IP-tűzfalszabályok konfigurálása az Indexelők Azure AI Keresésből való kapcsolatainak engedélyezéséhez

Megjegyzés

Azure AI Keresés a Azure portálon, REST API-kon és Azure SDK-k keresztül érhető el. Emellett a Foundry IQ-t is támogatja, amely a vállalati tartalmakat újrafelhasználható, engedélytudatos tudásbázisokká alakítja át az Microsoft Foundry portálon található ügynökök számára.

Az Azure AI Keresés külső, kimenő hívásokat indít az indexelő feldolgozása során a tartalomra és képességekre, valamint az ügynöki alapú lekérési kérelmekre vonatkozóan, amelyek nagy nyelvi modellek (LLM-ek) hívásait is tartalmazzák. Ha a cél Azure-erőforrás IP-tűzfalszabályokat használ a bejövő hívások szűréséhez, létre kell hoznia egy bejövő szabályt a tűzfalon, amely fogadja az Azure AI Kereséstől érkező kéréseket.

Ez a cikk bemutatja, hogyan keresheti meg a keresési szolgáltatás IP-címét, és hogyan konfigurálhat bejövő IP-szabályt egy Azure Storage-fiókon. Ez a módszer a Azure Storage jellemzően olyan más Azure erőforrások esetében is működik, amelyek IP-tűzfalszabályokat használnak az adathozzáféréshez, például Azure Cosmos DB, Azure SQL és egyéni képességeket üzemeltető függvényalkalmazásokhoz.

Előfeltételek

  • Azure AI Keresés szolgáltatás (alapszintű vagy magasabb). Az ingyenes szinten nem állíthat be tűzfalszabályokat.
  • Egy tűzfallal védett célzott meglévő Azure-erőforrás.
  • Közreműködői vagy tulajdonosi szerepkör a keresési szolgáltatásban.

Megjegyzés

  • Csak az Azure Storage-ra vonatkozik. Az IP-tűzfalszabályok meghatározásához a tárfióknak és a keresési szolgáltatásnak különböző régiókban kell lennie. Ha a beállítás nem engedélyezi a különböző régiókat, próbálja meg inkább a megbízható szolgáltatáskivételt vagy erőforráspéldány-szabályt .

  • Az indexelők és bármely támogatott Azure-erőforrás közötti privát kapcsolatok esetében javasoljuk, hogy állítson be egy megosztott privát hivatkozást. A privát kapcsolatok a Microsoft gerinchálózatán haladnak át, és teljesen megkerülik a nyilvános internetet.

Keresési szolgáltatás IP-címének lekérése

  1. Nyissa meg a keresési szolgáltatást az Azure Portalon.

  2. A bal oldali panelen válassza az Áttekintés lehetőséget.

  3. Másolja ki a keresési szolgáltatás teljes tartománynevét (FQDN), amelynek így kell kinéznie my-search-service.search.windows.net.

    Képernyőkép a keresési szolgáltatás áttekintési oldaláról.

  4. Keresse meg a keresési szolgáltatás IP-címét úgy, hogy egy nslookup (vagy egy ping) parancsot hajt végre a teljesen minősített tartománynevére (FQDN) egy parancssorban. Távolítsa el az https:// előtagot.

  5. Másolja ki a következő lépésben használni kívánt IP-címet. Az alábbi példában a másolt IP-cím a következő 150.0.0.1.

    nslookup my-search-service.search.windows.net
Server:  server.example.org
Address:  10.50.10.50

Non-authoritative answer:
Name:    <name>
Address:  150.0.0.1
aliases:  my-search-service.search.windows.net

    A "Nem mérvadó válasz" mező IP-címe (ebben a Address példában a 150.0.0.1) a tűzfalszabályhoz szükséges érték.

Hozzáférés engedélyezése az ügyfél IP-címéről

Azoknak az ügyfélalkalmazásoknak, amelyek indexelési és lekérdezési kérelmeket küldenek a keresési szolgáltatásnak, IP-tartományban kell ábrázolódniuk. Az Azure-ban általában egy szolgáltatás teljes tartománynevének pingelésével határozhatja meg az IP-címet. Például ping <your-search-service-name>.search.windows.net egy keresési szolgáltatás IP-címét adja vissza.

Adja hozzá az ügyfél IP-címét, hogy engedélyezze a szolgáltatás elérését az Azure Portalról az aktuális számítógépen.

  1. Az Azure Portalon válassza ki a keresési szolgáltatást.

  2. A bal oldali panelen válassza a Beállítások>hálózatkezelés lehetőséget.

  3. A Tűzfal és a virtuális hálózatok lapon állítsa be a nyilvános hálózati hozzáférésta kiválasztott IP-címekre.

    Képernyőkép az Azure Portal kiválasztott IP-címéről a nyilvános hálózati hozzáférés engedélyezésének lehetőségéről.

  4. Az IP-tűzfal területen válassza az Ügyfél IP-címének hozzáadása lehetőséget.

    Képernyőkép az ügyfél IP-címének az Azure Portalon való hozzáadásáról.

