Vytvořte odchozí připojení prostřednictvím sdíleného soukromého propojení

Tento článek vysvětluje, jak nakonfigurovat sdílené privátní propojení pro privátní odchozí připojení z Azure AI Vyhledávač k prostředku Azure běžícímu ve virtuální síti. Pomocí sdíleného privátního propojení se vyhledávací služba připojí k IP adrese virtuální sítě místo veřejného koncového bodu.

Sdílený privátní odkaz je funkce Premium fakturovaná podle využití. Podrobnosti najdete v tématu s cenami služby Azure Private Link.

Požadavky

• Podporovaný prostředek Azure nakonfigurovaný tak, aby běžel ve virtuální síti.

• Služba Azure AI Vyhledávač. Požadavky se liší podle úloh:

  Pracovní zatížení	Požadavky na vrstvu	Požadavky na oblast	Požadavky na vytvoření služby
  Indexátory bez dovedností	Základní a vyšší	Žádný	Žádný
  Sady dovedností s vloženými dovednostmi (integrovaná vektorizace)	Základní a vyšší	Oblasti s vysokou kapacitou	Po 3. dubnu 2024
  Sady dovedností s využitím dalších předdefinovaných nebo vlastních dovedností	Standard 1 (S1) a vyšší	Žádný	Po 3. dubnu 2024
  Znalostní báze volající na Azure OpenAI	Základní a vyšší	Žádný	Žádný

• Role přispěvatele nebo vlastníka ve službě Azure AI Vyhledávač i cílovém prostředku Azure nebo následující konkrétní oprávnění:

  Zdroj	Oprávnění
  Azure AI Vyhledávač	Microsoft.Search/searchServices/sharedPrivateLinkResources/write Microsoft.Search/searchServices/sharedPrivateLinkResources/read Microsoft.Search/searchServices/sharedPrivateLinkResources/operationStatuses/read
  Jiný prostředek Azure	Oprávnění ke schválení připojení privátních koncových bodů Například ve službě Azure Storage potřebujete Microsoft.Storage/storageAccounts/privateEndpointConnectionsApproval/action.

Podporované typy prostředků

Můžete vytvořit sdílený privátní odkaz pro následující prostředky.

¹ Pokud jsou Azure Storage a Azure AI Vyhledávač ve stejné oblasti, vytvoří se připojení k úložišti přes páteřní síť Microsoftu, což znamená, že pro tuto konfiguraci je redundantní sdílené privátní propojení. Pokud jste už ale pro Azure Storage nastavili privátní koncový bod, měli byste také nastavit sdílené privátní propojení nebo připojení se na straně úložiště odmítne. Pokud používáte více formátů úložiště pro různé scénáře hledání, nezapomeňte pro každý dílčí zdroj vytvořit samostatný sdílený privátní odkaz.

² Typ Microsoft.DocumentDB/databaseAccounts prostředku se používá pro připojení indexeru ke službě Azure Cosmos DB for NoSQL. V názvu zprostředkovatele a ID skupiny se rozlišují malá a velká písmena.

³ Typ Microsoft.Sql/servers prostředku se používá pro připojení k databázi Azure SQL. V současné době není k dispozici žádná podpora sdíleného privátního propojení s Azure Synapse SQL.

⁴ Typ Microsoft.Web/sites prostředku se používá pro App Service a Azure Functions. V kontextu služby Azure AI Vyhledávač je nejpravděpodobnějším scénářem funkce Azure. Funkce Azure se běžně používá k hostování logiky vlastní dovednosti. Azure Functions má plány hostování služby Consumption, Premium a Dedicated App Service. App Service Environment (ASE) a Azure Kubernetes Service (AKS) se v tuto chvíli nepodporují. Pro podporu sdíleného privátního propojení pro Azure API Management použijte typ prostředku Microsoft.ApiManagement/service.

⁵ Pokyny najdete v tématu Vytvoření sdíleného privátního propojení pro službu SQL Managed Instance .

⁶ Typ Microsoft.CognitiveServices/accounts prostředku se používá pro vektorizační a indexerová připojení k modelům vkládání Azure OpenAI při implementaci integrované vektorizace. Existuje podpora sdíleného privátního propojení pro podporu multimodálních vkládání azure Vision prostřednictvím prostředků Microsoft Foundry.

