Ansluta till Azure Storage med hjälp av en hanterad identitet (Azure AI-sökning)

Observera

Azure AI-sökning är tillgängligt via Azure-portalen, REST-API:er och Azure-SDK:er. Den ligger också till grund för Foundry IQ, det hanterade kunskapsskiktet som omvandlar företagsinnehåll till återanvändbara, behörighetsmedvetna kunskapsbaser för agenter i Microsoft Foundry-portalen.

Den här artikeln beskriver hur du konfigurerar en söktjänstanslutning till ett Azure Storage konto med hjälp av en hanterad identitet i stället för att ange autentiseringsuppgifter i reťazec pripojenia.

Du kan använda en systemtilldelad hanterad identitet eller en användartilldelad hanterad identitet. Hanterade identiteter är Microsoft Entra inloggningar och kräver rolltilldelningar för åtkomst till Azure Storage.

Förutsättningar

Observera

Om lagringen är nätverksskyddad och i samma region som söktjänsten måste du använda en systemtilldelad hanterad identitet och antingen något av följande nätverksalternativ: ansluta som en betrodd tjänst eller ansluta med hjälp av resursinstansregeln.

Skapa en rolltilldelning i Azure Storage

  1. Logga in på Azure portalen och hitta ditt lagringskonto.

  2. Välj Åtkomstkontroll (IAM).

  3. Välj Lägg till och välj sedan Rolltilldelning.

  4. I listan över jobbfunktionsroller väljer du de roller som behövs för söktjänsten:

    Uppgift Rolltilldelning
    Blobindexering med hjälp av en indexerare Lägg till Storage Blob Data Reader
    ADLS Gen2-indexering med hjälp av en indexerare Lägg till Storage Blob Data Reader
    Tabellindexering med hjälp av en indexerare Lägg till dataläsare för lagringstabell
    Filindexering med hjälp av en indexerare Lägg till läsare och dataåtkomst
    Skriva till en kunskapsdatabas Lägg till Storage Blob Data-deltagare för objekt- och filprojektioner samt Läsare och Dataåtkomst för tabellprojektioner.
    Skriv till en berikningscache (förhandsversion) Lägg till Storage Blob Data-deltagare och Storage Table Data-deltagare
    Spara sessionstillstånd för felsökning Lägg till Storage Blob Data-deltagare

  5. Välj Nästa.

  6. Välj Hanterad identitet och välj sedan Medlemmar.

  7. Filtrera efter systemtilldelade hanterade identiteter eller användartilldelade hanterade identiteter. Du bör se den hanterade identitet som du skapade tidigare för söktjänsten. Om du inte har någon kan du läsa Konfigurera sökning för att använda en hanterad identitet. Om du redan har konfigurerat en, men den inte är tillgänglig, kan du ge den några minuter.

  8. Välj identiteten och spara rolltilldelningen.

Ange en hanterad identitet i en reťazec pripojenia

När du har en rolltilldelning kan du konfigurera en anslutning till Azure Storage som fungerar under den rollen.

Indexerare använder ett datakällaobjekt för anslutningar till en extern datakälla. I det här avsnittet beskrivs hur du specificerar en systemtilldelad eller användartilldelad hanterad identitet i en reťazec pripojenia för en datakälla. Du kan hitta fler exempel på "reťazec pripojenias" i artikeln om hanterad identitet.

Tips

Du kan skapa en datakällaanslutning till Azure Storage i Azure-portalen, ange antingen en system- eller användartilldelad hanterad identitet och sedan visa JSON-definitionen för att se hur reťazec pripojenia formuleras.

Systemtilldelad hanterad identitet

Du måste redan ha en systemtilldelad hanterad identitet och den måste ha en rolltilldelning på Azure Storage.

För anslutningar som görs med hjälp av en systemtilldelad hanterad identitet är den enda ändringen av datakällans definition formatet för credentials egenskapen.

Ange en reťazec pripojenia som innehåller en ResourceId, utan kontonyckel eller lösenord. ResourceId Måste innehålla prenumerations-ID för lagringskontot, resursgruppen för lagringskontot och namnet på lagringskontot.

POST https://[service name].search.windows.net/datasources?api-version=2026-04-01

{
    "name" : "blob-datasource",
    "type" : "azureblob",
    "credentials" : { 
        "connectionString" : "ResourceId=/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/MY-DEMO-RESOURCE-GROUP/providers/Microsoft.Storage/storageAccounts/MY-DEMO-STORAGE-ACCOUNT/;" 
    },
    "container" : { 
        "name" : "my-container", "query" : "<optional-virtual-directory-name>" 
    }
}

Användartilldelad hanterad identitet

Du måste ha en användaretilldelad hanterad identitet redan konfigurerad och associerad med söktjänsten, och identiteten måste ha en rolltilldelning på Azure Storage.

Anslutningar som görs via användartilldelade hanterade identiteter använder samma autentiseringsuppgifter som en systemtilldelad hanterad identitet, plus en extra identitetsegenskap som innehåller samlingen med användartilldelade hanterade identiteter. Endast en användartilldelad hanterad identitet ska anges när datakällan skapas.

Ange en reťazec pripojenia som innehåller en ResourceId, utan kontonyckel eller lösenord. ResourceId Måste innehålla prenumerations-ID för lagringskontot, resursgruppen för lagringskontot och namnet på lagringskontot.

Ange en identity syntaks enligt vilken visas i följande exempel. Ange userAssignedIdentity till den användartilldelade hanterade identiteten.

POST https://[service name].search.windows.net/datasources?api-version=2026-04-01

{
    "name" : "blob-datasource",
    "type" : "azureblob",
    "credentials" : { 
        "connectionString" : "ResourceId=/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/MY-DEMO-RESOURCE-GROUP/providers/Microsoft.Storage/storageAccounts/MY-DEMO-STORAGE-ACCOUNT/;" 
    },
    "container" : { 
        "name" : "my-container", "query" : "<optional-virtual-directory-name>" 
    },
    "identity" : { 
        "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
        "userAssignedIdentity" : "/subscriptions/00000000-0000-0000-0000-00000000/resourcegroups/MY-DEMO-RESOURCE-GROUP/providers/Microsoft.ManagedIdentity/userAssignedIdentities/MY-DEMO-USER-MANAGED-IDENTITY" 
    }
}

Anslutningsinformation och behörigheter för fjärrtjänsten verifieras under indexerarkörningen. Om indexeraren lyckas är anslutningssyntaxen och rolltilldelningarna giltiga. Mer information finns i Köra eller återställa indexerare, färdigheter eller dokument.

Åtkomst till nätverkssäkrade data i lagringskonton

Azure lagringskonton kan skyddas ytterligare med hjälp av brandväggar och virtuella nätverk. Om du vill indexera innehåll från ett lagringskonto som skyddas med hjälp av en brandvägg eller ett virtuellt nätverk, se Ansluta indexerare till Azure Storage som en betrodd tjänst.

Se även

  • Uppdaterades senast