Menambahkan layanan pencarian ke perimeter keamanan jaringan

Perimeter keamanan jaringan adalah batas jaringan logis di sekitar sumber daya platform as a service (PaaS) yang Anda sebarkan di luar jaringan virtual. Ini menetapkan perimeter untuk mengontrol akses jaringan publik ke sumber daya seperti Pencarian Azure AI, Azure Storage, dan Azure OpenAI di Microsoft Foundry Models.

Artikel ini menjelaskan cara menggabungkan layanan Pencarian Azure AI ke perimeter keamanan jaringan untuk mengontrol akses jaringan ke layanan pencarian Anda. Dengan menggabungkan perimeter keamanan jaringan, Anda dapat:

• Catat semua akses ke layanan pencarian Anda dalam konteks dengan sumber daya Azure lainnya di perimeter yang sama.
• Blokir penyelundupan data apa pun dari layanan pencarian ke layanan lain di luar perimeter.
• Izinkan akses ke layanan pencarian Anda dengan menggunakan kemampuan akses masuk dan keluar dari perimeter keamanan jaringan.

Anda dapat menambahkan layanan pencarian ke perimeter keamanan jaringan di portal Azure, seperti yang dijelaskan dalam artikel ini. Atau, gunakan REST API Manajemen Pencarian untuk melihat dan menyinkronkan pengaturan konfigurasi.

Prasyarat

• Perimeter keamanan jaringan yang ada. Anda dapat membuatnya untuk dikaitkan dengan layanan pencarian Anda.

• Pencarian Azure AI tingkat berbayar, di wilayah mana pun.

• Penetapan peran Azure: Network Security Perimeter Contributor pada perimeter (atau grup sumber dayanya atau langganannya) untuk membuat dan mengelola perimeter, profil, aturan akses, dan asosiasi. Search Service Contributor (atau Contributor) di layanan pencarian untuk mengasosiasikannya dengan perimeter. Untuk informasi selengkapnya, lihat Apa itu perimeter keamanan jaringan?.

• Jika Anda berencana menggunakan pengindeks, konfigurasikan layanan pencarian dengan identitas terkelola yang ditetapkan sistem atau yang ditetapkan pengguna, lalu tetapkan peran data-plane yang sesuai kepada identitas tersebut pada setiap sumber data.

Keterbatasan

• Sumber data pengindeks yang didukung saat ini terbatas pada Azure Blob Storage, Azure Cosmos DB untuk NoSQL, dan Azure SQL Database.

• Koneksi pengindeks ke Azure PaaS untuk pengambilan data adalah kasus penggunaan intra-perimeter utama. Untuk lalu lintas lainnya, konfigurasikan aturan masuk dan keluar. Untuk panggilan keluar ke sumber daya Microsoft Foundry, lihat Akses keluar ke sumber daya Microsoft Foundry. Tautan privat bersama adalah alternatif untuk jenis sumber daya tertentu.

Akses keluar ke sumber daya Microsoft Foundry

Perimeter keamanan jaringan yang mencakup layanan pencarian Anda dan sumber daya Microsoft Foundry menyediakan saluran privat untuk panggilan keluar di antara mereka. Karena perimeter beroperasi di lapisan sumber daya dan jaringan, setiap fitur layanan pencarian yang memanggil sumber daya Foundry menggunakan jalur yang diizinkan yang sama, termasuk:

• Semua keterampilan yang menggunakan sumber daya Foundry, seperti keterampilan penyematan Azure OpenAI, keterampilan prompt GenAI, keterampilan Content Understanding, dan keterampilan sumber daya Foundry lainnya untuk pengayaan AI dan penagihan.

• Vektorizer Azure OpenAI pada saat kueri selama vektorisasi terintegrasi.

• Panggilan pengambilan agenik dari agen pengetahuan ke penyebaran model Foundry.

Untuk mengaktifkan saluran privat:

1. Tambahkan layanan pencarian Anda dan sumber daya Foundry ke perimeter keamanan jaringan yang sama, atau ke perimeter yang memungkinkan komunikasi di antara mereka.

2. Jika kedua sumber daya berada dalam perimeter yang sama dan layanan pencarian mengautentikasi ke sumber daya Foundry dengan menggunakan identitas terkelola, Anda tidak perlu menambahkan aturan keluar. Lalu lintas intra-perimeter diizinkan secara implisit. Jika sumber daya berada di perimeter yang berbeda, atau layanan pencarian mengautentikasi dengan kunci API, tambahkan aturan akses FQDN keluar di perimeter yang terkait dengan layanan pencarian Anda yang menargetkan nama host sumber daya Foundry. Untuk panduan tentang sisi konfigurasi Foundry, lihat Tambahkan Microsoft Foundry ke perimeter keamanan jaringan.