  5. Mentse a módosításokat.

Ip-címek lekérése az "AzureCognitiveSearch" szolgáltatáscímkéhez

Létre kell hoznia egy bejövő szabályt is, amely lehetővé teszi a több-bérlős végrehajtási környezetből érkező kéréseket. Ezt a környezetet a Microsoft felügyeli, és olyan intenzív feladatok kiszervezésére szolgál, amelyek egyébként túlterhelhetik a keresési szolgáltatást. Ez a szakasz bemutatja, hogyan szerezheti be a bejövő szabály létrehozásához szükséges IP-címek tartományát.

Minden olyan régióhoz meg van határozva EGY IP-címtartomány, amely támogatja az Azure AI Keresés szolgáltatást. Adja meg a teljes tartományt a több-bérlős végrehajtási környezetből származó kérések sikerességének biztosításához.

Ezt az IP-címtartományt a AzureCognitiveSearch szolgáltatáscímkéből szerezheti be.

  1. Használja a felderítési API-t vagy a letölthető JSON-fájlt. Ha a keresési szolgáltatás az Azure Nyilvános felhő, töltse le az Azure Public JSON-fájlt.

  2. Nyissa meg a JSON-fájlt, és keressen rá az "AzureCognitiveSearch" kifejezésre. A WestUS2 keresési szolgáltatásában a több-bérlős indexelő végrehajtási környezetének IP-címei a következők:

    {
"name": "AzureCognitiveSearch.WestUS2",
"id": "AzureCognitiveSearch.WestUS2",
"properties": {
   "changeNumber": 1,
   "region": "westus2",
   "regionId": 38,
   "platform": "Azure",
   "systemService": "AzureCognitiveSearch",
   "addressPrefixes": [
      "20.42.129.192/26",
      "40.91.93.84/32",
      "40.91.127.116/32",
      "40.91.127.241/32",
      "51.143.104.54/32",
      "51.143.104.90/32",
      "2603:1030:c06:1::180/121"
   ],
   "networkFeatures": null
}
},

    Másolja ki a régió tömbjének addressPrefixes összes IP-címét.

  3. Az "/32" utótaggal rendelkező IP-címek esetén a szabálydefinícióban el kell hagyni a "/32" részt (például: 40.91.93.84/32 esetén ez 40.91.93.84 lesz). Az összes többi IP-cím szó szerint használható.

  4. Másolja ki a régió összes IP-címét.

IP-címek hozzáadása IP-tűzfalszabályokhoz

A szükséges IP-címek lekérése után állítsa be a bejövő szabályokat. Az IP-címtartományok a tárfiók tűzfalszabályához való hozzáadásának legegyszerűbb módja az Azure Portalon keresztül.

  1. Az Azure Portalon válassza ki a tárfiókot.

  2. A bal oldali panelen válassza a Biztonság + hálózatkezelés>lehetőséget.

  3. A Nyilvános hozzáférés lapon válassza a Kezelés lehetőséget.

    Képernyőkép az Azure Portalon a nyilvános hálózati hozzáférés kezelésére szolgáló gombról.

  4. A Nyilvános hálózat hozzáférési hatóköre területen válassza az Engedélyezés lehetőséget a kiválasztott hálózatok közül.

    Képernyőkép a kiválasztott hálózatokról az Azure Portalon való hozzáférés engedélyezésének lehetőségéről.

  5. Adja hozzá a korábban beszerzett IP-címeket, majd válassza a Mentés lehetőséget. Rendelkeznie kell a keresési szolgáltatásra, az Azure Portalra (nem kötelező) vonatkozó szabályokkal, valamint a régióhoz tartozó "AzureCognitiveSearch" szolgáltatáscímkéhez tartozó összes IP-címmel.

    A tűzfalszabályok frissítése öt-tíz percet is igénybe vehet. A frissítés után az indexelők hozzáférhetnek a tárfiókok adataihoz a tűzfal mögött.

Hálózati biztonság kiegészítése jogkivonat-hitelesítéssel

A tűzfalak és a hálózati biztonság az adatokhoz és műveletekhez való jogosulatlan hozzáférés megelőzésének első lépése. Az engedélyezésnek a következő lépésnek kell lennie.

A szerepköralapú hozzáférést javasoljuk, ahol a Microsoft Entra ID felhasználói és csoportjai olyan szerepkörökhöz vannak rendelve, amelyek meghatározzák a szolgáltatás olvasási és írási hozzáférését. A beépített szerepkörök leírását és az egyéni szerepkörök létrehozására vonatkozó utasításokat lásd: Csatlakozás az Azure AI Kereséshez szerepköralapú hozzáférés-vezérlőkkel.

Ha nincs szüksége kulcsalapú hitelesítésre, javasoljuk, hogy tiltsa le az API-kulcsokat, és kizárólag szerepkör-hozzárendeléseket használjon.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: