Lägga till en söktjänst i en nätverkssäkerhetsperimeter

En nätverkssäkerhetsperimeter är en logisk nätverksgräns runt paaS-resurser (plattform som en tjänst) som du distribuerar utanför ett virtuellt nätverk. Den upprättar en perimeter för att kontrollera åtkomsten till offentliga nätverk till resurser som Azure AI-sökning, Azure Storage och Azure OpenAI i Microsoft Foundry Models.

Den här artikeln beskriver hur du ansluter en Azure AI-sökning-tjänst till en nätverkssäkerhetsperimeter för att styra nätverksåtkomsten till din söktjänst. Genom att ansluta till en nätverkssäkerhetsperimeter kan du:

• Logga all åtkomst till söktjänsten i kontext med andra Azure-resurser i samma perimeter.
• Blockera dataexfiltrering från en söktjänst till andra tjänster utanför perimetern.
• Tillåt åtkomst till söktjänsten med hjälp av funktionerna för inkommande och utgående åtkomst i nätverkssäkerhetsperimetern.

Du kan lägga till en söktjänst i en nätverkssäkerhetsperimeter i Azure Portal enligt beskrivningen i den här artikeln. Du kan också använda REST-API:er för sökhantering för att visa och synkronisera konfigurationsinställningarna.

Förutsättningar

• En befintlig nätverkssäkerhetsperimeter. Du kan skapa en som ska associeras med söktjänsten.

• Azure AI-sökning, valfri fakturerbar nivå, i alla regioner.

• Azure-rolltilldelningar: Network Security Perimeter Contributor på perimetern (eller dess resursgrupp eller prenumerationen) för att skapa och hantera perimetern, profiler, åtkomstregler och associationer. Deltagare för söktjänsten (eller Deltagare) i söktjänsten för att koppla den till en perimeter. Mer information finns i Vad är en nätverkssäkerhetsperimeter?.

• Om du planerar att använda indexerare konfigurerar du söktjänsten med en system- eller användartilldelad hanterad identitet och tilldelar identiteten en lämplig dataplansroll för varje datakälla.

Begränsningar

• Indexerardatakällor som stöds är för närvarande begränsade till Azure Blob Storage, Azure Cosmos DB för NoSQL och Azure SQL Database.

• Indexerareanslutningar till Azure PaaS för datahämtning är det primära användningsfallet inom perimetern. För annan trafik konfigurerar du regler för inkommande och utgående trafik. Information om utgående anrop till Microsoft Foundry-resurser finns i Utgående åtkomst till Microsoft Foundry-resurser. Delad privat länk är ett alternativ för specifika resurstyper.

Utgående åtkomst till Microsoft Foundry-resurser

En nätverkssäkerhetsperimeter som innehåller både din söktjänst och en Microsoft Foundry-resurs tillhandahåller en privat kanal för utgående anrop mellan dem. Eftersom perimetern fungerar på resurs- och nätverksskiktet använder varje söktjänstfunktion som anropar Foundry-resursen samma tillåtna sökväg, inklusive:

• Alla färdigheter som anropar en Foundry-resurs, till exempel Azure OpenAI-färdighet för inbäddning, GenAI-promptfärdighet, färdighet för innehållsförståelse och andra Foundry-resursfärdigheter för AI-berikning och fakturering.

• Azure OpenAI-vektoriserare vid frågetid under integrerad vektorisering.

• Anrop för agentbaserad hämtning från en kunskapsagent till en Foundry-modelldistribution.

Så här aktiverar du den privata kanalen:

1. Lägg till både söktjänsten och Foundry-resursen i samma nätverkssäkerhetsperimeter eller till perimeterr som tillåter kommunikation mellan dem.

2. Om båda resurserna finns i samma perimeter och söktjänsten autentiserar till Foundry-resursen med hjälp av en hanterad identitet behöver du inte lägga till någon regel för utgående trafik. Trafik inom perimetern tillåts implicit. Om resurserna finns i olika perimeterer, eller om söktjänsten autentiserar med API-nycklar, lägger du till en utgående FQDN-åtkomstregel för den perimeter som är associerad med söktjänsten som riktar sig mot Foundry-resursens värdnamn. Vägledning på foundry-sidan av konfigurationen finns i Lägg till Microsoft Foundry till en nätverkssäkerhetsperimeter.

3. Verifiera åtkomsten i två steg:

   1. När perimetern är i inlärningsläge kör du en kompetensuppsättning, en vektoriseringsfråga eller ett agentiskt återhämtningsanrop som anropar Foundry-resursen. Granska perimeterloggarna för att verifiera den förväntade åtkomstvägen.