3. Validasi akses dalam dua tahap:

   1. Dengan perimeter dalam mode pelatihan, jalankan kumpulan keterampilan, kueri vectorizer, atau panggilan agentic retrieval yang memanggil sumber daya Foundry. Tinjau log perimeter untuk mengonfirmasi jalur akses yang diharapkan.

   2. Beralih ke mode yang diberlakukan dan jalankan kembali operasi yang sama. Pastikan adanya keberhasilan dalam riwayat eksekusi pengindeks dan dalam log izin trafik keluar perimeter.

Dukungan perimeter keamanan jaringan (NSP) untuk sumber daya Microsoft.CognitiveServices jenis AIServices (Microsoft Foundry) tersedia secara umum. Dukungan NSP untuk sumber daya jenis OpenAI (Azure OpenAI Service) berada dalam pratinjau publik. Untuk daftar sumber daya yang saat ini didukung, lihat Sumber daya private link yang telah di-onboarding.

Tautan privat bersama ke sumber daya Foundry tetap didukung sebagai alternatif.

Menetapkan layanan pencarian ke perimeter keamanan jaringan

Kaitkan layanan pencarian Anda dengan perimeter sehingga semua lalu lintas pengindeksan dan kueri diatur oleh aturan perimeter.

1. Di portal Azure, temukan layanan perimeter keamanan jaringan untuk langganan Anda.

2. Dari panel kiri, pilih Pengaturan>Sumber daya terkait.

   

3. Pilih Tambahkan>Kaitkan sumber daya dengan profil yang sudah ada.

   

4. Pilih profil yang Anda buat saat membuat perimeter keamanan jaringan untuk Profil.

5. Pilih Tambahkan, lalu pilih layanan pencarian Anda.

   

6. Pilih Kaitkan di sudut kiri bawah untuk membuat asosiasi.

Menghapus layanan pencarian dari perimeter keamanan jaringan

Untuk memisahkan layanan pencarian dari perimeter:

1. Buka sumber daya perimeter keamanan jaringan Anda di portal Microsoft Azure.

2. Dari panel kiri, pilih Pengaturan>Sumber daya terkait.

3. Temukan layanan pencarian Anda dalam tabel, pilih tiga titik di akhir baris, lalu pilih Hapus asosiasi.

4. Konfirmasikan penghapusan. Setelah asosiasi dihapus, aturan perimeter tidak lagi berlaku untuk layanan pencarian, dan publicNetworkAccess pengaturan pada layanan pencarian kembali mengontrol lalu lintas masuk.

Mode akses perimeter keamanan jaringan

Perimeter keamanan jaringan mendukung dua mode akses yang berbeda untuk sumber daya terkait:

Perimeter keamanan jaringan dan pengaturan jaringan layanan pencarian

Pengaturan publicNetworkAccess menentukan asosiasi layanan pencarian dengan perimeter keamanan jaringan.

• Dalam mode pembelajaran, publicNetworkAccess pengaturan mengontrol akses publik ke sumber daya.

• Dalam mode yang ditegakkan, aturan perimeter keamanan jaringan mengesampingkan pengaturan publicNetworkAccess. Misalnya, jika layanan pencarian dengan publicNetworkAccess pengaturan enabled dikaitkan dengan perimeter keamanan jaringan dalam mode yang diberlakukan, akses ke layanan pencarian masih dikendalikan oleh aturan akses perimeter keamanan jaringan.

Mengubah mode akses perimeter keamanan jaringan

1. Buka sumber daya perimeter keamanan jaringan Anda di portal Microsoft Azure.

2. Dari panel kiri, pilih Pengaturan>Sumber daya terkait.

   

3. Temukan layanan pencarian Anda di tabel.

4. Pilih tiga titik di akhir baris, lalu pilih Ubah mode akses.

   

5. Pilih mode akses yang Anda inginkan, lalu pilih Terapkan.

   

Aktifkan akses jaringan pengelogan

1. Buka sumber daya perimeter keamanan jaringan Anda di portal Microsoft Azure.

2. Dari panel kiri, pilih PengaturanDiagnostik>.

   

3. Pilih Menambahkan pengaturan diagnostik.

4. Masukkan nama apa pun, seperti diagnostic, untuk Nama pengaturan diagnostik.

5. Di bawah Log, pilih semuaLog. allLogs memastikan semua akses jaringan masuk dan keluar ke sumber daya di perimeter keamanan jaringan Anda dicatat.

6. Di bawah Detail tujuan, pilih Arsipkan ke akun penyimpanan atau Kirim ke ruang kerja Analitik Log. Akun penyimpanan harus berada di wilayah yang sama dengan perimeter keamanan jaringan. Anda dapat menggunakan akun penyimpanan yang sudah ada atau membuat akun baru. Ruang kerja Analitik Log dapat berada di wilayah yang berbeda dari yang digunakan oleh perimeter keamanan jaringan. Anda juga dapat memilih salah satu tujuan lain yang berlaku.

