Een zoekservice toevoegen aan een netwerkbeveiligingsperimeter

Een netwerkbeveiligingsperimeter is een logische netwerkgrens rond uw PaaS-resources (Platform as a Service) die u buiten een virtueel netwerk implementeert. Er wordt een perimeter ingesteld voor het beheren van de toegang van openbare netwerken tot resources zoals Azure AI Zoeken, Azure Storage en Azure OpenAI in Microsoft Foundry Models.

In dit artikel wordt uitgelegd hoe u een Azure AI Zoeken-service koppelt aan een netwerkbeveiligingsperimeter om de netwerktoegang tot uw zoekservice te beheren. Door lid te worden van een netwerkbeveiligingsperimeter, kunt u het volgende doen:

• Registreer alle toegang tot uw zoekservice in context met andere Azure-resources in dezelfde perimeter.
• Blokkeer gegevensexfiltratie van een zoekservice naar andere services buiten de perimeter.
• Toegang tot uw zoekservice toestaan met behulp van de mogelijkheden voor binnenkomende en uitgaande toegang van de netwerkbeveiligingsperimeter.

U kunt een zoekservice toevoegen aan een netwerkbeveiligingsperimeter in Azure Portal, zoals beschreven in dit artikel. U kunt ook de REST API's van Search Management gebruiken om de configuratie-instellingen weer te geven en te synchroniseren.

Vereisten

• Een bestaande netwerkbeveiligingsperimeter. U kunt er een maken om te koppelen aan uw zoekservice.

• Azure AI Zoeken, elke factureerbare laag, in elke regio.

• Azure-roltoewijzingen: Network Security Perimeter Contributor op de perimeter (of de resourcegroep of het abonnement) voor het maken en beheren van de perimeter, profielen, toegangsregels en associaties. Inzender voor zoekservice (of inzender) in de zoekservice om deze te koppelen aan een perimeter. Zie Wat is een netwerkbeveiligingsperimeter? voor meer informatie.

• Als u indexeerfuncties wilt gebruiken, configureert u de zoekservice met een door het systeem of de gebruiker toegewezen beheerde identiteit en wijst u de identiteit een geschikte gegevensvlakrol toe aan elke gegevensbron.

Beperkingen

• Ondersteunde gegevensbronnen voor indexeerfuncties zijn momenteel beperkt tot Azure Blob Storage, Azure Cosmos DB for NoSQL en Azure SQL Database.

• Indexer-verbindingen met Azure PaaS voor het ophalen van gegevens vormen het belangrijkste toepassingsscenario binnen de perimeter. Voor ander verkeer configureert u regels voor binnenkomend en uitgaand verkeer. Zie Outbound-toegang tot Microsoft Foundry-resources voor uitgaande aanroepen naar Microsoft Foundry-resources. Gedeelde privékoppeling is een alternatief voor specifieke resourcetypen.

Uitgaande toegang tot Microsoft Foundry-resources

Een netwerkbeveiligingsperimeter waar zowel uw zoekservice als een Microsoft Foundry-resource deel van uitmaken, biedt een privékanaal voor uitgaande aanroepen daartussen. Omdat de perimeter op de resource- en netwerklaag werkt, gebruikt elke zoekservicefunctie die de Foundry-resource aanroept hetzelfde toegestane pad, waaronder:

• Alle vaardigheden die een Foundry-resource aanroepen, zoals de Azure OpenAI-insluitvaardigheid, GenAI-promptvaardigheid, Content Understanding-vaardigheid en andere Foundry-resourcevaardigheden voor AI-verrijking en facturering.

• De Azure OpenAI vectorizer tijdens het uitvoeren van een query tijdens geïntegreerde vectorisatie.

• Agentische gegevensophaling aanroepen van een kennisagent naar een Foundry-modelimplementatie.

Het privékanaal inschakelen:

1. Voeg zowel uw zoekservice als de Foundry-resource toe aan dezelfde netwerkbeveiligingsperimeter of aan perimeters die communicatie tussen deze resources mogelijk maken.