   2. Växla till framtvingat läge och kör samma åtgärd igen. Bekräfta framgång i indexerarens körningshistorik och i perimeterns utgående tillåtna loggar.

Stöd för nätverkssäkerhetsperimeter (NSP) för Microsoft.CognitiveServices resurser av typen AIServices (Microsoft Foundry) är allmänt tillgängligt. NSP-stöd för resurser av typen OpenAI (Azure OpenAI Service) finns i offentlig förhandsversion. Information om den aktuella supportlistan finns i Onboarded private link resources.

Delad privat länk till Foundry-resursen stöds fortfarande som ett alternativ.

Tilldela en söktjänst till en nätverkssäkerhetsperimeter

Associera din söktjänst med en perimeter så att all indexering och frågetrafik styrs av perimeterregler.

1. I Azure Portal hittar du nätverkssäkerhetsperimetertjänsten för din prenumeration.

2. I den vänstra rutan väljer du Inställningar>Associerade resurser.

   

3. Välj Lägg till>associera resurser med en befintlig profil.

   

4. Välj den profil som du skapade när du skapade nätverkssäkerhetsperimetern för Profil.

5. Välj Lägg till och välj sedan söktjänsten.

   

6. Välj Associera i det nedre vänstra hörnet för att skapa associationen.

Ta bort en söktjänst från en nätverkssäkerhetsperimeter

Så här kopplar du bort en söktjänst från en perimeter:

1. Gå till din nätverkssäkerhetsperimeterresurs i Azure-portalen.

2. I den vänstra rutan väljer du Inställningar>Associerade resurser.

3. Leta upp söktjänsten i tabellen, välj de tre punkterna i slutet av raden och välj sedan Ta bort association.

4. Bekräfta borttagningen. När associationen har tagits bort gäller inte längre perimeterregler för söktjänsten, och publicNetworkAccess inställningen i söktjänsten styr återigen inkommande trafik.

Åtkomstlägen för nätverkssäkerhetsperimeter

Nätverkssäkerhetsperimeter stöder två olika åtkomstlägen för associerade resurser:

Nätverkssäkerhetsperimeter och nätverksinställningar för söktjänsten

Inställningen publicNetworkAccess avgör söktjänstassociation med en nätverkssäkerhetsperimeter.

• I inlärningsläge styr inställningen publicNetworkAccess offentlig åtkomst till resursen.

• I tvingat läge åsidosätter reglerna för nätverkssäkerhetsperimeter inställningen publicNetworkAccess. Om en söktjänst med inställningen publicNetworkAccessenabled är associerad med en nätverkssäkerhetsperimeter i framtvingat läge styrs åtkomsten till söktjänsten fortfarande av åtkomstregler för nätverkssäkerhet.

Ändra åtkomstläget för nätverkssäkerhetsperimeter

1. Gå till din nätverkssäkerhetsperimeterresurs i Azure-portalen.

2. I den vänstra rutan väljer du Inställningar>Associerade resurser.

   

3. Hitta söktjänsten i tabellen.

4. Välj de tre punkterna i slutet av raden och välj sedan Ändra åtkomstläge.

   

5. Välj önskat åtkomstläge och välj sedan Använd.

   

Aktivera nätverksåtkomst för loggning

1. Gå till din nätverkssäkerhetsperimeterresurs i Azure-portalen.

2. I den vänstra rutan väljer du Övervaka>diagnostikinställningar.

   

3. Välj Lägg till diagnostikinställning.

4. Ange valfritt namn, till exempel diagnostic, för Namn på diagnostikinställning.

5. Under Loggar väljer du allaLoggar. allLogs säkerställer att all inkommande och utgående nätverksåtkomst till resurser i nätverkssäkerhetsperimetern loggas.

6. Under Målinformation väljer du Arkivera till ett lagringskonto eller Skicka till Log Analytics-arbetsyta. Lagringskontot måste finnas i samma region som nätverkssäkerhetsperimetern. Du kan antingen använda ett befintligt lagringskonto eller skapa ett nytt. En Log Analytics-arbetsyta kan finnas i en annan region än den som används av nätverkssäkerhetsperimetern. Du kan också välja någon av de andra tillämpliga destinationerna.

