Připojení k Azure AI Vyhledávač pomocí rolí

Poznámka:

Azure AI Vyhledávač je k dispozici prostřednictvím portálu Azure, rozhraní REST API a Sady Azure SDK. Podporuje také Foundry IQ, spravovanou znalostní vrstvu, která transformuje podnikový obsah na opakovaně použitelné znalostní báze s podporou oprávnění pro agenty na portálu Microsoft Foundry.

Azure AI Vyhledávač podporuje řízení přístupu na základě rolí prostřednictvím Microsoft Entra ID. Přístup na základě role je volitelný, ale doporučuje se. Alternativou je ověřování založené na klíčích, což je výchozí nastavení.

Pokud k objektu zabezpečení přiřadíte více rolí, zkombinují se oprávnění. Přiřazení rolí platí pro všechny nástroje a klientské knihovny.

Tento článek vysvětluje, jak přiřadit předdefinované role pro správu služeb, vývoj a přístup k dotazům a načítání jen pro čtení. Poskytuje také kroky pro vytváření vlastních rolí a testování přiřazení rolí.

Návod

Požadavky

Předdefinované role

Role jsou kolekce oprávnění, která ovlivňují řídicí rovinu nebo rovinu dat:

  • Řídicí rovina: Operace zřizování, konfigurace a správy služeb Operace řídicí roviny zahrnují vytváření nebo odstraňování vyhledávacích služeb, výpis klíčů rozhraní API a správu nastavení sítě a ověřování. K dispozici prostřednictvím rozhraní REST API Azure Resource Manager, Search Management REST API a ekvivalentních klientských knihoven Azure SDK.

  • Rovina dat: Operace proti koncovému bodu služby vyhledávání Operace roviny dat spadají do dvou kategorií: správa objektů a přístup k obsahu. K dispozici prostřednictvím rozhraní REST API služby Search a ekvivalentních klientských knihoven Azure SDK.

Popisy rolí

Následující předdefinované role uděluje oprávnění Azure AI Vyhledávač. Role v řídicí rovině jsou vždy dostupné, zatímco role v rovině dat vyžadují povolení přístupu založeného na rolích ve vaší vyhledávací službě. Předdefinované role můžete kombinovat pro širší přístup nebo vytvořit vlastní roli s konkrétními oprávněními, která potřebujete.

Role Letadlo Popis
Vlastník Ovládací prvek
  • Úplný přístup k rovině řízení, včetně možnosti přiřazovat role a měnit nastavení ověřování.
  • Správci předplatného mají tuto roli ve výchozím nastavení.
  • Může spravovat klíče rozhraní API.
  • Nelze vytvářet vyhledávací objekty, načítat dokumenty, indexy dotazů ani načítat ze znalostních bází.
Přispěvatel Ovládací prvek
  • Stejná úroveň přístupu ke kontrolní rovině jako vlastník, vyjma možnosti přiřazovat role.
Čtenář Ovládací prvek
  • Přístup k řídicí rovině jen pro čtení
  • Může zobrazit metriky služby a definice objektů.
  • Nemůžete zobrazit ani spravovat klíče rozhraní API, načítat dokumenty, indexy dotazů ani načítat ze znalostních bází.
Přispěvatel vyhledávací služby Řízení a data
  • Úplný přístup k řídicí rovině. Přístup k rovině dat je omezený na správu objektů.
  • Může vytvářet indexy, indexery, sady dovedností, znalostní báze a další vyhledávací objekty.
  • Může získat klíče API pro správu a dotazy pomocí operací řídicí roviny.
  • Nelze načíst dokumenty, indexy dotazů nebo načíst z znalostních bází přímo prostřednictvím přístupu na základě role.
  • Úplný seznam oprávnění viz Microsoft.Search/searchServices/*.
Přispěvatel dat indexu vyhledávání Údaje
  • Přístup k obsahu pro čtení i zápis.
  • Může načítat dokumenty, indexy dotazů a načítat z znalostních bází.
  • Nelze upravovat definice objektů ani načítat klíče správce.
Čtečka dat vyhledávacího indexu Údaje
  • Přístup k obsahu jen pro čtení
  • Může dotazovat indexy a načítat z znalostních bází.
  • Nelze načíst dokumenty, upravit definice objektů nebo načíst klíče správce.

Důležité

  • Vlastník, Přispěvatel a Přispěvatel vyhledávacích služeb můžou načítat klíče správce, které poskytují úplný přístup pro čtení i zápis do roviny dat. Udělte tyto role jenom důvěryhodným uživatelům.
  • Ve výchozím nastavení se role roviny dat vztahují na všechny indexy ve vyhledávací službě. Pokud chcete nastavit obor Přispěvatel dat indexu vyhledávání nebo Čtenář dat indexu vyhledávání na jeden index, přečtěte si téma Udělení přístupu k jednomu indexu.