⁷ Sdílené privátní propojení pro Azure OpenAI je podporováno pouze ve veřejném cloudu a v Microsoft Azure Government. Ostatní nabídky cloudu nemají podporu sdílených privátních propojení pro openai_account ID skupiny.

⁸ Sdílené privátní propojení jsou podporována pro připojení k prostředkům Foundry. Pro dovednosti prostředků Foundry používané v rozšiřování AI se Azure AI Vyhledávač připojí k prostředku Foundry pro účely fakturace. Tato připojení můžou být privátní prostřednictvím sdíleného privátního propojení, která se podporuje pouze při konfiguraci spravované identity (bez klíče) v definici sady dovedností.

⁹ Sdílené privátní propojení jsou podporována pro připojení k prostředkům Foundry. V případě dovedností modelu hostovaných v Azure, jako je dovednost GenAI, dovednost vkládání Azure OpenAI nebo dovednost Content Understanding, se Azure AI Vyhledávač připojí k prostředku Foundry a provede základní zpracování.

¹⁰ Sdílené privátní propojení je podporováno pro připojení k pracovnímu prostoru OneLake. Pokud chcete vytvořit privateLinkServicesForFabric prostředek specifický pro pracovní prostor, zaregistrujteMicrosoft.Fabric obor názvů pro vaše předplatné a odkažte se na krok 2, jak je uvedeno v dokumentu Create the private link service in Azure. Všimněte si, že při použití sdíleného privátního propojení musí být konfigurace zdroje dat OneLake definována s konkrétním připojovacím řetězcem, jak je uvedeno v dokumentaci k indexeru OneLake.

¹¹ Typ prostředku Microsoft.ApiManagement/service poskytuje privátní připojení k bráně Azure API Management, která zprostředkovává koncové body modelů.

1. Vytvoření sdíleného privátního propojení

K vytvoření sdíleného privátního propojení použijte Azure Portal, rozhraní REST API pro správu, Azure CLI nebo Azure PowerShell.

Tady je několik tipů:

• Pojmenujte privátní propojení smysluplným názvem. V prostředku Azure PaaS se vedle dalších privátních koncových bodů zobrazí sdílený privátní odkaz. Název, například "shared-private-link-for-search", vám může připomenout, jak se používá.

Po dokončení kroků v této části máte sdílený privátní odkaz, který je zřízený ve stavu čekání na vyřízení. Vytvoření odkazu trvá několik minut. Po vytvoření musí vlastník prostředku žádost před provozem schválit.

Get-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name>

New-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name> -Name <spl-name> -PrivateLinkResourceId /subscriptions/<alphanumeric-subscription-ID>/resourceGroups/<storage-resource-group-name>/providers/Microsoft.Storage/storageAccounts/myBlobStorage -GroupId blob -RequestMessage "Please approve"

az search shared-private-link-resource list --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}}

az search shared-private-link-resource create --name {{your-shared-private-link-name}} --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}} --group-id Sql --resource-id "/subscriptions/{{your-subscription-ID}}/{{your-cosmos-db-resource-group}}/providers/Microsoft.DocumentDB/databaseAccounts/{{your-cosmos-db-account-name}}" 

Pracovní postup vytvoření sdíleného privátního propojení

Při 202 Accepted úspěchu se vrátí odpověď. Proces vytvoření odchozího privátního koncového bodu je dlouhotrvající (asynchronní) operace. Zahrnuje nasazení následujících prostředků:

• Privátní koncový bod ve stavu "Pending", který má přidělenou privátní IP adresu. Privátní IP adresa se získá z adresního prostoru, který je přidělen virtuální síti spouštěcího prostředí pro privátní indexer specifický pro vyhledávací službu. Po schválení privátního koncového bodu veškerá komunikace z Azure AI Vyhledávač s prostředkem Azure pochází z privátní IP adresy a zabezpečeného kanálu privátního propojení.

• Privátní DNS zóna na základě typu prostředku a ID skupiny. Nasazením tohoto prostředku zajistíte, že jakékoli vyhledávání DNS na privátní prostředek využívá IP adresu přidruženou k privátnímu koncovému bodu.

