Keresési szolgáltatás hozzáadása hálózati biztonsági szegélyhez

A hálózati biztonsági szegély egy logikai hálózati határ a platform szolgáltatásként (PaaS)-erőforrások köré, amelyeket egy virtuális hálózaton kívül helyez üzembe. Meghatároz egy peremet az olyan erőforrásokhoz való nyilvános hálózati hozzáférés szabályozására, mint például az Azure AI Keresés, a Azure Storage és a Microsoft Foundry Modelsben elérhető Azure OpenAI.

Ez a cikk azt ismerteti, hogyan csatlakozhat egy Azure AI Keresés-szolgáltatáshoz egy hálózati biztonsági szegélyhez a keresési szolgáltatáshoz való hálózati hozzáférés szabályozásához. A hálózati biztonsági szegélyhez való csatlakozással a következő műveletekre van lehetőség:

• Naplózza a keresési szolgáltatáshoz való összes hozzáférést más, azonos szegélyhálózaton lévő Azure-erőforrásokkal együtt.
• Tiltsa le a keresési szolgáltatásból a szegélyen kívüli egyéb szolgáltatásokba történő adatkiszivárgást.
• Engedélyezze a keresési szolgáltatáshoz való hozzáférést a hálózati biztonsági szegély bejövő és kimenő hozzáférési képességeinek használatával.

A jelen cikkben ismertetett módon az Azure Portalon hozzáadhat egy keresési szolgáltatást egy hálózati biztonsági szegélyhez. Másik lehetőségként a Search Management REST API-kkal megtekintheti és szinkronizálhatja a konfigurációs beállításokat.

Előfeltételek

• Meglévő hálózati biztonsági szegély. Létrehozhat egyet, amely társítható a keresési szolgáltatással.

• Azure AI Keresés, bármilyen számlázható szint bármely régióban.

• Azure-szerepkör-hozzárendelések: Hálózati biztonsági perem közreműködője a peremen (vagy annak erőforráscsoportján vagy előfizetésén) a perem, a profilok, a hozzáférési szabályok és a társítások létrehozásához és kezeléséhez. Search Service Contributor (vagy Contributor) szerepkör a keresési szolgáltatáson, hogy társítani lehessen egy peremhez. További információ: Mi a hálózati biztonsági szegély?

• Ha indexelőket szeretne használni, konfigurálja a keresési szolgáltatást egy rendszer- vagy felhasználó által hozzárendelt felügyelt identitással , és rendelje hozzá az identitást egy megfelelő adatsík-szerepkörhöz minden adatforráshoz.

Korlátozások

• A támogatott indexelő adatforrások jelenleg az Azure Blob Storage-ra, az Azure Cosmos DB for NoSQL-re és az Azure SQL Database-re korlátozódnak.

• Az indexelő kapcsolat Azure PaaS-hez az adatlekéréshez az elsődleges peremhálózaton belüli használati eset. Egyéb forgalom esetén konfiguráljon bejövő és kimenő szabályokat. A Microsoft Foundry-erőforrások felé irányuló kimenő hívásokkal kapcsolatban lásd: Kimenő hozzáférés a Microsoft Foundry-erőforrásokhoz. A megosztott privát kapcsolat egy alternatíva adott erőforrástípusokhoz.

Kimenő hozzáférés a Microsoft Foundry-erőforrásokhoz

A keresési szolgáltatást és a Microsoft Foundry-erőforrást is magában foglaló hálózati biztonsági szegély privát csatornát biztosít a közöttük kimenő hívásokhoz. Mivel a szegély az erőforrás- és hálózati rétegen működik, az Foundry-erőforrást meghívó keresési szolgáltatás minden funkciója ugyanazt az engedélyezett elérési utat használja, beleértve a következőket:

• Az összes olyan készség, amely Foundry-erőforrást használ, például a Azure OpenAI beágyazási készség, a GenAI promptkészség, a Tartalomértelmezési készség és egyéb Foundry-erőforráskészségek az AI-gazdagításhoz és a számlázáshoz.

• Az Azure OpenAI vektorizáló lekérdezéskor, az integrált vektorizálás során.

• Ügynöki lekéréses hívások egy tudásügynöktől egy Foundry-modell üzembe helyezéséig.

A privát csatorna engedélyezése:

1. Adja hozzá a keresési szolgáltatást és az Foundry-erőforrást ugyanahhoz a hálózati biztonsági szegélyhez, vagy olyan szegélyekhez, amelyek lehetővé teszik a kommunikációt közöttük.

2. Ha mindkét erőforrás ugyanabban a szegélyben van, és a keresési szolgáltatás felügyelt identitással hitelesíti az Foundry-erőforrást, nem kell kimenő szabályt hozzáadnia. A peremhálózaton belüli forgalom implicit módon engedélyezett. Ha az erőforrások különböző biztonsági határokban vannak, vagy a keresési szolgáltatás API-kulcsokkal hitelesít, adjon hozzá egy kimenő FQDN-hozzáférési szabályt a keresési szolgáltatáshoz társított biztonsági határon, amely a Foundry-erőforrás gazdagépnevére irányul. A konfiguráció Foundry-oldalával kapcsolatos útmutatásért lásd: A Microsoft Foundry hozzáadása hálózati biztonsági határhoz.

3. Hozzáférés ellenőrzése két szakaszban:

   1. Ha a szegély tanulási módban van, futtasson egy készségkészletet, vektorizáló lekérdezést vagy ügynöki lekéréses hívást, amely meghívja az Foundry-erőforrást. Tekintse át a szegélynaplókat a várt elérési út megerősítéséhez.

   2. Váltson kényszerített módra, és futtassa újra ugyanazt a műveletet. Ellenőrizze a sikeres végrehajtást az indexelő végrehajtási előzményeiben és a peremhálózat kimenő forgalmat engedélyező naplóiban.

A hálózati biztonsági perem (NSP) támogatása a Microsoft.CognitiveServices típusú AIServices (Microsoft Foundry) erőforrásokhoz mostantól általánosan elérhető. A OpenAI (Azure OpenAI Service) típusú erőforrások NSP-támogatása nyilvános előzetes verzióban érhető el. Az aktuális támogatási lista a beépített privát kapcsolati erőforrásokat tartalmazza.

Az Foundry-erőforrásra mutató megosztott privát hivatkozás továbbra is támogatott alternatívaként.

Keresési szolgáltatás hozzárendelése hálózati biztonsági szegélyhez

Társítsa a keresési szolgáltatást egy szegélyhez, hogy az összes indexelési és lekérdezési forgalmat szegélyszabályok szabályozzák.

1. Az Azure Portalon keresse meg az előfizetéséhez tartozó hálózati biztonsági szegélyszolgáltatást.

2. A bal oldali panelen válassza a Beállítások>társított erőforrások lehetőséget.

   

3. Válassza az Erőforrások társítása>meglévő profillal lehetőséget.

   

4. Válassza ki a profil hálózati biztonsági szegélyének létrehozásakor létrehozott profilt.

5. Válassza a Hozzáadás lehetőséget, majd válassza ki a keresési szolgáltatást.

   

6. A társítás létrehozásához válassza a bal alsó sarokban található Társítás lehetőséget.

Keresési szolgáltatás eltávolítása hálózati biztonsági szegélyről

A keresési szolgáltatás szegélytől való leválasztása:

1. Nyissa meg a hálózati biztonsági szegélyerőforrást az Azure Portalon.

2. A bal oldali panelen válassza a Beállítások>társított erőforrások lehetőséget.

3. Keresse meg a keresési szolgáltatást a táblázatban, jelölje ki a sor végén található három elemet, majd válassza a Társítás eltávolítása lehetőséget.

4. Erősítse meg a törlést. A társítás eltávolítása után a szegélyszabályok már nem vonatkoznak a keresési szolgáltatásra, és a publicNetworkAccess keresési szolgáltatás beállítása ismét szabályozza a bejövő forgalmat.

Hálózati biztonsági szegélyek hozzáférési módjai

A hálózati biztonsági szegély két különböző hozzáférési módot támogat a társított erőforrásokhoz:

Hálózati biztonsági szegély és keresési szolgáltatás hálózati beállításai

A publicNetworkAccess beállítás meghatározza a keresési szolgáltatás társítását egy hálózati biztonsági szegélyrel.

• Tanulási módban a beállítás szabályozza az publicNetworkAccess erőforráshoz való nyilvános hozzáférést.

