Mengonfigurasi akses jaringan dan aturan firewall untuk Pencarian Azure AI

Artikel ini menjelaskan cara membatasi akses jaringan masuk ke titik akhir publik layanan pencarian. Anda dapat mengonfigurasi aturan firewall IP untuk mengizinkan akses hanya dari alamat IP, rentang alamat, atau subnet tertentu. Anda juga dapat mengaktifkan pengecualian untuk layanan Azure tepercaya.

Aturan firewall mengontrol klien mana yang dapat mengirim permintaan (kueri, pengindeksan, operasi manajemen) ke layanan pencarian Anda. Mereka tidak memengaruhi koneksi keluar dari layanan pencarian ke sumber daya eksternal. Untuk keamanan keluar, lihat akses Indexer ke konten yang dilindungi oleh keamanan jaringan Azure.

Prasyarat

• Layanan Pencarian Azure AI (Tingkat dasar atau lebih tinggi). Konfigurasi firewall tidak didukung pada tingkat Gratis.

• Izin Pemilik atau Kontributor pada layanan pencarian.

Batasan dan pertimbangan

• Beberapa alur kerja memerlukan akses ke titik akhir publik. Secara khusus, wizard Import data di portal Azure tersambung ke data sampel bawaan (dihosting) dan menyematkan model melalui titik akhir publik. Untuk informasi selengkapnya, lihat Mengamankan koneksi di wizard impor.

• Aturan jaringan mencakup operasi lapisan data pada titik akhir publik layanan pencarian, termasuk pembuatan indeks, melakukan kueri pada indeks, dan semua tindakan lain yang dijelaskan dalam REST API Layanan Pencarian.

• Untuk operasi sarana kontrol yang menargetkan administrasi layanan, lihat perlindungan network yang didukung oleh Azure Resource Manager.

• Jika Anda berada dalam tahap awal pengujian bukti konsep dengan data sampel, pertimbangkan untuk menunda kontrol akses jaringan hingga Anda membutuhkannya.

Mengonfigurasikan akses jaringan

Bagian ini menjelaskan cara mengonfigurasi akses jaringan untuk layanan pencarian Anda di portal Azure. Atau, Anda dapat menggunakan REST API Search Management, Azure PowerShell, atau Azure CLI.

Untuk mengonfigurasi akses jaringan:

1. Buka layanan pencarian Anda di portal Azure.

2. Dari panel kiri, pilih Pengaturan>Jaringan.

3. Untuk Akses jaringan publik, pilih Alamat IP yang dipilih. Pilih Dinonaktifkan hanya jika Anda mengonfigurasi titik akhir privat.

   

4. Di bawah IP Firewall, pilih Tambahkan alamat IP klien Anda.

   Langkah ini membuat aturan masuk yang memungkinkan alamat IP publik perangkat Anda menjangkau layanan pencarian.

   

   Petunjuk / Saran

   Portal menggunakan alamat IP klien Anda untuk koneksi langsung. Jika klien Anda berada dalam daftar IP yang diizinkan, Anda dapat menggunakan semua kemampuan portal tanpa konfigurasi tambahan.

5. Tambahkan alamat IP klien untuk perangkat atau layanan lain yang mengirim permintaan ke layanan pencarian. Gunakan format CIDR. Misalnya, 8.8.8.0/24 mewakili alamat IP mulai dari 8.8.8.0 hingga 8.8.8.255.

   Untuk mendapatkan alamat IP publik layanan Azure, lihat Azure Rentang IP dan Tag Layanan. Jika klien pencarian Anda dihosting dalam fungsi Azure, lihat alamat IP di Azure Functions.

6. (Opsional) Di bawah Exceptions, pilih Perbolehkan layanan Azure pada daftar layanan tepercaya untuk mengakses layanan pencarian ini.

   Pengecualian ini memungkinkan layanan Azure tepercaya dengan identitas terkelola dan penetapan peran yang valid untuk melewati firewall. Untuk informasi selengkapnya, lihat akses Grant ke layanan Azure tepercaya.

   

7. Simpan perubahan Anda.

Diperlukan waktu beberapa menit agar perubahan diterapkan. Tunggu setidaknya 15 menit sebelum Anda memecahkan masalah yang terkait dengan konfigurasi jaringan.

Setelah Anda mengaktifkan kebijakan kontrol akses IP, permintaan dari alamat IP di luar daftar yang diizinkan ditolak dengan respons Terlarang 403 .

Memberikan akses ke layanan Azure tepercaya

Jika Anda mengaktifkan pengecualian layanan tepercaya, layanan pencarian Anda menerima permintaan dari sumber daya Azure tepercaya tanpa memeriksa alamat IP. Setiap sumber daya tepercaya harus memiliki identitas terkelola (ditetapkan sistem atau ditetapkan pengguna, tetapi biasanya ditetapkan sistem) dan penetapan peran pada Pencarian Azure AI yang memberikan izin untuk data dan operasi.

Daftar layanan tepercaya untuk Pencarian Azure AI meliputi:

• Microsoft.CognitiveServices untuk Azure OpenAI dan Foundry Tools.
• Microsoft.MachineLearningServices untuk Azure Machine Learning.

Pengecualian ini umumnya digunakan ketika Microsoft Foundry atau Azure Machine Learning mengirim permintaan ke Pencarian Azure AI, seperti selama pengambilan agenik atau vektorisasi terintegrasi.

Sumber daya tepercaya harus memiliki identitas terkelola

Untuk menyiapkan identitas terkelola untuk Azure OpenAI dan Azure Machine Learning, lihat artikel berikut ini:

• Konfigurasi Azure OpenAI dengan autentikasi Microsoft Entra ID
• Siapkan autentikasi antara Azure Machine Learning dan layanan lainnya

Untuk menyiapkan identitas terkelola untuk sumber daya Microsoft Foundry:

1. Buka sumber daya Microsoft Foundry Anda di portal Azure.
2. Dari panel kiri, pilihIdentitas> Sumber Daya.
3. Gunakan tombol untuk mengaktifkan identitas terkelola yang ditetapkan sistem.

Sumber daya tepercaya harus memiliki penetapan peran

Setelah sumber daya Azure Anda memiliki identitas terkelola, menetapkan peran di Pencarian Azure AI untuk memberikan identitas terkelola izin. Peran yang Anda tetapkan tergantung pada beban kerja:

• Kontributor Layanan Pencarian untuk operasi tingkat objek, seperti membuat indeks atau pangkalan pengetahuan.
• Kontributor Data Indeks Pencarian untuk akses konten baca-tulis.
• Pembaca Data Indeks Pencarian untuk akses konten baca-saja.

Saat Anda menetapkan peran, pilih identitas Managed sebagai jenis anggota dan pilih identitas yang ditetapkan sistem dari Microsoft Foundry atau sumber daya Azure Machine Learning Anda.

Langkah selanjutnya

Setelah permintaan diizinkan melalui firewall, permintaan harus diautentikasi dan diotorisasi. Anda memiliki dua pilihan:

• Autentikasi berbasis kunci, di mana kunci API admin atau kueri disediakan berdasarkan permintaan. Ini adalah opsi default.

• Kontrol akses berbasis peran, di mana pemanggil adalah anggota peran keamanan pada layanan pencarian. Opsi ini adalah yang paling aman. Ini menggunakan Microsoft Entra ID untuk autentikasi dan penetapan peran pada Pencarian Azure AI untuk izin mengakses data dan melakukan operasi.