2. Schválení připojení privátního koncového bodu

Schválení připojení privátního koncového bodu je uděleno na straně Azure PaaS. Vyžaduje se explicitní schválení vlastníkem prostředku. Následující kroky zahrnují schválení pomocí webu Azure Portal, ale tady jsou některé odkazy pro schválení připojení prostřednictvím kódu programu na straně Azure PaaS:

• Ve službě Azure Storage použijte připojení privátních koncových bodů – Put
• Ve službě Azure Cosmos DB použijte připojení privátního koncového bodu – Vytvoření nebo aktualizace
• V Azure OpenAI použijte připojení privátního koncového bodu – Vytvoření nebo aktualizace
• V Microsoft Onelake použijte privátní koncový bod – Schválit prostřednictvím příkazového řádku nebo privátní koncový bod – Schválit prostřednictvím portálu

Pomocí webu Azure Portal proveďte následující kroky:

1. Otevřete stránku Sítě prostředku Azure PaaS. Text

2. Najděte část se seznamem připojení privátních koncových bodů. Následující příklad je pro účet úložiště.

   

3. Vyberte připojení a pak vyberte Schválit. Aktualizace stavu na webu Azure Portal může trvat několik minut.

   

Po schválení privátního koncového bodu azure AI Search vytvoří potřebná mapování zón DNS v zóně DNS, která je pro ni vytvořená.

I když je odkaz privátního koncového bodu na stránce Sítě aktivní, nepřeloží se.

Výběrem odkazu dojde k chybě. Stavová zpráva s "The access token is from the wrong issuer" a must match the tenant associated with this subscription se zobrazí proto, že Microsoft zřídil prostředek privátního koncového bodu back-endu v tenantovi spravovaném Microsoftem, zatímco propojený prostředek (Azure AI Vyhledávač) je umístěn ve vašem tenantovi. Přístup k prostředku privátního koncového bodu nemůžete získat tak, že vyberete propojení připojení privátního koncového bodu.

Podle pokynů v další části zkontrolujte stav sdíleného privátního propojení.

3. Kontrola stavu sdíleného privátního propojení

Na straně služby Azure AI Vyhledávač můžete potvrdit schválení žádostí tím, že na stránce Sítě vyhledávací služby zkontrolujete stránku sdíleného privátního přístupu. Stav připojení by měl být schválen.

Další možností je získat stav připojení pomocí prostředků sdíleného privátního propojení – Get.

az rest --method get --uri https://management.azure.com/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso/providers/Microsoft.Search/searchServices/contoso-search/sharedPrivateLinkResources/blob-pe?api-version=2025-05-01

Vrátí se json, kde se stav připojení zobrazí jako stav v části Vlastnosti. Následuje příklad účtu úložiště.

{
      "name": "blob-pe",
      "properties": {
        "privateLinkResourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso/providers/Microsoft.Storage/storageAccounts/contoso-storage",
        "groupId": "blob",
        "requestMessage": "please approve",
        "status": "Approved",
        "resourceRegion": null,
        "provisioningState": "Succeeded"
      }
}

Pokud je stav zřizování (properties.provisioningState) prostředku úspěšný a stav připojení (properties.status) je Schváleno, znamená to, že sdílený prostředek privátního propojení je funkční a indexer je možné nakonfigurovat tak, aby komunikoval přes privátní koncový bod.

4. Konfigurace indexeru pro spuštění v privátním prostředí

Provádění indexeru probíhá buď v soukromém prostředí, které je specifické pro vyhledávací službu, nebo v multitenantním prostředí, které se používá interně k odlehčení nákladného zpracování sady dovedností pro více zákazníků.

Spouštěcí prostředí je transparentní, ale jakmile začnete vytvářet pravidla brány firewall nebo navazovat privátní připojení, musíte vzít v úvahu spuštění indexeru. U privátního připojení nakonfigurujte spuštění indexeru tak, aby se vždy spouštěl v privátním prostředí.

V tomto kroku se dozvíte, jak nakonfigurovat indexer tak, aby běžel v privátním prostředí pomocí rozhraní REST API. Spouštěcí prostředí můžete také nastavit pomocí editoru JSON na webu Azure Portal.

1. Vytvořte definici, index a sadu dovedností zdroje dat (pokud ji používáte) jako obvykle. V žádné z těchto definic nejsou žádné vlastnosti, které se při použití sdíleného privátního koncového bodu liší.