Souhrn oprávnění

Pomocí následující tabulky rychle zjistíte, která role poskytuje potřebná oprávnění.

Povolení Vlastník/přispěvatel Čtenář Přispěvatel vyhledávací služby Přispěvatel dat do vyhledávacího indexu Čtečka dat vyhledávacího indexu
Vytvoření a konfigurace služeb Azure AI Vyhledávač ✅ ❌ ✅ ❌ ❌
Přístup ke službě na portálu Azure ✅ ✅ ✅ ❌ ❌
Zobrazení vlastností služby, metrik a koncového bodu ✅ ✅ ✅ ❌ ❌
Výpis všech objektů ve službě ✅ ✅ ✅ ❌ ❌
Kvóty přístupu a statistiky služeb ✅ ❌ ✅ ❌ ❌
Zobrazení, kopírování a opětovné vygenerování klíčů ✅ ❌ ✅ ❌ ❌
Nastavení možností ověřování ✅ ❌ ✅ ❌ ❌
Zobrazení rolí, zásad a definic ✅ ✅ ✅ ❌ ❌
Konfigurace zabezpečení sítě a privátních připojení ✅ ❌ ✅ ❌ ❌
Vytváření, spouštění a správa vyhledávacích objektů 1 ❌ ❌ ✅ ❌ ❌
Nahrání dat pro indexování 2 ❌ ❌ ❌ ✅ ❌
Dotazování indexu ❌ ❌ ❌ ✅ ✅
Načtení ze znalostní báze ❌ ❌ ❌ ✅ ✅
Obejít filtry oprávnění pomocí čtení se zvýšenými oprávněními (Preview) ❌ ❌ ❌ ✅ ❌

1 Zahrnuje indexy, indexery, zdroje dat, sady dovedností, aliasy, mapy synonym, ladicí relace, znalostní báze a zdroje znalostí. Indexery také podporují operace spuštění a resetování.

2 Vlastník nebo Přispěvatel může spustit Průvodce importem dat a vytvářet a načítat indexy, i když nemůžou nahrávat dokumenty v jiných klientech. Podobně indexery můžou zapisovat do libovolného indexu vyhledávací služby bez ohledu na přiřazení rolí jednotlivých indexů. V obou případech vyhledávací služba (nikoli uživatel) provádí akce roviny dat pomocí svých oprávnění Microsoft.Search/searchServices/indexes/documents/*.

Přiřaďte integrované role

V této části přiřadíte role pro:

Přiřazení rolí pro správu služeb

Následující role umožňují vytvářet, konfigurovat a spravovat vyhledávací službu. Tyto role jsou hierarchické, takže vyberte jednu na základě požadované úrovně přístupu.

Role ID
Vlastník 8e3af657-a8ff-443c-a75c-2fe8c4bcb635
Přispěvatel b24988ac-6180-42a0-ab88-20f7382dd24c
Čtenář acdd72a7-3385-48ef-bd42-f606fba81ae7

  1. Přejděte do vyhledávací služby na portálu Azure.

  2. V levém podokně vyberte Řízení přístupu (IAM).

  3. Vyberte , přidejte,>,, přidejte přiřazení role.

    Snímek obrazovky se stránkou Řízení přístupu (IAM) pro přiřazování rolí správy služeb

  4. Vyberte roli: Vlastník, Přispěvatel nebo Čtenář.

  5. Na kartě Members vyberte Microsoft Entra identitu uživatele nebo skupiny. Pokud nastavujete oprávnění pro jinou službu Azure, vyberte spravovanou identitu přiřazenou systémem nebo přiřazenou uživatelem.

  6. V záložce Zkontrolovat a přiřadit vyberte Zkontrolovat a přiřadit pro přiřazení role.

Přiřaďte role pro vývoj

Následující role umožňují vytvářet vyhledávací objekty, načítat dokumenty, indexy dotazů a načítat z znalostních bází. Přiřaďte všechny tři role, abyste pokryli celý rozsah úloh vývoje.

Role ID
Přispěvatel vyhledávací služby 7ca78c08-252a-4471-8644-bb5ff32d4ba0
Přispěvatel dat indexu vyhledávání 8ebe5a00-799e-43f5-93ac-243d3dce84a7
Čtečka dat vyhledávacího indexu 1407120a-92aa-4202-b7e9-c0e197c71c8f

  1. Přejděte do vyhledávací služby na portálu Azure.

  2. V levém podokně vyberte Řízení přístupu (IAM).

  3. Vyberte , přidejte,>,, přidejte přiřazení role.

    Snímek obrazovky se stránkou Řízení přístupu (IAM) pro přiřazování vývojových rolí

  4. Vyberte Přispěvatel vyhledávací služby.

  5. Na kartě Members vyberte Microsoft Entra identitu uživatele nebo skupiny. Pokud nastavujete oprávnění pro jinou službu Azure, vyberte spravovanou identitu přiřazenou systémem nebo přiřazenou uživatelem.

