arama bağlan
• Microsoft Foundry'yi ağ güvenlik çevresine ekle
• REST API'lerini kullanarak Azure Yapay Zeka Arama hizmetinizi yönetme
• Azure Yapay Zeka Arama'te Azure rol tabanlı erişim denetimini kullanma