   

7. Välj Spara för att skapa diagnostikinställningen och börja logga nätverksåtkomst.

8. Om du vill kontrollera att loggningen är aktiv genererar du trafik till söktjänsten (kör till exempel en fråga). Inom cirka 10 minuter frågar du tabellen NSPAccessLogs i Log Analytics eller kontrollerar motsvarande container insights-logs-* i lagringskontot.

Läsa nätverksåtkomstloggar

Nätverkssäkerhetsperimeterloggar levereras till de mål som du har valt i Diagnostikinställningar. De vanligaste destinationerna är en Log Analytics arbetsyta och ett lagringskonto.

Log Analytics-arbetsyta

Tabellen NSPAccessLogs innehåller alla loggar för varje loggkategori, till exempel NspPublicInboundPerimeterRulesAllowed. Varje logg innehåller en post för nätverkssäkerhetsperimeterns nätverksåtkomst som matchar loggkategorin.

Här är ett exempel på loggformatet NspPublicInboundPerimeterRulesAllowed :

Lagringskonto

Lagringskontot har containrar för varje loggkategori, till exempel insights-logs-nsppublicinboundperimeterrulesallowed. Mappstrukturen i containern matchar resurs-ID:t för nätverkssäkerhetsperimetern och tiden då loggarna togs. Varje rad i JSON-loggfilen innehåller en post för nätverkssäkerhetsperimeterns nätverksåtkomst som matchar loggkategorin.

Till exempel använder den tillåtna kategoriloggen för inkommande perimeterregler följande format:

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

Lägga till en åtkomstregel för söktjänsten

En perimeterprofil för nätverkssäkerhet anger regler som tillåter eller nekar åtkomst via perimetern.

Inom perimetern har alla resurser ömsesidig åtkomst på nätverksnivå. Du måste fortfarande konfigurera autentisering och auktorisering, men på nätverksnivå godkänns anslutningsbegäranden inifrån perimetern.

För resurser utanför nätverkssäkerhetsperimetern måste du ange regler för inkommande och utgående åtkomst. Regler för inkommande trafik anger vilka anslutningar som ska tillåtas i och utgående regler anger vilka begäranden som tillåts ut.

En söktjänst accepterar inkommande begäranden från appar som Microsoft Foundry-portalen och alla appar som skickar indexerings- eller frågebegäranden. En söktjänst skickar utgående begäranden under indexerbaserad indexering och körning av färdighetsuppsättningar. I det här avsnittet beskrivs hur du konfigurerar regler för inkommande och utgående åtkomst för Azure AI-sökning-scenarier.

Lägga till en regel för inkommande åtkomst

Regler för inkommande åtkomst kan göra det möjligt för Internet och resurser utanför perimetern att ansluta med resurser inom perimetern.

Nätverkssäkerhetsperimeter stöder två typer av regler för inkommande åtkomst:

• IP-adressintervall. IP-adresser eller intervall måste vara i formatet Klasslös routning mellan domäner (CIDR). Ett exempel på CIDR-notation är 192.0.2.0/24, som representerar IP-adresser som sträcker sig från 192.0.2.0 till 192.0.2.255. Den här typen av regel tillåter inkommande begäranden från alla IP-adresser inom intervallet.

• Prenumerationer. Den här typen av regel tillåter inkommande åtkomst som autentiseras med hjälp av en hanterad identitet från prenumerationen. Regeln styr endast nätverkssökvägen. anroparen behöver fortfarande en Azure RBAC-rolltilldelning i söktjänsten.

Så här lägger du till en regel för inkommande åtkomst i Azure Portal:

1. Gå till din nätverkssäkerhetsperimeterresurs i Azure-portalen.

2. I den vänstra rutan väljer du Inställningar>profiler.

   

3. Välj den profil som du använder med nätverkets säkerhetsperimeter.

   

4. I den vänstra rutan väljer du Inställningar>Regler för inkommande åtkomst.

   

5. Markera Lägga till.

   

6. Ange eller välj följande värden:

   Inställning	Värde
   Regelnamn	Namnet på regeln för inkommande åtkomst, till exempel MyInboundAccessRule.
   Källtyp	Giltiga värden är IP-adressintervall eller prenumerationer.
   Tillåtna källor	Om du har valt IP-adressintervall anger du DET IP-adressintervall i CIDR-format som du vill tillåta inkommande åtkomst från. Ladda ned Azure IP-intervall och Service Tags-filen. Om du har valt Prenumerationer använder du den prenumeration som du vill tillåta inkommande åtkomst från.

