Använd Azure API Management med Azure OpenAI-kunskaper och vektoriserare i Azure AI-sökning

Du kan placera Azure API Management framför Azure OpenAI i Microsoft Foundry Models och Microsoft Foundry distributioner för att centralisera routning, belastningsutjämning, begränsning och observerbarhet för Azure AI-sökning arbetsbelastningar som använder Foundry-modeller. Den här artikeln beskriver de scenarier som stöds, det rekommenderade autentiserings- och rollbaserade åtkomstkontrollmönstret (RBAC) och hur du kan göra anslutningen från Azure AI-sökning privat.

Scenarier som stöds

Du kan anropa en Microsoft Foundry-modelldistribution via API Management från dessa Azure AI-sökning funktioner:

• Inbäddningsfärdighet för Azure OpenAI
• Azure OpenAI-vektoriserare
• GenAI-promptkompetens

För var och en anger du kunskaps- eller vektoriserarslutpunkten till URL:en för API Management-gatewayen, antingen https://<resource-name>.azure-api.net eller en anpassad DOMÄN för API Management.

Scenarier som inte stöds

API Management stöds inte som en gateway för:

• Den stora språkmodellen (LLM) som används av färdigheten Azure Content Understanding.
• Den LLM som används av en kunskapsbas i agentbaserad hämtning.

Arkitektur

Det finns två vanliga flöden. Båda använder samma API Management-konfiguration på serverdelen.

Offentlig sökväg

Azure AI-sökning anropar API Management-gatewayen över den offentliga slutpunkten. API Management autentiserar till resursen Microsoft Foundry och vidarebefordrar begäran.

Azure AI Search (skill or vectorizer)
   └─▶ API Management gateway (azure-api.net or custom domain)
          [API Management policies authenticate the caller]
          [API Management's managed identity authenticates to Foundry]
          └─▶ Azure OpenAI in Foundry Models / Microsoft Foundry resource

Privat sökväg från Azure AI-sökning till API Management

När söktjänsten måste nå API Management privat skapar du en delad privat länk från söktjänsten till API Management-instansen och kör indexerare i den privata körningsmiljön.

Azure AI Search (private indexer execution)
   └─▶ Shared private link (Microsoft.ApiManagement/service, group "Gateway")
          └─▶ API Management private endpoint
                 └─▶ Microsoft Foundry resource (public or private endpoint)

API Management to Foundry är standardmönstret för serverdelen. Mer djupgående topologivägledning, inklusive varianter med flera regioner, flera instanser och aktiv-aktiv- eller aktiv-passiv-varianter, se Använd en gateway framför flera Azure OpenAI-distributioner eller instanser och Översikt över funktioner för generativ AI-gateway i Azure API Management.

Konfigurera slutpunkten i din färdighet eller vektoriserare

Ange kunskaps- eller vektoriserarslutpunkten till URL:en för API Management-gatewayen:

Autentisering och RBAC

Två identiteter är inblandade. De har olika ansvarsområden och olika rolltilldelningar.

Det rekommenderade mönstret är credential termination and re-establishment: anroparen autentiserar till API Management och API Management använder sin egen hanterade identitet för att autentisera till resursen Microsoft Foundry. Mer information finns i Azure OpenAI-auktorisering i arkitekturguiden för AOAI-gateway.

Autentiseringsalternativ på API Management-gatewayen

Välj något av följande alternativ för hur Azure AI-sökning autentiserar till API Management. Mer information och principexempel finns i Autentisera och auktorisera åtkomst till LLM-API:er med hjälp av API Management.

• Prenumerationsnyckel: API Management lagrar API-nyckeln för Microsoft Foundry-resursen i ett namngivet värde, och en princip vidarebefordrar den i serverdelsbegäran. Det här är det enklaste alternativet att konfigurera. Den använder principen set-header med rubriken api-key. Eftersom söktjänsten endast skickar API Management-prenumerationsnyckeln krävs ingen Microsoft Entra ID roll för söktjänstens hanterade identitet.

• Hanterad identitet på gatewayen med OAuth-validering: API Management använder principen validate-azure-ad-token för att verifiera en Microsoft Entra ID token som visas av söktjänstens hanterade identitet. Använd det här alternativet för skiktat försvar.

• (Krävs för det rekommenderade mönstret) API Management hanterad identitet till serverdelen:Aktivera en systemtilldelad eller användartilldelad hanterad identitet på API Management-instansen, och tilldela den sedan rollen Cognitive Services OpenAI User på resursen Microsoft Foundry. Se Autentisera med hanterad identitet och Rollbaserad åtkomstkontroll för Azure OpenAI.

Privat anslutning från Azure AI-sökning till API Management

Hoppa över det här avsnittet om Azure AI-sökning anropar API Management via dess offentliga slutpunkt.

Så här begränsar du utgående trafik från söktjänsten till en privat kanal:

1. Skapa en delad privat länk från söktjänsten till API Management-instansen. Använd resurstypen Microsoft.ApiManagement/service och grupp-ID:t Gateway. Anvisningar finns i Skapa utgående anslutningar via en delad privat länk.

2. Godkänn den privata slutpunktsanslutningen på API Management-instansen.

3. Konfigurera indexerare som använder färdigheten eller vektoriseraren för att köra i den privata körningsmiljön.

Den delade privata länken räknas mot gränsen för delad privat länk för söktjänstnivån.

Privat anslutning från API Management till resursen Microsoft Foundry

Den privata kanalen från API Management till resursen Microsoft Foundry är oberoende av anslutningen för sökning till API Management och har konfigurerats på API Management-sidan. För alternativ, se:

• Använda ett virtuellt nätverk med Azure API Management
• Konfigurera Azure OpenAI-nätverk

Relaterat innehåll

• Inbäddningsfärdighet för Azure OpenAI
• Azure OpenAI-vektoriserare
• GenAI-promptkompetens
• Upprätta utgående anslutningar via en delad privat länk
• Använd en gateway framför flera Azure OpenAI-distributioner eller instanser