   

7. Pilih Simpan untuk membuat pengaturan diagnostik dan mulai mencatat akses jaringan.

8. Untuk memastikan pencatatan log aktif, hasilkan trafik ke layanan pencarian (misalnya, jalankan kueri). Dalam waktu sekitar 10 menit, kueri tabel NSPAccessLogs di Log Analytics atau periksa kontainer insights-logs-* yang sesuai di akun penyimpanan.

Membaca log akses jaringan

Log perimeter keamanan jaringan dikirimkan ke tujuan yang Anda pilih di Pengaturan diagnostik. Tujuan yang paling umum adalah ruang kerja Log Analytics dan akun penyimpanan.

Ruang kerja Analitik Log

Tabel NSPAccessLogs berisi semua log untuk setiap kategori log, seperti NspPublicInboundPerimeterRulesAllowed. Setiap log berisi catatan akses keamanan perimeter jaringan yang sesuai dengan kategori log.

Berikut adalah contoh NspPublicInboundPerimeterRulesAllowed format log:

Akun penyimpanan

Akun penyimpanan memiliki kontainer untuk setiap kategori log, seperti insights-logs-nsppublicinboundperimeterrulesallowed. Struktur folder di dalam kontainer cocok dengan ID sumber daya perimeter keamanan jaringan dan waktu log diambil. Setiap baris pada file log JSON berisi catatan akses jaringan perimeter keamanan jaringan yang cocok dengan kategori log.

Misalnya, log untuk kategori aturan perimeter masuk yang diizinkan menggunakan format berikut:

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

Menambahkan aturan akses untuk layanan pencarian Anda

Profil perimeter keamanan jaringan menentukan aturan yang mengizinkan atau menolak akses melalui perimeter.

Di dalam perimeter, semua sumber daya memiliki akses satu sama lain di tingkat jaringan. Anda masih harus menyiapkan autentikasi dan otorisasi, tetapi di tingkat jaringan, permintaan koneksi dari dalam perimeter diterima.

Untuk sumber daya di luar perimeter keamanan jaringan, Anda harus menentukan aturan akses masuk dan keluar. Aturan masuk menentukan koneksi mana yang akan diizinkan masuk, dan aturan keluar menentukan permintaan mana yang diizinkan keluar.

Layanan pencarian menerima permintaan masuk dari aplikasi seperti portal Microsoft Foundry dan aplikasi apa pun yang mengirim permintaan pengindeksan atau kueri. Layanan pencarian mengirimkan permintaan eksternal selama pengindeksan berbasis pengindeks dan eksekusi keterampilan. Bagian ini menjelaskan cara menyiapkan aturan akses masuk dan keluar untuk skenario Pencarian Azure AI.

Menambahkan aturan akses masuk

Aturan akses masuk dapat memungkinkan internet dan sumber daya di luar perimeter terhubung dengan sumber daya di dalam perimeter.

Perimeter keamanan jaringan mendukung dua jenis aturan akses masuk:

• Rentang alamat IP. Alamat atau rentang IP harus dalam format Classless Inter-Domain Routing (CIDR). Contoh notasi CIDR adalah 192.0.2.0/24, yang mewakili IP yang berkisar antara 192.0.2.0 hingga 192.0.2.255. Jenis aturan ini memungkinkan permintaan masuk dari alamat IP apa pun dalam rentang.

• Langganan. Jenis aturan ini memungkinkan akses masuk diautentikasi dengan menggunakan identitas terkelola apa pun dari langganan. Aturan hanya mengontrol jalur jaringan; pemanggil masih memerlukan penetapan peran RBAC Azure pada layanan pencarian.

Untuk menambahkan aturan akses masuk di portal Azure:

1. Buka sumber daya perimeter keamanan jaringan Anda di portal Microsoft Azure.

2. Dari panel kiri, pilihProfil>.

   

3. Pilih profil yang Anda gunakan dengan perimeter keamanan jaringan Anda.

   

4. Dari panel kiri, pilih Pengaturan>Aturan akses masuk.

   

5. Pilih Tambahkan.

   

6. Masukkan atau pilih nilai berikut:

   Pengaturan	Nilai
   Nama aturan	Nama untuk aturan akses masuk, seperti MyInboundAccessRule.
   Jenis sumber	Nilai yang valid adalah rentang alamat IP atau Langganan.
   Sumber yang diizinkan	Jika Anda memilih rentang alamat IP, masukkan rentang alamat IP dalam format CIDR yang ingin Anda izinkan akses masuknya. Unduh file Rentang IP dan Tag Layanan Azure. Jika Anda memilih Langganan, gunakan langganan yang ingin Anda izinkan akses masuknya.

