Toegang voor indexers tot inhoud die wordt beveiligd door Azure netwerkbeveiliging

Als uw Azure-resources worden geïmplementeerd in een virtueel Azure-netwerk, wordt in dit conceptartikel uitgelegd hoe een zoekindexeerfunctie toegang heeft tot inhoud die wordt beveiligd door netwerkbeveiliging. Hierin worden de uitgaande verkeerspatronen en uitvoeringsomgevingen van de indexeerfunctie beschreven. Het omvat ook de netwerkbeveiligingen die worden ondersteund door Azure AI Zoeken en factoren die van invloed kunnen zijn op uw beveiligingsstrategie. Ten slotte, omdat Azure Storage wordt gebruikt voor zowel gegevenstoegang als permanente opslag, wordt in dit artikel ook aandacht besteed aan netwerkoverwegingen die specifiek zijn voor zoeken en opslagconnectiviteit.

Zoekt u in plaats daarvan stapsgewijze instructies? Zie hoe u firewallregels kunt configureren om indexer-toegang toe te staan of hoe u uitgaande verbindingen kunt maken via een privé-eindpunt.

Resources die worden benaderd door indexeerders

Indexeerfuncties van Azure AI Zoeken kunnen in drie situaties uitgaande aanroepen naar verschillende Azure-resources uitvoeren:

• Verbindingen met externe gegevensbronnen tijdens het indexeren
• Verbindingen met externe, ingekapselde code via een vaardighedenset die aangepaste vaardigheden bevat
• Verbindingen met Azure Storage tijdens de uitvoering van vaardighedensets om verrijkingen in de cache op te slaan, sessiestatus voor foutopsporing op te slaan of naar een kennisarchief te schrijven

In de onderstaande tabel vindt u een lijst met alle mogelijke Azure-resourcetypen waartoe een indexeerfunctie toegang kan krijgen in een typische uitvoering.

Indexeerfuncties maken verbinding met resources met behulp van de volgende methoden:

• Een openbaar eindpunt met referenties
• Een privé-eindpunt met behulp van Azure Private Link
• Verbinding maken als een vertrouwde service
• Verbinding maken via IP-adressering

Als uw Azure-resource zich in een virtueel netwerk bevindt, moet u een privé-eindpunt of IP-adressering gebruiken om indexeerverbindingen met de gegevens toe te staan.

Ondersteunde netwerkbeveiligingen

Uw Azure-resources kunnen worden beveiligd met behulp van een willekeurig aantal netwerkisolatiemechanismen die door Azure worden aangeboden. Afhankelijk van de resource en regio kunnen Azure AI Zoeken-indexeerfuncties uitgaande verbindingen maken via IP-firewalls en privé-eindpunten, afhankelijk van de beperkingen die in de volgende tabel worden aangegeven.

Uitvoeringsomgevingen voor netwerktoegang en indexeerfunctie

Azure AI Zoeken heeft het concept van een uitvoeringsomgeving voor indexeerfuncties die de verwerking optimaliseert op basis van de kenmerken van de taak. Er zijn twee omgevingen. Als u een IP-firewall gebruikt om de toegang tot Azure resources te beheren, kunt u met kennis over uitvoeringsomgevingen een IP-bereik instellen dat uit beide omgevingen bestaat.

Voor elke uitvoering van een indexeerfunctie bepaalt Azure AI Zoeken de beste omgeving waarin de indexeerfunctie moet worden uitgevoerd. Afhankelijk van het aantal en de typen taken die zijn toegewezen, wordt de indexeerfunctie uitgevoerd in een van de twee omgevingen:

¹ Om zware belasting van de privé-uitvoeringsomgeving te voorkomen, kunnen indexeerfuncties met meer dan twee Azure OpenAI Embedding of Azure Vision multimodale insluitingsvaardigheden niet worden uitgevoerd in deze omgeving.

IP-bereiken instellen voor de uitvoering van de indexeerfunctie

In deze sectie wordt de IP-firewallconfiguratie uitgelegd voor het toelaten van aanvragen vanuit een van beide uitvoeringsomgevingen.

Als uw Azure-resource zich achter een firewall bevindt, stelt u binnenkomende regels in waarmee indexeerverbindingen worden toegegeven voor alle IP-adressen waarvan een indexeerfunctieaanvraag afkomstig kan zijn. Dit omvat het IP-adres dat wordt gebruikt door de zoekservice en de IP-adressen die worden gebruikt door de omgeving met meerdere tenants.

• Gebruik nslookup (of ping) om de volledig gekwalificeerde domeinnaam (FQDN) van uw zoekservice te vinden om het IP-adres van de zoekservice (en de privé-uitvoeringsomgeving) te verkrijgen. De FQDN van een zoekservice in de openbare cloud zou zijn <service-name>.search.windows.net.

• Gebruik de AzureCognitiveSearch servicetag om de IP-adressen te verkrijgen van de omgevingen met meerdere tenants waarin een indexeerfunctie kan worden uitgevoerd.

  Azure-servicetags hebben een gepubliceerd bereik met IP-adressen van de multitenant-omgevingen voor elke regio. U vindt deze IP-adressen met behulp van de detectie-API of een downloadbaar JSON-bestand. IP-bereiken worden toegewezen per regio, dus controleer uw zoekserviceregio voordat u begint.

IP-regels instellen voor Azure SQL

Bij het instellen van de IP-regel voor de omgeving met meerdere tenants ondersteunen bepaalde SQL-gegevensbronnen een eenvoudige benadering voor IP-adresspecificatie. In plaats van alle IP-adressen in de regel op te sommen, kunt u een regel voor netwerkbeveiligingsgroepen maken waarmee de AzureCognitiveSearch servicetag wordt opgegeven.

U kunt de servicetag opgeven als uw gegevensbron een van de volgende opties is:

• SQL Server op virtuele machines van Azure

• Met SQL beheerde exemplaren

Als u de servicetag voor de IP-regel voor de multitenant-omgeving hebt opgegeven, hebt u nog steeds een expliciete binnenkomende regel nodig voor de privé-uitvoeringsomgeving (wat betekent de zoekservice zelf), zoals verkregen via nslookup.

Een connectiviteitsbenadering kiezen

U kunt een zoekservice niet inrichten in een specifiek virtueel netwerk, omdat deze niet systeemeigen wordt uitgevoerd op een virtuele machine. Hoewel sommige Azure resources service-eindpunten voor virtuele netwerken bieden, biedt Azure AI Zoeken deze functionaliteit niet. Plan een van de volgende methoden te implementeren.

Verbindingen via een privé-eindpunt moeten afkomstig zijn van de privé-uitvoeringsomgeving van de zoekservice.

Het configureren van een IP-firewall is gratis. Een privé-eindpunt, dat is gebaseerd op Azure Private Link, heeft een invloed op de facturering. Zie prijzen voor Azure Private Link voor meer informatie.

Nadat u netwerkbeveiliging hebt geconfigureerd, volgt u roltoewijzingen op die aangeven welke gebruikers en groepen lees- en schrijftoegang hebben tot uw gegevens en bewerkingen.

Overwegingen voor het gebruik van een privé-eindpunt

In deze sectie wordt de optie voor privéverbindingen beperkt.

• Voor een gedeelde privékoppeling is een factureerbare zoekservice vereist, waarbij de minimumlaag Basic is voor indexering op basis van tekst of Standard 2 (S2) voor indexering op basis van vaardigheden. Zie laaglimieten voor het aantal privé-eindpunten voor meer informatie.

• Zodra een gedeelde privékoppeling is gemaakt, gebruikt de zoekservice deze altijd voor elke indexeerfunctieverbinding met die specifieke Azure-resource. De privéverbinding wordt intern vergrendeld en afgedwongen. U kunt de privéverbinding voor een openbare verbinding niet omzeilen.

• Hiervoor is een factureerbare Azure Private Link-resource vereist.

• Vereist dat een abonnementseigenaar de verbinding met het privé-eindpunt goedkeurt.

• Hiervoor moet u de uitvoeringsomgeving voor meerdere tenants uitschakelen voor de indexeerfunctie.