• Kényszerített módban a hálózati biztonsági szegélyszabályok felülbírálják a publicNetworkAccess beállítást. Ha például egy beállítással publicNetworkAccess rendelkező enabled keresési szolgáltatás kényszerített módban van társítva egy hálózati biztonsági szegélyhez, a keresési szolgáltatáshoz való hozzáférést továbbra is a hálózati biztonsági szegély hozzáférési szabályai szabályozzák.

A hálózati biztonsági szegély hozzáférési módjának módosítása

1. Nyissa meg a hálózati biztonsági szegélyerőforrást az Azure Portalon.

2. A bal oldali panelen válassza a Beállítások>társított erőforrások lehetőséget.

   

3. Keresse meg a keresési szolgáltatást a táblázatban.

4. Jelölje ki a sor végén található három elemet, majd válassza a Hozzáférési mód módosítása lehetőséget.

   

5. Válassza ki a kívánt hozzáférési módot, majd válassza az Alkalmaz lehetőséget.

   

Naplózási hálózati hozzáférés engedélyezése

1. Nyissa meg a hálózati biztonsági szegélyerőforrást az Azure Portalon.

2. A bal oldali panelen válassza a Monitorozási>diagnosztikai beállítások lehetőséget.

   

3. Válassza a Diagnosztikai beállítások megadása lehetőséget.

4. Adjon meg bármilyen nevet, például diagnostica diagnosztikai beállítás nevét.

5. A Naplók területen válassza ki az összes naplót. Az allLogs biztosítja, hogy a rendszer minden bejövő és kimenő hálózati hozzáférést naplóz a hálózati biztonsági szegély erőforrásaihoz.

6. A Céladatok csoportban válassza az Archiválás tárfiókba vagy a Küldés a Log Analytics-munkaterületre lehetőséget. A tárfióknak ugyanabban a régióban kell lennie, mint a hálózati biztonsági szegély. Használhat meglévő tárfiókot, vagy létrehozhat egy újat. A Log Analytics-munkaterületek a hálózati biztonsági szegély által használttól eltérő régióban lehetnek. A többi megfelelő célhelyet is kiválaszthatja.

   

7. Válassza a Mentés lehetőséget a diagnosztikai beállítás létrehozásához és a hálózati hozzáférés naplózásának megkezdéséhez.

8. Annak ellenőrzéséhez, hogy a naplózás aktív-e, hozzon létre forgalmat a keresési szolgáltatás felé (például futtasson egy lekérdezést). Körülbelül 10 percen belül kérdezze le a Log Analytics NSPAccessLogs tábláját, vagy ellenőrizze a tárfiók megfelelő insights-logs-* tárolóját.

Hálózati hozzáférési naplók olvasása

A hálózati biztonsági szegélynaplók a diagnosztikai beállításokban kiválasztott célhelyekre kerülnek. A leggyakoribb célhelyek egy Log Analytics munkaterület és egy tárfiók.

Log Analytics-munkaterület

A NSPAccessLogs tábla minden naplókategória összes naplóját tartalmazza, például NspPublicInboundPerimeterRulesAllowed. Minden napló tartalmaz egy rekordot a hálózati biztonsági szegélyhálózat-hozzáférésről, amely megfelel a naplókategóriának.

Íme egy példa a NspPublicInboundPerimeterRulesAllowed naplóformátumra:

tárhelyfiók

A tárfiók minden naplókategória tárolóival rendelkezik, például insights-logs-nsppublicinboundperimeterrulesallowed. A tárolóban lévő mappaszerkezet megegyezik a hálózati biztonsági szegély erőforrás-azonosítójával és a naplók felvételének időpontjával. A JSON-naplófájl minden sora tartalmazza a naplókategóriának megfelelő hálózati biztonsági szegélyhálózat-hozzáférés rekordját.

A bejövő peremszabályok által engedélyezett kategória naplója például a következő formátumot használja:

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

Hozzáférési szabály hozzáadása a keresési szolgáltatáshoz

A hálózati biztonsági szegélyprofil olyan szabályokat határoz meg, amelyek engedélyezik vagy letiltják a szegélyen keresztüli hozzáférést.

A peremhálózaton belül minden erőforrás hálózati szinten kölcsönös hozzáféréssel rendelkezik. A hitelesítést és az engedélyezést továbbra is be kell állítania, de hálózati szinten a rendszer elfogadja a szegélyhálózaton belüli csatlakozási kérelmeket.