7. Pilih Tambahkan untuk membuat aturan akses masuk.

   

8. Untuk memverifikasi aturan, alihkan asosiasi ke mode yang diberlakukan dalam profil pengujian. Konfirmasikan permintaan yang cocok muncul di NspPublicInboundPerimeterRulesAllowed kategori log dan permintaan yang tidak cocok muncul dalam NspPublicInboundPerimeterRulesDenied kategori.

Menambahkan aturan akses keluar

Layanan pencarian melakukan panggilan keluar selama pengindeksan berbasis pengindeks dan eksekusi set keterampilan. Jika sumber data pengindeks Anda, sumber daya Microsoft Foundry terlampir untuk keterampilan penagihan Foundry Tools, atau logika keterampilan kustom berada di luar perimeter keamanan jaringan, buat aturan akses keluar yang memungkinkan layanan pencarian Anda membuat koneksi.

Dalam perimeter keamanan, pengindeks dapat terhubung ke Azure Blob Storage, Azure Cosmos DB untuk NoSQL, dan Azure SQL Database. Jika pengindeks Anda menggunakan sumber data lain, Anda memerlukan aturan akses keluar untuk mendukung koneksi tersebut.

Perimeter keamanan jaringan mendukung aturan akses keluar berdasarkan Nama Domain Berkualifikasi Penuh (FQDN) tujuan. Misalnya, Anda dapat mengizinkan akses keluar dari layanan apa pun yang terkait dengan perimeter keamanan jaringan Anda ke FQDN seperti mystorageaccount.blob.core.windows.net.

Untuk menambahkan aturan akses keluar di portal Azure:

1. Buka sumber daya perimeter keamanan jaringan Anda di portal Microsoft Azure.

2. Dari panel kiri, pilihProfil>.

   

3. Pilih profil yang Anda gunakan dengan perimeter keamanan jaringan Anda.

   

4. Dari panel kiri, pilih Pengaturan>Aturan akses keluar.

   

5. Pilih Tambahkan.

   

6. Masukkan atau pilih nilai berikut:

   Pengaturan	Nilai
   Nama aturan	Nama untuk aturan akses keluar, seperti MyOutboundAccessRule.
   Jenis tujuan	Biarkan sebagai FQDN.
   Tujuan yang diizinkan	Masukkan daftar FQDN yang dipisahkan koma yang ingin Anda izinkan akses keluarnya.

7. Pilih Tambahkan untuk membuat aturan akses keluar.

   

8. Untuk memverifikasi aturan, alihkan asosiasi ke mode yang diberlakukan dalam profil pengujian. Pastikan permintaan keluar yang sesuai muncul dalam kategori log NspPublicOutboundPerimeterRulesAllowed.

Menguji koneksi Anda melalui perimeter keamanan jaringan

Untuk menguji koneksi Anda melalui perimeter keamanan jaringan, Anda memerlukan akses ke browser web, baik di komputer lokal dengan koneksi internet atau Azure VM.

1. Ubah asosiasi perimeter keamanan jaringan Anda ke mode yang dipaksakan agar dapat memberlakukan persyaratan keamanan jaringan demi akses ke layanan pencarian Anda.

2. Pilih klien:

   1. Untuk komputer lokal, dapatkan alamat IP publik Anda.

   2. Untuk VM Azure, gunakan tautan private atau definisikan alamat IP di portal Azure.

3. Buat aturan akses masuk untuk alamat IP tersebut untuk mengizinkan akses.

4. Di portal Azure, buka layanan pencarian Anda dan lihat indeksnya.

   • Keberhasilan yang diharapkan: Daftar indeks dimuat dan Anda bisa menjalankan kueri pengujian. Aturan IP masuk berfungsi.

   • Jika Anda melihat kesalahan 403 atau "Akses jaringan publik dinonaktifkan" : IP klien Anda atau portal Azure tidak tercakup oleh aturan masuk. Periksa aturan akses masuk.

Mengatasi masalah umum

Melihat dan mengelola konfigurasi perimeter keamanan jaringan

Gunakan REST API Konfigurasi Perimeter Keamanan Jaringan untuk meninjau dan mendamaikan konfigurasi perimeter pada layanan pencarian.

Misalnya, cantumkan konfigurasi perimeter saat ini pada layanan pencarian:

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

Jika konfigurasi tidak sinkron dengan perimeter, picu rekonsiliasi:

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

Gunakan versi stabil terbaru dari REST API Manajemen Pencarian. Untuk informasi selengkapnya, lihat Mengelola layanan Pencarian Azure AI Anda menggunakan REST API.

Konten terkait

• Konsep perimeter keamanan jaringan
• Mengonfigurasi layanan pencarian untuk terhubung menggunakan identitas terkelola
• Membuat koneksi keluar melalui tautan pribadi yang dibagikan
• Tambahkan Microsoft Foundry ke perimeter keamanan jaringan