2. Als beide resources zich binnen dezelfde perimeter bevinden en de zoekservice zich bij de Foundry-resource authenticeert met behulp van een beheerde identiteit, hoeft u geen uitgaande regel toe te voegen. Intraperimeterverkeer is impliciet toegestaan. Als de resources zich in verschillende perimeters bevinden of de zoekservice wordt geverifieerd met API-sleutels, voegt u een uitgaande FQDN-toegangsregel toe aan de perimeter die is gekoppeld aan uw zoekservice die is gericht op de hostnaam van de Foundry-resource. Zie Add Microsoft Foundry to a network security perimeter voor richtlijnen over het Foundry-deel van de configuratie.

3. Toegang valideren in twee fasen:

   1. Voer, terwijl de perimeter in de leermodus staat, een skillset, vectorizer-query of agentische retrievalaanroep uit waarbij de Foundry-resource wordt aangeroepen. Controleer de perimeterlogboeken om het verwachte toegangspad te bevestigen.

   2. Schakel over naar de afgedwongen modus en voer dezelfde bewerking opnieuw uit. Bevestig het succes in de uitvoeringsgeschiedenis van de indexeerfunctie en in de logboeken met toegestane uitgaande verbindingen van de perimeter.

Netwerkbeveiligingsperimeterondersteuning (NSP) voor Microsoft.CognitiveServices resources van het type AIServices (Microsoft Foundry) is algemeen beschikbaar. NSP-ondersteuning voor resources van het type OpenAI (Azure OpenAI Service) is beschikbaar als openbare preview. Zie Onboarded Private Link-resources voor de huidige ondersteuningslijst.

Gedeelde privékoppeling naar de Foundry-resource blijft ondersteund als alternatief.

Een zoekservice toewijzen aan een netwerkbeveiligingsperimeter

Koppel uw zoekservice aan een perimeter zodat al het indexerings- en queryverkeer wordt beheerd door perimeterregels.

1. Zoek in Azure Portal de perimeterservice voor netwerkbeveiliging voor uw abonnement.

2. In het linkerdeelvenster selecteer Instellingen>Gekoppelde bronnen.

   

3. Selecteer .

   

4. Selecteer het profiel dat u hebt gemaakt toen u de netwerkbeveiligingsperimeter voor Profiel maakte.

5. Selecteer Toevoegen en selecteer vervolgens uw zoekservice.

   

6. Selecteer Koppelen in de linkerbenedenhoek om de koppeling te maken.

Een zoekservice verwijderen uit een netwerkbeveiligingsperimeter

Een zoekservice loskoppelen van een perimeter:

1. Ga naar uw perimeterresource voor netwerkbeveiliging in Azure Portal.

2. In het linkerdeelvenster selecteer Instellingen>Gekoppelde bronnen.

3. Zoek uw zoekservice in de tabel, selecteer de drie puntjes aan het einde van de rij en selecteer vervolgens Koppeling verwijderen.

4. Bevestig de verwijdering. Nadat de koppeling is verwijderd, zijn perimeterregels niet meer van toepassing op de zoekservice en beheert de publicNetworkAccess instelling voor de zoekservice opnieuw inkomend verkeer.

Perimetertoegangsmodi voor netwerkbeveiliging

Netwerkbeveiligingsperimeter ondersteunt twee verschillende toegangsmodi voor gekoppelde resources:

Netwerkbeveiligingsperimeter- en zoekservicenetwerkinstellingen

De publicNetworkAccess instelling bepaalt de koppeling van zoekservice met een netwerkbeveiligingsperimeter.

• In de leermodus beheert de publicNetworkAccess instelling de openbare toegang tot de resource.

• In de afgedwongen modus overschrijven de perimeterregels voor netwerkbeveiliging de publicNetworkAccess instelling. Als bijvoorbeeld een zoekservice met een publicNetworkAccess instelling enabled is gekoppeld aan een netwerkbeveiligingsperimeter in de afgedwongen modus, wordt de toegang tot de zoekservice nog steeds beheerd door perimetertoegangsregels voor netwerkbeveiliging.