A hálózati biztonsági szegélyen kívüli erőforrások esetében meg kell adnia a bejövő és kimenő hozzáférési szabályokat. A bejövő szabályok határozzák meg, hogy mely kapcsolódások engedélyezettek, a kimenő szabályok pedig, hogy mely kérések távozhatnak.

A keresési szolgáltatás fogadja az olyan alkalmazások bejövő kéréseit, mint a Microsoft Foundry portal és minden olyan alkalmazás, amely indexelési vagy lekérdezési kéréseket küld. A keresési szolgáltatás kimenő kéréseket küld az indexelőalapú indexelés és a képességkészlet végrehajtása során. Ez a szakasz bemutatja, hogyan állíthat be bejövő és kimenő hozzáférési szabályokat az Azure AI Keresés-forgatókönyvekhez.

Bejövő hozzáférési szabály hozzáadása

A bejövő hozzáférési szabályok lehetővé teszik, hogy az internet és a peremhálózaton kívüli erőforrások a peremhálózaton belüli erőforrásokhoz csatlakozzanak.

A hálózati biztonsági szegély kétféle bejövő hozzáférési szabályt támogat:

• IP-címtartományok. Az IP-címeknek vagy -tartományoknak osztály nélküli tartományközi útválasztási (CIDR) formátumban kell lenniük. A CIDR jelölésére példa a 192.0.2.0/24, amely a 192.0.2.0 és 192.0.2.255 közötti IP-címeket jelöli. Ez a szabálytípus engedélyezi a tartomány bármely IP-címéről érkező bejövő kéréseket.

• Előfizetések. Ez a szabálytípus lehetővé teszi a bejövő hozzáférést az előfizetésből származó bármely felügyelt identitással hitelesítve. A szabály csak a hálózati útvonalat szabályozza; a hívónak továbbra is szüksége van egy Azure RBAC-szerepkör-hozzárendelésre a keresési szolgáltatásban.

Bejövő hozzáférési szabály hozzáadása az Azure Portalon:

1. Nyissa meg a hálózati biztonsági szegélyerőforrást az Azure Portalon.

2. A bal oldali panelen válassza a Beállítások>profilok lehetőséget.

   

3. Válassza ki a használni kívánt profilt a hálózati biztonsági határvonalnál.

   

4. A bal oldali panelen válassza a Beállítások>Bejövő hozzáférési szabályok lehetőséget.

   

5. Válassza a Hozzáadás lehetőséget.

   

6. Adja meg vagy válassza ki a következő értékeket:

   Beállítás	Érték
   Szabály neve	A bejövő hozzáférési szabály neve, például MyInboundAccessRule.
   Forrás típusa	Az érvényes értékek ip-címtartományok vagy előfizetések.
   Engedélyezett források	Ha az IP-címtartományokat választotta, adja meg az IP-címtartományt CIDR formátumban, amelyről engedélyezni szeretné a bejövő hozzáférést. Töltse le a Azure IP-tartományok és szolgáltatáscímkék fájlt. Ha az Előfizetések lehetőséget választotta, használja azt az előfizetést, amelyből engedélyezni szeretné a bejövő hozzáférést.

7. Válassza a Hozzáadás lehetőséget a bejövő hozzáférési szabály létrehozásához.

   

8. A szabály ellenőrzéséhez állítsa át a társítást kényszerített módra egy tesztprofilban. Győződjön meg arról, hogy az egyező kérések megjelennek a NspPublicInboundPerimeterRulesAllowed napló kategóriában, és a nem egyező kérések megjelennek a NspPublicInboundPerimeterRulesDenied kategóriában.

Kimenő hozzáférési szabály hozzáadása

A keresési szolgáltatás kimenő hívásokat indít az indexelőalapú indexelés és a funkciókészlet végrehajtása során. Ha az indexelő adatforrásai, a Foundry Tools számlázási készségeihez csatolt Microsoft Foundry-erőforrás vagy az egyéni készséglogika a hálózati biztonsági határon kívül található, hozzon létre egy kimenő hozzáférési szabályt, amely lehetővé teszi, hogy a keresési szolgáltatás kapcsolódjon.