  U doet dit door de executionEnvironment indexeerfunctie in te stellen op "private". Deze stap zorgt ervoor dat alle uitvoering van de indexeerfunctie is beperkt tot de privéomgeving die is ingericht in de zoekservice. Deze instelling is gericht op een indexeerfunctie en niet op de zoekservice. Als u wilt dat alle indexeerfuncties verbinding maken via privé-eindpunten, moet elke indexeerfunctie de volgende configuratie hebben:

      {
        "name" : "myindexer",
        ... other indexer properties
        "parameters" : {
            ... other parameters
            "configuration" : {
              ... other configuration properties
              "executionEnvironment": "private"
            }
          }
      }
  

Zodra u een goedgekeurd privé-eindpunt voor een resource hebt, proberen indexeerders die zijn ingesteld als privé toegang te verkrijgen via de privékoppeling die is gemaakt en goedgekeurd voor de Azure-resource.

Azure AI Zoeken valideert dat bellers van het privé-eindpunt de juiste roltoewijzingen hebben. Als u bijvoorbeeld een privé-eindpuntverbinding aanvraagt met een opslagaccount met alleen-lezenmachtigingen, wordt deze aanroep geweigerd.

Als het privé-eindpunt niet is goedgekeurd of als de indexeerfunctie de privé-eindpuntverbinding niet heeft gebruikt, ziet u een transientFailure foutbericht in de uitvoeringsgeschiedenis van de indexeerfunctie.

Netwerkbeveiliging aanvullen met tokenverificatie

Firewalls en netwerkbeveiliging zijn een eerste stap bij het voorkomen van onbevoegde toegang tot gegevens en bewerkingen. Autorisatie moet uw volgende stap zijn.

We raden aan op rollen gebaseerde toegang, waarbij Microsoft Entra ID-gebruikers en -groepen worden toegewezen aan rollen die lees- en schrijftoegang tot uw service bepalen. Zie Verbinding maken met Azure AI Zoeken met behulp van op rollen gebaseerd toegangsbeheer voor een beschrijving van ingebouwde rollen en instructies voor het maken van aangepaste rollen.

Als u geen verificatie op basis van sleutels nodig hebt, raden we u aan API-sleutels uit te schakelen en uitsluitend roltoewijzingen te gebruiken.

Toegang tot een met netwerk beveiligd opslagaccount

Een zoekservice slaat indexen en synoniemenlijsten op. Voor andere functies waarvoor opslag is vereist, heeft Azure AI Zoeken een afhankelijkheid van Azure Storage. Verrijkingscache, foutopsporingssessies en kennisarchieven vallen in deze categorie. De locatie van elke service en eventuele netwerkbeveiligingen voor opslag bepalen uw strategie voor gegevenstoegang.

Services in dezelfde regio

Voor toegang via een firewall in Azure Storage is vereist dat de aanvraag afkomstig is van een andere regio. Als Azure Storage en Azure AI Zoeken zich in dezelfde regio bevinden, kunt u de IP-beperkingen voor het opslagaccount omzeilen door toegang te krijgen tot gegevens onder de systeemidentiteit van de zoekservice.

Er zijn twee opties voor het ondersteunen van gegevenstoegang met behulp van de systeemidentiteit:

• Configureer de zoekfunctie om te worden uitgevoerd als een vertrouwde service en gebruik de uitzondering voor vertrouwde services in Azure Storage.

• Configureer een resource-exemplaarregel in Azure Storage waarmee binnenkomende aanvragen van een Azure-resource worden toegestaan.

De bovenstaande opties zijn afhankelijk van de Microsoft Entra-id voor verificatie. Dit betekent dat de verbinding moet worden gemaakt met een Microsoft Entra-aanmelding. Op dit moment wordt alleen een door het Azure AI Zoeken-systeem toegewezen beheerde identiteit ondersteund voor verbindingen met dezelfde regio via een firewall.

Services in verschillende regio's

Wanneer zoeken en opslag zich in verschillende regio's bevinden, kunt u de eerder genoemde opties gebruiken of IP-regels instellen waarmee aanvragen van uw service worden toegestaan. Afhankelijk van de workload moet u mogelijk regels instellen voor meerdere uitvoeringsomgevingen, zoals beschreven in de volgende sectie.

Volgende stappen

Nadat u bekend bent met indexeeropties voor gegevenstoegang voor oplossingen die zijn geïmplementeerd in een virtueel Azure-netwerk, kunt u een van de volgende artikelen raadplegen als uw volgende stap:

• Hoe indexerverbindingen met een privé-eindpunt te maken
• Indexeerfunctieverbindingen maken via een IP-firewall