  6. V záložce Zkontrolovat a přiřadit vyberte Zkontrolovat a přiřadit pro přiřazení role.

  7. Opakováním tohoto postupu přiřaďte Přispěvatel dat indexu vyhledávání a Čtečku dat indexu vyhledávání.

Přiřaďte role pro přístup pouze pro čtení

Pro aplikace a procesy, které potřebují jen přístup pro čtení k indexům a znalostním bázím, použijte následující roli. Mezi podporované operace patří vyhledávání, vyhledávání, automatické dokončování a návrhy indexů a načítání znalostních bází.

Role ID
Čtečka dat vyhledávacího indexu 1407120a-92aa-4202-b7e9-c0e197c71c8f

  1. Přejděte do vyhledávací služby na portálu Azure.

  2. V levém podokně vyberte Řízení přístupu (IAM).

  3. Vyberte , přidejte,>,, přidejte přiřazení role.

    Snímek obrazovky se stránkou Řízení přístupu (IAM) pro přiřazení rolí přístupu k datům jen pro čtení

  4. Vyberte roli Čtenář dat indexu vyhledávání .

  5. Na kartě Members vyberte Microsoft Entra identitu uživatele nebo skupiny. Pokud nastavujete oprávnění pro jinou službu Azure, vyberte spravovanou identitu přiřazenou systémem nebo přiřazenou uživatelem.

  6. V záložce Zkontrolovat a přiřadit vyberte Zkontrolovat a přiřadit pro přiřazení role.

Test přiřazení rolí

K otestování přiřazení rolí použijte klienta. Mějte na paměti, že role jsou kumulativní. Zděděné role, které jsou vymezeny na úroveň předplatného nebo skupiny prostředků na úrovni prostředku (vyhledávací služby), nemůžete odstranit ani odepřít.

Než budete pokračovat, nakonfigurujte aplikaci pro připojení bez klíčů a dejte přiřazené role.

  1. Přejděte do vyhledávací služby na portálu Azure.

  2. V levém podokně vyberteSpráva vyhledávání>Indexy a otestujte oprávnění související s indexy:

    • Přispěvatelé vyhledávací služby můžou vytvářet, upravovat a odstraňovat vyhledávací objekty, ale nemůžou načítat dokumenty ani spouštět dotazy. Pokud chcete ověřit oprávnění, vytvořte vyhledávací index.

    • Přispěvatelé dat indexu vyhledávání můžou načítat dokumenty. Na portálu Azure neexistuje žádná možnost načtení dokumentů mimo průvodce importem dat, ale můžete resetovat a spustit indexer, abyste potvrdili oprávnění k načítání dokumentů.

    • Čtenáři dat indexu vyhledávání můžou zadávat dotazy na indexy. K ověření oprávnění použijte Průzkumníka služby Search. Měli byste být schopni odesílat dotazy a zobrazovat výsledky, ale neměli byste být schopni zobrazit definice indexu ani vytvářet indexy.

Udělení přístupu k jednomu indexu

V některých scénářích můžete chtít omezit přístup aplikace k jednomu prostředku, například indexu.

Portál Azure v současné době nepodporuje přiřazení rolí na úrovni indexu. Pomocí Azure CLI, PowerShellu nebo rozhraní REST API přiřaďte role vymezené jednomu indexu.

Rozsah na index a operace indexátoru

Přiřazení rolí pro index se vztahují pouze na přímé operace rozhraní API, jako jsou dotazy nebo nahrání dokumentů od uživatelů nebo aplikací. Indexery nejsou omezeny oprávněními jednotlivých indexů, protože pracují s přihlašovacími údaji na úrovni služby.

Uživatel s rolí Přispěvatel vyhledávací služby může vytvářet indexery, které zapisují do libovolného indexu vyhledávací služby, a to i indexy, kde daný uživatel nemá přiřazenou roli pro každý index.

Pro striktní izolaci dat mezi indexy zvažte tyto přístupy:

  • Pro týmy nebo uživatele, kteří vyžadují izolaci na úrovni indexu, použijte samostatné vyhledávací služby.
  • Přiřaďte přispěvatele vyhledávací služby jenom správcům, kteří spravují indexery.
  • Pomocí řízení přístupu na úrovni dokumentu s filtry zabezpečení omezte výsledky dotazů v rámci sdíleného indexu.

Vytvoření vlastní role

Pokud předdefinované role neposkytují správnou kombinaci oprávnění, můžete vytvořit vlastní roli pro podporu požadovaných operací.

Následující příklady naklonují čtečku dat indexu vyhledávání a pak přidají možnost vypsat indexy podle názvu. Za normálních okolností je výpis indexů ve vyhledávací službě považován za práva správce.

  1. Přihlaste se k portálu Azure a přejděte do vyhledávací služby.

  2. V levém podokně vyberte Řízení přístupu (IAM).

  3. Na kartě Role vyhledejte čtenář dat indexu vyhledávání nebo jinou roli, vyberte tři tečky (...) a pak vyberte Klonovat.

  4. Na kartě Basics zadejte název vlastní role, například "Vyhledávací index Data Explorer" a pak vyberte Dalši.

  5. Na kartě Oprávnění vyberte Přidat oprávnění.

  6. V podokně Přidat oprávnění vyberte dlaždici Microsoft Search.

  7. V horní části vyberte Akce a nastavte následující oprávnění:

    • V části Microsoft.Search/operations vyberte Číst: Vypsat všechny dostupné operace.
    • V části Microsoft.Search/searchServices/indexes vyberte Read: Read Index.

  8. Přepněte na Data Actions v horní části a v části Microsoft.Search/searchServices/indexes/documents vyberte Read: Read Documents.

    Definice JSON vypadá jako v následujícím příkladu:

    {
    "properties": {
        "roleName": "Search Index Data Explorer",
        "description": "List all indexes on the service and query them.",
        "assignableScopes": [
            "/subscriptions/<subscription>/resourceGroups/<resource-group>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Search/operations/read",
                    "Microsoft.Search/searchServices/indexes/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Search/searchServices/indexes/documents/read"
                ],
                "notDataActions": []
            }
        ]
    }
}

  9. Výběrem Přidat zavřete podokno.

  10. Výběrem možnost Zkontrolovat a vytvořit vytvořte roli.

    Teď můžete k roli přiřadit uživatele a skupiny. Další informace o těchto krocích najdete v tématu Vytvoření nebo aktualizace vlastních rolí Azure pomocí portálu Azure.

Vytvořte zásady podmíněného přístupu

Pokud potřebujete vynutit zásady organizace, jako je vícefaktorové ověřování, použijte Microsoft Entra Podmíněný přístup.

Vytvoření zásady podmíněného přístupu pro Azure AI Vyhledávač:

  1. Přihlaste se k portálu Azure.

  2. Vyhledejte Microsoft Entra Podmíněný přístup.

  3. Na stránce Přehled vyberte Vytvořit novou zásadu.

  4. V části Cloudové aplikace nebo akce přidejte Azure AI Vyhledávač jako cloudovou aplikaci podle toho, jak chcete zásady nastavit.

  5. Aktualizujte zbývající parametry zásad. Zadejte například, na které uživatele a skupiny se zásady vztahují.

  6. Zásady uložte.

Důležité

Pokud má vaše vyhledávací služba přiřazenou spravovanou identitu, zobrazí se konkrétní vyhledávací služba jako cloudová aplikace. Výběr dané vyhledávací služby ale danou politiku nevynucuje. Místo toho vyberte obecnou cloudovou aplikaci Azure AI Vyhledávač a použijte zásady podmíněného přístupu pro vyhledávací službu.

Troubleshooting

Při vývoji aplikací, které používají řízení přístupu na základě role k ověřování, se můžou vyskytnout některé běžné problémy:

  • Výchozí konfigurace vyhledávací služby je ověřování založené na klíčích. Pokud toto nastavení nezměníte nařízení přístupu na obě nebo na základě role, budou všechny žádosti, které používají ověřování na základě role, automaticky odepřeny bez ohledu na příslušná oprávnění.

  • Pokud váš požadavek obsahuje klíč rozhraní API spolu s přihlašovacími údaji založenými na rolích, služba se ověří pomocí klíče. Odeberte klíč rozhraní API z hlaviček požadavků, aby bylo možné použít ověřování na základě role.

  • Pokud autorizační token pochází ze spravované identity a nedávno jste přiřadili příslušná oprávnění, může trvat několik hodin , než se přiřazení oprávnění projeví.

  • Pokud dotazy s oprávněními na úrovni dokumentu nevrací očekávané výsledky, použijte Přispěvatel dat indexu vyhledávání nebo vytvořte vlastní roli se zvýšenými oprávněními (Preview) k prozkoumání.

Další krok

Tento článek vysvětluje, jak přiřadit role pro řízení a operace roviny dat na Azure AI Vyhledávač. Komplexní pokyny k přidání přístupu na základě role do kódu aplikace:

Připojte aplikaci k Azure AI Vyhledávač pomocí identit uživatelů

  • Poslední aktualizace v