2. Vytvořte indexer , který odkazuje na zdroj dat, index a sadu dovedností, které jste vytvořili v předchozím kroku. Kromě toho vynutit, aby indexer běžel v privátním spouštěcím prostředí nastavením vlastnosti konfigurace indexeru executionEnvironment na private.

   {
       "name": "indexer",
       "dataSourceName": "blob-datasource",
       "targetIndexName": "index",
       "parameters": {
           "configuration": {
               "executionEnvironment": "private"
           }
       },
       "fieldMappings": []
   }
   

Po úspěšném vytvoření indexeru by se měl připojit k prostředku Azure přes připojení privátního koncového bodu. Stav indexeru můžete monitorovat pomocí rozhraní API stavu indexeru.

5. Otestování sdíleného privátního propojení

1. Pokud jste to ještě neudělali, ověřte, že váš prostředek Azure PaaS odmítne připojení z veřejného internetu. Pokud jsou připojení přijata, zkontrolujte nastavení DNS na stránce Sítě vašeho prostředku Azure PaaS.

2. Zvolte nástroj, který může vyvolat scénář odchozích požadavků, například připojení indexeru k privátnímu koncovému bodu. Jednoduchou volbou je použití průvodce importem, ale můžete také vyzkoušet klienta REST a rozhraní REST API pro větší přesnost. Za předpokladu, že vyhledávací služba není nakonfigurovaná také pro privátní připojení, může být připojení klienta REST ke vyhledávání přes veřejný internet.

3. Nastavte připojovací řetězec na privátní prostředek Azure PaaS. Formát připojovacího řetězce se u sdíleného privátního propojení nezmění. Vyhledávací služba interně vyvolá sdílený privátní odkaz.

   Pro úlohy indexeru je připojovací řetězec v definici zdroje dat. Příklad zdroje dat může vypadat takto:

    {
      "name": "my-blob-ds",
      "type": "azureblob",
      "subtype": null,
      "credentials": {
        "connectionString": "DefaultEndpointsProtocol=https;AccountName=<YOUR-STORAGE-ACCOUNT>;AccountKey=..."
      }
   

4. U úloh indexeru nezapomeňte nastavit spouštěcí prostředí v definici indexeru. Příklad definice indexeru může vypadat takto:

   "name": "indexer",
   "dataSourceName": "my-blob-ds",
   "targetIndexName": "my-index",
   "parameters": {
      "configuration": {
          "executionEnvironment": "private"
          }
      },
   "fieldMappings": []
   }
   

5. Spusťte indexer. Pokud se spuštění indexeru úspěšně spustí a index vyhledávání se naplní, funguje sdílený privátní odkaz.

Kdy použít sdílený privátní odkaz

Azure AI Vyhledávač provádí odchozí volání do jiných prostředků Azure v následujících scénářích:

• Připojení znalostní báze k Azure OpenAI pro pracovní postupy načítání agentů
• Indexování nebo připojení dotazů k Azure OpenAI nebo Azure Vision ve Foundry Tools pro vektorizaci
• Připojení indexeru k podporovaným zdrojům dat
• Připojení indexeru (sady dovedností) k Azure Storage pro ukládání obohacení do mezipaměti nebo zápis do úložiště znalostí
• Připojení indexera (modulu dovedností) k nástrojům Foundry pro účely fakturace
• Požadavky šifrovacího klíče do služby Azure Key Vault
• Vlastní požadavky na dovednosti pro Azure Functions nebo podobný prostředek

Sdílené privátní propojení fungují jenom pro připojení Azure-to-Azure. Pokud se připojujete k OpenAI nebo jinému poskytovateli externího modelu, musí být připojení přes veřejný internet.

Sdílené privátní propojení jsou určené pro operace a data přístupná prostřednictvím privátního koncového bodu pro prostředky Azure nebo klienty, kteří běží ve virtuální síti Azure.

Sdílený privátní odkaz je:

• Vytvořeno pomocí nástrojů, API nebo SDK Azure AI Vyhledávač
• Schváleno vlastníkem prostředku Azure
• Azure AI Vyhledávač interně používá privátní připojení ke konkrétnímu prostředku Azure.

Privátní propojení, která vytvoří, může používat pouze vaše vyhledávací služba a pro každou kombinaci prostředků a podsourců může být ve službě vytvořeno pouze jedno sdílené privátní propojení.