A biztonsági határon belül az indexelők csatlakozhatnak az Azure Blob Storage-hoz, az Azure Cosmos DB for NoSQL-hez, valamint az Azure SQL Database-hez. Ha az indexelők más adatforrásokat használnak, a kapcsolat támogatásához kimenő hozzáférési szabályra van szükség.

A hálózati biztonsági szegély támogatja a kimenő hozzáférési szabályokat a cél teljes tartományneve (FQDN) alapján. Például engedélyezheti a hálózati biztonsági szegélyhez kapcsolódó bármely szolgáltatás számára a kimenő hozzáférést egy teljes tartománynévhez, mint például mystorageaccount.blob.core.windows.net.

Kimenő hozzáférési szabály hozzáadása az Azure Portalon:

1. Nyissa meg a hálózati biztonsági szegélyerőforrást az Azure Portalon.

2. A bal oldali panelen válassza a Beállítások>profilok lehetőséget.

   

3. Válassza ki a használni kívánt profilt a hálózati biztonsági határvonalnál.

   

4. A bal oldali panelen válassza a Beállítások>kimenő hozzáférési szabályok lehetőséget.

   

5. Válassza a Hozzáadás lehetőséget.

   

6. Adja meg vagy válassza ki a következő értékeket:

   Beállítás	Érték
   Szabály neve	A kimenő hozzáférési szabály neve, például MyOutboundAccessRule.
   Céltípus	Hagyja meg FQDN-ként.
   Engedélyezett célhelyek	Adja meg azon teljes tartománynevek vesszővel tagolt listáját, amelyekhez engedélyezni szeretné a kimenő hozzáférést.

7. Válassza a Hozzáadás lehetőséget a kimenő hozzáférési szabály létrehozásához.

   

8. A szabály ellenőrzéséhez állítsa át a társítást kényszerített módra egy tesztprofilban. Ellenőrizze, hogy az egyező kimenő kérések megjelennek-e a NspPublicOutboundPerimeterRulesAllowed napló kategóriában.

A kapcsolat tesztelése hálózati biztonsági szegélyen keresztül

Ha hálózati biztonsági peremhálózaton keresztül szeretné tesztelni a kapcsolatot, egy webböngészőhöz kell hozzáférnie, akár egy internetkapcsolattal rendelkező helyi számítógépen, akár egy Azure-beli virtuális gépen.

1. Állítsa a hálózati biztonsági szegély társítását kényszerített módra, hogy elkezdhessék érvényesíteni a hálózati hozzáférés biztonsági követelményeit a keresési szolgáltatáshoz.

2. Válasszon egy ügyfelet:

   1. Helyi számítógép esetén kérje le a nyilvános IP-címét.

   2. Azure-beli virtuális gép esetén használja a Private Linket, vagy keresse meg az IP-címet az Azure Portalon.

3. Hozzon létre egy bejövő hozzáférési szabályt az ADOTT IP-címhez a hozzáférés engedélyezéséhez.

4. Nyissa meg a keresési szolgáltatást a Azure portálon, és tekintse meg annak indexeit.

   • Várt siker: Az indexlista betöltődik, és futtathat egy teszt lekérdezést. A bejövő IP-szabály működik.

   • Ha 403-at vagy "A nyilvános hálózati hozzáférés le van tiltva" hibaüzenet jelenik meg: Az ügyfél IP-címére vagy a Azure portálra nem vonatkozik bejövő szabály. Ellenőrizze a bejövő hozzáférési szabályokat.

Gyakori problémák elhárítása

Hálózati biztonsági szegélykonfiguráció megtekintése és kezelése

A hálózati biztonsági szegélykonfiguráció REST API-jaival áttekintheti és egyeztetheti a keresési szolgáltatás szegélykonfigurációit.

Sorolja fel például a keresési szolgáltatás aktuális szegélykonfigurációit:

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

Ha a konfiguráció nincs szinkronizálva a szegélyrel, indítson el egy egyeztetést:

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

Használja a Search Management REST API-k legújabb stabil verzióját. További információ: Azure AI Keresés szolgáltatás kezelése REST API-k használatával.

Kapcsolódó tartalom

• Hálózatbiztonsági határfogalmak
• Konfiguráljon egy keresési szolgáltatást a felügyelt identitás használatával való csatlakoztatáshoz
• Kimenő kapcsolatok létrehozása megosztott privát kapcsolaton keresztül
• Microsoft Foundry hozzáadása hálózati biztonsági határhoz