7. Välj Lägg till för att skapa regeln för inkommande åtkomst.

   

8. Om du vill verifiera regeln växlar du associationen till framtvingat läge i en testprofil. Bekräfta att matchande begäranden visas i loggkategorin NspPublicInboundPerimeterRulesAllowed och att icke-matchande begäranden visas i NspPublicInboundPerimeterRulesDenied kategorin.

Lägga till en regel för utgående åtkomst

En söktjänst gör utgående anrop under indexerbaserad bearbetning och körning av kompetensuppsättningar. Om indexerarens datakällor, en ansluten Microsoft Foundry-resurs för Foundry Tools-faktureringskunskaper eller anpassad kunskapslogik ligger utanför nätverkssäkerhetsperimetern, skapar du en regel för utgående åtkomst som gör att din söktjänst kan upprätta anslutningen.

Inom säkerhetsperimetern kan indexerare ansluta till Azure Blob Storage, Azure Cosmos DB för NoSQL och Azure SQL Database. Om indexerarna använder andra datakällor behöver du en regel för utgående åtkomst för att stödja anslutningen.

Nätverkssäkerhetsperimetern stöder regler för utgående åtkomst baserat på målets fullständigt kvalificerade domännamn (FQDN). Du kan till exempel tillåta utgående åtkomst från alla tjänster som är associerade med nätverkssäkerhetsperimetern till ett FQDN, mystorageaccount.blob.core.windows.nettill exempel .

Så här lägger du till en regel för utgående åtkomst i Azure Portal:

1. Gå till din nätverkssäkerhetsperimeterresurs i Azure-portalen.

2. I den vänstra rutan väljer du Inställningar>profiler.

   

3. Välj den profil som du använder med nätverkets säkerhetsperimeter.

   

4. I den vänstra rutan väljer du Inställningar>Regler för utgående åtkomst.

   

5. Markera Lägga till.

   

6. Ange eller välj följande värden:

   Inställning	Värde
   Regelnamn	Namnet på regeln för utgående åtkomst, till exempel MyOutboundAccessRule.
   Måltyp	Lämna som FQDN.
   Tillåtna mål	Ange en kommaavgränsad lista över FQDN:er som du vill tillåta utgående åtkomst till.

7. Välj Lägg till för att skapa regeln för utgående åtkomst.

   

8. Om du vill verifiera regeln växlar du associationen till framtvingat läge i en testprofil. Bekräfta att matchande utgående begäranden visas i loggkategorin NspPublicOutboundPerimeterRulesAllowed .

Testa anslutningen via nätverkssäkerhetsperimetern

Om du vill testa anslutningen via nätverkssäkerhetsperimetern behöver du åtkomst till en webbläsare, antingen på en lokal dator med en internetanslutning eller en virtuell Azure-dator.

1. Ändra nätverkssäkerhetsperimeterassociationen till framtvingat läge för att börja framtvinga krav på nätverkssäkerhetsperimeter för nätverksåtkomst till söktjänsten.

2. Välj en klient:

   1. Hämta din offentliga IP-adress för en lokal dator.

   2. För en Azure-VM använder du Private Link eller letar reda på IP-adressen i Azure-portalen.

3. Skapa en regel för inkommande åtkomst för den IP-adressen för att tillåta åtkomst.

4. I Azure portalen öppnar du söktjänsten och visar dess index.

   • Förväntat resultat: indexlistan laddas och du kan köra en testfråga. Den inkommande IP-regeln fungerar.

   • Om du ser felet 403 eller "Offentlig nätverksåtkomst är inaktiverad": Klient-IP-adressen eller Azure portalen omfattas inte av en regel för inkommande trafik. Kontrollera reglerna för inkommande åtkomst.

Felsökning av vanliga problem

Visa och hantera nätverkssäkerhetsperimeterkonfiguration

Använd REST API:er för nätverkssäkerhetsperimeterkonfiguration för att granska och stämma av perimeterkonfigurationer i en söktjänst.

Du kan till exempel visa en lista över aktuella perimeterkonfigurationer för en söktjänst:

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

Om konfigurationen inte är synkroniserad med perimetern utlöser du en avstämning:

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

Använd den senaste stabila versionen av SEARCH Management REST API:er. Mer information finns i Hantera din Azure AI-sökning-tjänst med hjälp av REST-API:er.

Relaterat innehåll

• Begrepp för nätverkssäkerhetsperimeter
• Konfigurera en söktjänst för att ansluta med hjälp av en hanterad identitet
• Upprätta utgående anslutningar via en delad privat länk
• Lägg till Microsoft Foundry till en nätverkssäkerhetsperimeter