De perimetertoegangsmodus voor netwerkbeveiliging wijzigen

1. Ga naar uw perimeterresource voor netwerkbeveiliging in Azure Portal.

2. In het linkerdeelvenster selecteer Instellingen>Gekoppelde bronnen.

   

3. Zoek uw zoekservice in de tabel.

4. Selecteer de drie puntjes aan het einde van de rij en selecteer vervolgens De toegangsmodus wijzigen.

   

5. Selecteer de gewenste toegangsmodus en selecteer vervolgens Toepassen.

   

Netwerktoegang voor logboekregistratie inschakelen

1. Ga naar uw perimeterresource voor netwerkbeveiliging in Azure Portal.

2. Selecteer Bewaken>Diagnostische instellingen in het linkerpaneel.

   

3. Selecteer Diagnostische instellingen toevoegen.

4. Voer een willekeurige naam in, bijvoorbeeld diagnosticvoor de naam van de diagnostische instelling.

5. Onder Logboeken, selecteer alleLogs. allLogs zorgt ervoor dat alle binnenkomende en uitgaande netwerktoegang tot resources in uw netwerkbeveiligingsperimeter wordt vastgelegd.

6. Selecteer Onder Doeldetails archiveren naar een opslagaccount of verzenden naar Log Analytics-werkruimte. Het opslagaccount moet zich in dezelfde regio bevinden als de netwerkbeveiligingsperimeter. U kunt een bestaand opslagaccount gebruiken of een nieuw opslagaccount maken. Een Log Analytics-werkruimte kan zich in een andere regio bevinden dan de werkruimte die wordt gebruikt door de netwerkbeveiligingsperimeter. U kunt ook een van de andere toepasselijke bestemmingen selecteren.

   

7. Selecteer Opslaan om de diagnostische instelling te maken en de netwerktoegang te registreren.

8. Als u wilt controleren of logboekregistratie actief is, genereert u verkeer naar de zoekservice (bijvoorbeeld een query uitvoeren). Voer binnen ongeveer 10 minuten een query uit op de tabel NSPAccessLogs in Log Analytics of controleer de bijbehorende insights-logs-*-container in het opslagaccount.

Logboeken voor netwerktoegang lezen

Perimeterlogboeken voor netwerkbeveiliging worden bezorgd bij de bestemmingen die u hebt geselecteerd in diagnostische instellingen. De meest voorkomende bestemmingen zijn een Log Analytics werkruimte en een opslagaccount.

Log Analytics-werkruimte

De NSPAccessLogs tabel bevat alle logboeken voor elke logboekcategorie, zoals NspPublicInboundPerimeterRulesAllowed. Elk logboek bevat een record van de netwerkbeveiligingsperimeternetwerktoegang die overeenkomt met de logboekcategorie.

Hier volgt een voorbeeld van de NspPublicInboundPerimeterRulesAllowed logboekindeling:

opslagaccount

Het opslagaccount heeft containers voor elke logboekcategorie, zoals insights-logs-nsppublicinboundperimeterrulesallowed. De mapstructuur in de container komt overeen met de resource-id van de netwerkbeveiligingsperimeter en de tijd waarop de logboeken zijn genomen. Elke regel in het JSON-logboekbestand bevat een record van de netwerkbeveiligingsperimeternetwerktoegang die overeenkomt met de logboekcategorie.

In het toegestane categorielogboek voor binnenkomende perimeterregels wordt bijvoorbeeld de volgende indeling gebruikt:

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

Een toegangsregel voor uw zoekservice toevoegen

Een perimeterprofiel voor netwerkbeveiliging geeft regels op die toegang via de perimeter toestaan of weigeren.

Binnen de perimeter hebben alle resources wederzijdse toegang op netwerkniveau. U moet nog steeds verificatie en autorisatie instellen, maar op netwerkniveau worden verbindingsaanvragen van binnen de perimeter geaccepteerd.

