Mengonfigurasi aturan firewall IP untuk mengizinkan koneksi pengindeks dari Pencarian Azure AI

Pencarian Azure AI melakukan panggilan keluar selama pemrosesan pengindeksan untuk konten dan keterampilan, serta untuk permintaan pengambilan data agen yang menyertakan panggilan ke model bahasa berskala besar (LLM). Jika sumber daya Azure target menggunakan aturan firewall IP untuk memfilter panggilan masuk, Anda harus membuat aturan masuk di firewall Anda yang mengakui permintaan dari Pencarian Azure AI.

Artikel ini menjelaskan cara menemukan alamat IP layanan pencarian Anda dan mengonfigurasi aturan IP masuk pada akun Azure Storage. Meskipun khusus untuk Azure Storage, pendekatan ini juga berfungsi untuk sumber daya Azure lain yang menggunakan aturan firewall IP untuk akses data, seperti Azure Cosmos DB, Azure SQL, dan aplikasi fungsi yang menghosting keterampilan kustom.

Prasyarat

• Layanan Pencarian Azure AI (Tingkat dasar atau lebih tinggi). Anda tidak dapat mengatur aturan firewall pada tingkat Gratis.
• Sumber daya Azure target yang ada dilindungi oleh firewall.
• Peran Kontributor atau Pemilik pada layanan pencarian.

Mendapatkan alamat IP layanan pencarian

1. Buka layanan pencarian Anda di portal Microsoft Azure.

2. Dari panel kiri, pilih Gambaran Umum.

3. Salin nama domain yang sepenuhnya memenuhi syarat (FQDN) dari layanan pencarian Anda, yang akan terlihat seperti my-search-service.search.windows.net.

   

4. Cari alamat IP layanan pencarian dengan melakukan nslookup (atau ping) FQDN pada command prompt. Pastikan Anda menghapus awalan https:// .

5. Salin alamat IP untuk digunakan di langkah berikutnya. Dalam contoh berikut, alamat IP yang Anda salin adalah 150.0.0.1.

   nslookup my-search-service.search.windows.net
   Server:  server.example.org
   Address:  10.50.10.50
   
   Non-authoritative answer:
   Name:    <name>
   Address:  150.0.0.1
   aliases:  my-search-service.search.windows.net
   

   Alamat IP di bidang di Address bawah "Jawaban non-otoritatif" (150.0.0.1 dalam contoh ini) adalah nilai yang Anda butuhkan untuk aturan firewall.

Mengizinkan akses dari alamat IP klien Anda

Aplikasi klien yang mendorong pengindeksan dan permintaan kueri ke layanan pencarian harus diwakili dalam rentang IP. Di Azure, Anda umumnya dapat menentukan alamat IP dengan melakukan ping FQDN layanan. Misalnya, ping <your-search-service-name>.search.windows.net mengembalikan alamat IP layanan pencarian.

Tambahkan alamat IP klien Anda untuk mengizinkan akses ke layanan dari portal Azure di komputer Anda saat ini.

1. Di portal Microsoft Azure, pilih layanan pencarian Anda.

2. Dari panel kiri, pilih Pengaturan>Jaringan.

3. Pada tab Firewall dan jaringan virtual , atur Akses jaringan publik ke Alamat IP yang dipilih.

   

4. Di bawah IP Firewall, pilih Tambahkan alamat IP klien Anda.

   

5. Simpan perubahan Anda.

Mendapatkan alamat IP untuk tag layanan "AzureCognitiveSearch"

Anda juga harus membuat aturan masuk yang memungkinkan permintaan dari lingkungan eksekusi multitenant. Lingkungan ini dikelola oleh Microsoft dan digunakan untuk mengalihkan pekerjaan intensif pemrosesan yang dapat membuat layanan pencarian Anda kewalahan. Bagian ini menjelaskan cara mendapatkan rentang alamat IP yang diperlukan untuk membuat aturan masuk ini.