Jakmile nastavíte privátní propojení, použije se automaticky při každém připojení vyhledávací služby k danému prostředku. Připojovací řetězec nemusíte upravovat ani měnit klienta, který používáte k vydávání požadavků, i když se zařízení používané pro připojení musí připojit pomocí autorizované IP adresy v bráně firewall prostředku Azure.

Existují dva scénáře společného používání služby Azure Private Link a Azure AI Vyhledávač:

• Scénář 1: Vytvoření sdíleného privátního propojení , když odchozí připojení (indexer nebo znalostní báze) k Azure vyžaduje privátní připojení. Tento scénář je popsaný v tomto článku.

• Scénář 2: Nakonfigurujte hledání privátního příchozího připojení z klientů, kteří běží ve virtuální síti.

I když oba scénáře jsou závislé na službě Azure Private Link, jsou nezávislé. Sdílený privátní odkaz můžete vytvořit bez konfigurace vyhledávací služby pro privátní koncový bod.

Omezení

Při vyhodnocování sdílených privátních propojení pro váš scénář mějte na paměti tato omezení:

• Několik typů prostředků používaných ve sdíleném privátním propojení je ve verzi Preview. Pokud se připojujete k prostředku verze Preview (Azure Database for MySQL nebo Azure SQL Managed Instance), vytvořte sdílený privátní odkaz pomocí verze Preview rozhraní REST API pro správu. Doporučujeme nejnovější verzi rozhraní API ve verzi Preview.

• Spuštění indexeru musí používat privátní spouštěcí prostředí , které je specifické pro vaši vyhledávací službu. Připojení privátního koncového bodu nejsou podporována v prostředí pro zpracování obsahu s více tenanty. Nastavení konfigurace pro tento požadavek je popsáno v tomto článku.

• Limity prostředků sdíleného privátního propojení se liší podle cenové úrovně.

• Ladicí relace nepodporují sdílené privátní odkazy. Pokud vaše vyhledávací služba používá připojení k privátnímu koncovému bodu, nemůžete s ním spouštět ladicí relace. Alternativní řešení najdete v tématu Ladicí relace a privátní připojení.

• Když změníte cenovou úroveň, vyhodnotí se prostředky sdíleného privátního propojení na základě limitů cílové úrovně. Pokud počet sdílených privátních propojení překročí maximální hodnotu cílové úrovně, změna úrovně se zablokuje. Pokud je změna úrovně úspěšná, existující sdílené prostředky privátního propojení se znovu nevytvoří a nevyžadují opětovné obnovení. Připojení privátního indexeru bude fungovat i po návratu vyhledávací služby do stavu úspěšného zřizování a stavu Spuštěno za předpokladu, že stav zřizování sdíleného privátního propojení zůstane úspěšný a stav připojení zůstane Schválený.

Řešení potíží

• Pokud vytvoření indexeru selže s chybou Přihlašovací údaje ke zdroji dat jsou neplatné, před laděním připojení zkontrolujte stav schválení sdíleného privátního propojení. Pokud je stav Approved, zkontrolujte vlastnost properties.provisioningState. Pokud ano Incomplete, může se jednat o problém se základními závislostmi. V takovém případě znovu odešlete žádost PUT ke znovuvytvoření sdíleného privátního propojení. Možná budete muset tento krok schválení zopakovat.

• Pokud indexery selžou konzistentně nebo přerušovaně, zkontrolujte executionEnvironment vlastnost indexeru. Hodnota by měla být nastavena na private. Pokud jste tuto vlastnost nenastavili a indexer běžel úspěšně v minulosti, je to proto, že vyhledávací služba použila soukromé prostředí z vlastní vůle. Pokud je systém zatížený, vyhledávací služba přesune zpracování z víceklientských prostředí.

• Pokud při vytváření sdíleného privátního propojení dojde k chybě, zkontrolujte limity služeb a ověřte, že jste v rámci kvóty pro vaši úroveň.

Další kroky

Další informace o privátních koncových bodech a dalších metodách zabezpečeného připojení:

• Řešení potíží se sdílenými prostředky privátního propojení
• Co jsou privátní koncové body?
• Konfigurace DNS potřebné pro privátní koncové body
• Přístup indexeru k obsahu chráněnému funkcemi zabezpečení sítě Azure