Voor resources buiten de netwerkbeveiligingsperimeter moet u regels voor binnenkomende en uitgaande toegang opgeven. Regels voor binnenkomend verkeer geven aan welke verbindingen zijn toegestaan, en regels voor uitgaand verkeer bepalen welke aanvragen zijn toegestaan.

Een zoekservice accepteert binnenkomende aanvragen van apps zoals de Microsoft Foundry-portal en elke app die indexerings- of queryaanvragen verzendt. Een zoekservice verzendt uitgaande aanvragen tijdens indexering en uitvoering van vaardighedensets op basis van indexeerfuncties. In deze sectie wordt uitgelegd hoe u regels voor binnenkomende en uitgaande toegang instelt voor Azure AI Zoeken-scenario's.

Een regel voor binnenkomende toegang toevoegen

Regels voor binnenkomende toegang kunnen het internet en de resources buiten de perimeter verbinding laten maken met resources binnen de perimeter.

Netwerkbeveiligingsperimeter ondersteunt twee typen binnenkomende toegangsregels:

• IP-adresbereiken. IP-adressen of reeksen moeten de CIDR-indeling (Classless Inter-Domain Routing) hebben. Een voorbeeld van CIDR-notatie is 192.0.2.0/24, dat de IP-adressen vertegenwoordigt die variëren van 192.0.2.0 tot 192.0.2.255. Met dit type regel kunnen binnenkomende aanvragen van elk IP-adres binnen het bereik worden toegestaan.

• Abonnementen. Met dit type regel kan binnenkomende toegang worden geverifieerd met behulp van een beheerde identiteit van het abonnement. De regel bepaalt alleen het netwerkpad; de aanroeper heeft nog steeds een Azure RBAC-roltoewijzing voor de zoekservice nodig.

Ga als volgende te werk om een regel voor binnenkomende toegang toe te voegen in Azure Portal:

1. Ga naar uw perimeterresource voor netwerkbeveiliging in Azure Portal.

2. Selecteer Instellingenprofielen> in het linkerdeelvenster.

   

3. Selecteer het profiel dat u gebruikt met uw netwerkbeveiligingsperimeter.

   

4. Selecteer in het linkerdeelvenster Instellingen>voor binnenkomende toegangsregels.

   

5. Selecteer Toevoegen.

   

6. Voer de volgende waarden in of selecteer deze:

   Instelling	Waarde
   Naam van de regel	De naam voor de regel voor binnenkomende toegang, zoals MyInboundAccessRule.
   Brontype	Geldige waarden zijn IP-adresbereiken of Abonnementen.
   Toegestane bronnen	Als u IP-adresbereiken hebt geselecteerd, voert u het IP-adresbereik in cidr-indeling in waaruit u binnenkomende toegang wilt toestaan. Download het bestand Azure IP-bereiken en servicetags. Als u Abonnementen hebt geselecteerd, gebruikt u het abonnement waaruit u binnenkomende toegang wilt toestaan.

7. Selecteer Toevoegen om de regel voor binnenkomende toegang te maken.

   

8. Als u de regel wilt controleren, schakelt u de koppeling over naar de afgedwongen modus in een testprofiel. Controleer of overeenkomende aanvragen worden weergegeven in de NspPublicInboundPerimeterRulesAllowed logboekcategorie en niet-overeenkomende aanvragen worden weergegeven in de NspPublicInboundPerimeterRulesDenied categorie.

Een uitgaande toegangsregel toevoegen

Een zoekservice voert uitgaande oproepen uit tijdens indexering op basis van indexers en de uitvoering van vaardighedenpakketten. Als de gegevensbronnen van uw indexeerfunctie, een gekoppelde Microsoft Foundry-resource voor Foundry Tools-factureringsvaardigheden of aangepaste vaardigheidslogica zich buiten de netwerkbeveiligingsperimeter bevinden, maakt u een regel voor uitgaande toegang waarmee uw zoekservice de verbinding kan maken.