Rentang alamat IP ditentukan untuk setiap wilayah yang mendukung Pencarian Azure AI. Tentukan rentang lengkap untuk memastikan keberhasilan permintaan yang berasal dari lingkungan eksekusi multipenyewa.

Anda bisa mendapatkan rentang alamat IP ini dari tag layanan AzureCognitiveSearch.

1. Gunakan API penemuan atau file JSON yang dapat diunduh. Jika layanan pencarian adalah cloud Azure Public, unduh file Azure Public JSON.

2. Buka file JSON dan cari "AzureCognitiveSearch". Untuk layanan pencarian di WestUS2, alamat IP untuk lingkungan eksekusi pengindeks multipenyewa adalah:

   {
   "name": "AzureCognitiveSearch.WestUS2",
   "id": "AzureCognitiveSearch.WestUS2",
   "properties": {
      "changeNumber": 1,
      "region": "westus2",
      "regionId": 38,
      "platform": "Azure",
      "systemService": "AzureCognitiveSearch",
      "addressPrefixes": [
         "20.42.129.192/26",
         "40.91.93.84/32",
         "40.91.127.116/32",
         "40.91.127.241/32",
         "51.143.104.54/32",
         "51.143.104.90/32",
         "2603:1030:c06:1::180/121"
      ],
      "networkFeatures": null
   }
   },
   

   Salin semua alamat IP dalam addressPrefixes array untuk wilayah Anda.

3. Untuk alamat IP yang memiliki akhiran "/32", hilangkan "/32" (40.91.93.84/32 menjadi 40.91.93.84 dalam definisi aturan). Semua alamat IP lainnya dapat digunakan secara verbatim.

4. Salin semua alamat IP untuk wilayah tersebut.

Menambahkan alamat IP ke aturan firewall IP

Setelah Anda mendapatkan alamat IP yang diperlukan, siapkan aturan masuk. Cara term mudah untuk menambahkan rentang alamat IP ke aturan firewall akun penyimpanan adalah melalui portal Azure.

1. Di portal Microsoft Azure, pilih akun penyimpanan Anda.

2. Dari panel kiri, pilih Keamanan + Jaringan>Jaringan.

3. Pada tab Akses publik , pilih Kelola.

   

4. Di bawah Cakupan akses jaringan publik, pilih Aktifkan dari jaringan yang dipilih.

   

5. Tambahkan alamat IP yang Anda peroleh sebelumnya, lalu pilih Simpan. Anda harus memiliki aturan untuk layanan pencarian, portal Microsoft Azure (opsional), dan semua alamat IP untuk tag layanan "AzureCognitiveSearch" untuk wilayah Anda.

   Diperlukan waktu lima hingga sepuluh menit agar aturan firewall diperbarui. Setelah pembaruan, pengindeks dapat mengakses data akun penyimpanan di belakang firewall.

Melengkapi keamanan jaringan dengan autentikasi token

Firewall dan keamanan jaringan adalah langkah pertama dalam mencegah akses tidak sah ke data dan operasi. Otorisasi harus menjadi langkah Anda berikutnya.

Kami merekomendasikan akses berbasis peran, di mana pengguna dan grup ID Microsoft Entra ditetapkan ke peran yang menentukan akses baca dan tulis ke layanan Anda. Untuk deskripsi peran dan instruksi bawaan untuk membuat peran kustom, lihat Menyambungkan ke Pencarian Azure AI menggunakan kontrol akses berbasis peran.

Jika Anda tidak memerlukan autentikasi berbasis kunci, sebaiknya nonaktifkan kunci API dan gunakan penetapan peran secara eksklusif.

Konten terkait

• Mengonfigurasi firewall pada Azure Storage
• Mengonfigurasi firewall IP untuk Azure Cosmos DB
• Mengonfigurasi firewall IP untuk Azure SQL Server
• Mengelola Azure Functions pembatasan akses masuk