Utilize o API Management do Azure com competências e vetorizadores do Azure OpenAI no Pesquisa de IA do Azure

Pode colocar API Management do Azure à frente de Azure OpenAI in Microsoft Foundry Models e das implementações do Microsoft Foundry para centralizar o encaminhamento, o balanceamento de carga, a limitação da taxa e a observabilidade para cargas de trabalho do Pesquisa de IA do Azure que utilizam modelos do Foundry. Este artigo descreve os cenários suportados, o padrão recomendado de autenticação e controlo de acesso baseado em papéis (RBAC), e como tornar opcionalmente a ligação do Pesquisa de IA do Azure privada.

Cenários suportados

Pode invocar uma implementação de um modelo do Microsoft Foundry através do API Management a partir das seguintes funcionalidades do Pesquisa de IA do Azure:

• Azure OpenAI embedding skill
• Vectorizador do Azure OpenAI
• Competência em prompts de GenAI

Para cada caso, defina o ponto final da competência ou do vetorizador como o URL do gateway de Gestão de APIs, seja https://<resource-name>.azure-api.net ou um domínio personalizado da Gestão de APIs.

Cenários não suportados

A Gestão de APIs não é suportada como gateway para:

• O modelo de linguagem de grande dimensão (LLM) utilizado pela capacidade Azure Content Understanding.
• O LLM utilizado por uma base de conhecimento na recuperação agentiva.

Arquitetura

Existem dois fluxos comuns. Ambos usam a mesma configuração de Gestão de API no backend.

Caminho público

O Pesquisa de IA do Azure faz chamadas ao gateway do API Management através do respetivo ponto final público. A API Management autentica-se para o recurso Microsoft Foundry e encaminha o pedido.

Azure AI Search (skill or vectorizer)
   └─▶ API Management gateway (azure-api.net or custom domain)
          [API Management policies authenticate the caller]
          [API Management's managed identity authenticates to Foundry]
          └─▶ Azure OpenAI in Foundry Models / Microsoft Foundry resource

Caminho privado do Pesquisa de IA do Azure para API Management

Quando o serviço de pesquisa tiver de chegar à API Management de forma privada, crie uma ligação privada partilhada do serviço de pesquisa para a instância de API Management e execute indexadores no ambiente privado de execução.

Azure AI Search (private indexer execution)
   └─▶ Shared private link (Microsoft.ApiManagement/service, group "Gateway")
          └─▶ API Management private endpoint
                 └─▶ Microsoft Foundry resource (public or private endpoint)

Gestão de API para Foundry é o padrão padrão de backend. Para orientações mais aprofundadas sobre topologia, incluindo variantes multirregião, multi-instância e ativa-ativa ou ativa-passiva, consulte Utilizar um gateway para várias implementações ou instâncias do Azure OpenAI e Descrição geral das capacidades do gateway de IA generativa no API Management do Azure.

Configura o endpoint no teu skill ou vetorizador

Defina o endpoint da skill ou do vetorizador para o URL do gateway de Gestão de API:

Autenticação e RBAC

Duas identidades estão envolvidas. Têm responsabilidades diferentes e diferentes atribuições de funções.

O padrão recomendado é terminação e restabelecimento de credenciais: o autor da chamada autentica-se no API Management e o API Management utiliza a sua própria identidade gerida para se autenticar no recurso Microsoft Foundry. Para mais informações, consulte autorização do Azure OpenAI no guia de arquitetura do gateway AOAI.

Opções de autenticação no gateway de Gestão de API

Escolha uma das seguintes opções para como o Pesquisa de IA do Azure se autentica na API Management. Para mais informações e exemplos de políticas, consulte Autenticar e autorizar o acesso a APIs de LLM utilizando a Gestão de APIs.

• Subscription key: API Management armazena a chave API do recurso Microsoft Foundry num valor nomeado, e uma política transmite-a no pedido backend. Esta é a opção mais simples de configurar. Utiliza a set-header política com o api-key cabeçalho. Como o serviço de pesquisa envia apenas a chave de subscrição do API Management, não é necessária uma função do Microsoft Entra ID atribuída à identidade gerida do serviço de pesquisa.

• Identidade gerida no gateway com validação OAuth: A Gestão da API utiliza a política validate-azure-ad-token para validar um token Microsoft Entra ID apresentado pela identidade gerida do serviço de pesquisa. Usa esta opção para defesa em profundidade.

• (Obrigatório para o padrão recomendado) Identidade gerida de Gestão de APIs para o backend:Ative uma identidade gerida atribuída pelo sistema ou pelo utilizador na instância de Gestão de APIs, e depois atribua-lhe o papel Serviços Cognitivos OpenAI User no recurso Microsoft Foundry. Veja Autenticar com identidade gerida e controlo de acesso baseado em funções para o Azure OpenAI.

Conectividade privada entre o Pesquisa de IA do Azure e o API Management

Ignore esta secção se o Pesquisa de IA do Azure aceder ao API Management através do respetivo ponto final público.

Para restringir o tráfego de saída do serviço de pesquisa para um canal privado:

1. Crie um link privado partilhado do serviço de pesquisa para a instância de Gestão de APIs. Use o tipo de recurso Microsoft.ApiManagement/service e o ID de grupo Gateway. Para obter os passos, veja Criar ligações de saída através de uma ligação privada partilhada.

2. Aprove a ligação ao endpoint privado na instância de Gestão de APIs.

3. Configure indexadores que utilizam a skill ou o vetorizador para serem executados no ambiente de execução privado.

O link privado partilhado conta contra o limite de link privado partilhado para o teu nível de serviço de pesquisa.

Conectividade privada da API Management para o recurso Microsoft Foundry

O canal privado da API Management para o recurso Microsoft Foundry é independente da ligação search-to-API Management e está configurado do lado da API Management. Para opções, veja:

• Usar uma rede virtual com o Gerenciamento de API do Azure
• Configurar a rede do Azure OpenAI

Conteúdo relacionado

• Azure OpenAI embedding skill
• Vectorizador do Azure OpenAI
• Competência em prompts de GenAI
• Faça conexões de saída por meio de um link privado compartilhado
• Utilizar uma gateway em frente a múltiplos deployments ou instâncias do Azure OpenAI