Binnen de beveiligingsperimeter kunnen indexeerfuncties verbinding maken met Azure Blob Storage, Azure Cosmos DB voor NoSQL en Azure SQL Database. Als uw indexeerfuncties andere gegevensbronnen gebruiken, hebt u een uitgaande toegangsregel nodig om die verbinding te ondersteunen.

De netwerkbeveiligingsperimeter ondersteunt uitgaande toegangsregels op basis van de FQDN (Fully Qualified Domain Name) van de bestemming. U kunt bijvoorbeeld uitgaande toegang toestaan vanuit elke service die is gekoppeld aan uw netwerkbeveiligingsperimeter naar een FQDN, zoals mystorageaccount.blob.core.windows.net.

Volg deze stappen om een uitgaande toegangsregel toe te voegen in de Azure-portal:

1. Ga naar uw perimeterresource voor netwerkbeveiliging in Azure Portal.

2. Selecteer Instellingenprofielen> in het linkerdeelvenster.

   

3. Selecteer het profiel dat u gebruikt met uw netwerkbeveiligingsperimeter.

   

4. Selecteer in het linkerdeelvenster Instellingen>uitgaande toegangsregels.

   

5. Selecteer Toevoegen.

   

6. Voer de volgende waarden in of selecteer deze:

   Instelling	Waarde
   Naam van de regel	De naam voor de uitgaande toegangsregel, zoals MyOutboundAccessRule.
   Doeltype	Laat staan als FQDN.
   Toegestane bestemmingen	Voer een door komma's gescheiden lijst in met FQDN's waarvoor u uitgaande toegang wilt toestaan.

7. Selecteer Toevoegen om de uitgaande toegangsregel te maken.

   

8. Als u de regel wilt controleren, schakelt u de koppeling over naar de afgedwongen modus in een testprofiel. Controleer of overeenkomende uitgaande aanvragen worden weergegeven in de NspPublicOutboundPerimeterRulesAllowed logboekcategorie.

Uw verbinding testen via de netwerkbeveiligingsperimeter

Als u uw verbinding wilt testen via de netwerkbeveiligingsperimeter, hebt u toegang nodig tot een webbrowser, hetzij op een lokale computer met een internetverbinding of een Azure-VM.

1. Wijzig de netwerkbeveiligingsperimeterkoppeling in de afgedwongen modus om te beginnen met het afdwingen van netwerkbeveiligingsperimetervereisten voor netwerktoegang tot uw zoekservice.

2. Kies een client:

   1. Haal uw openbare IP-adres op voor een lokale computer.

   2. Gebruik voor een Azure-VM private link of zoek het IP-adres in de Azure-portal.

3. Maak een regel voor binnenkomende toegang voor dat IP-adres om toegang toe te staan.

4. Open uw zoekservice in de Azure-portal en bekijk de bijbehorende indexen.

   • Verwachte succes: De indexlijst wordt geladen en u kunt een testquery uitvoeren. De binnenkomende IP-regel werkt.

   • Als u de fout 403 of Openbare netwerktoegang is uitgeschakeld ziet: Het IP-adres van de client of de Azure-portal wordt niet gedekt door een regel voor inkomend verkeer. Controleer de regels voor binnenkomende toegang.

Veelvoorkomende problemen oplossen

Configuratie van netwerkbeveiligingsperimeter weergeven en beheren

Gebruik de REST API's voor netwerkbeveiligingsperimeterconfiguratie om perimeterconfiguraties in een zoekservice te controleren en af te stemmen.

Geef bijvoorbeeld de huidige perimeterconfiguraties op een zoekservice weer:

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

Als de configuratie niet is gesynchroniseerd met de perimeter, activeert u een afstemming:

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

Gebruik de nieuwste stabiele versie van de REST API's van Search Management. Zie Uw Azure AI Zoeken-service beheren met REST API's voor meer informatie.

Verwante inhoud

• Perimeterconcepten voor netwerkbeveiliging
• Een zoekservice configureren om verbinding te maken met een beheerde identiteit
• uitgaande verbindingen maken via een gedeelde privékoppeling
• Add Microsoft Foundry aan een netwerkbeveiligingsperimeter