"Kolay Kimlik Doğrulaması" (Azure AI Arama) kullanarak Azure İşlev Uygulamasında kimlik doğrulaması yapın

Bu makalede, "Kolay Kimlik Doğrulaması" olarak da bilinen Azure App Service'in yerleşik kimlik doğrulama özelliklerini kullanarak Azure İşlevi uygulamasına dizin oluşturucu bağlantısının nasıl ayarlanacağı açıklanmaktadır. Azure İşlevi uygulamaları, azure AI Search hizmetinin dizin oluşturucu çalıştırması sırasında alınan içeriği zenginleştirmek için kullanabileceği Özel Web API'lerini barındırmak için harika bir çözümdür veya tümleşik vektörleştirme için özel bir ekleme modeli kullanıyorsanız, arama sorgusundaki içeriği vektörleştirin.

Azure İşlevi uygulamasında kimlik doğrulaması yapmak için arama hizmetinin sistem tarafından atanan veya kullanıcı tarafından atanan yönetilen kimliğini kullanabilirsiniz. Bu yaklaşım, bu makalede açıklanan Azure İşlevi uygulaması için kimlik doğrulama sağlayıcısı olarak kullanılacak bir Microsoft Entra Id uygulama kaydının ayarlanmasını gerektirir.

Önkoşullar

• Arama hizmetinize yönetilen bir kimlik sağlama.

Microsoft Entra ID uygulamasını kimlik doğrulama sağlayıcısı olarak yapılandırma

Microsoft Entra Id'yi Azure İşlevi uygulamasında kimlik doğrulama sağlayıcısı olarak kullanmak için bir uygulama kaydı oluşturulmalıdır. İki seçenek vardır: Azure İşlevi uygulamasının kendisi aracılığıyla otomatik olarak bir tane oluşturun veya mevcut bir uygulamayı kullanın. Bu adımlar hakkında daha fazla bilgi edinmek için App Service belgelerine bakın.

Seçenek ne olursa olsun, Azure Yapay Zeka Arama ile uyumlu olduğundan emin olmak için uygulama kaydının aşağıdaki adımlara göre yapılandırıldığından emin olun.

Uygulama kaydında uygulama kimliği URI'sinin yapılandırıldığından emin olun

Uygulama kaydı, Azure İşlevi uygulamaları ve Azure Yapay Zeka Arama ile belirteç hedef kitlesi olarak kullanılabilen bir uygulama kimliği URI'si ile yapılandırılmalıdır. Şu biçimde yapılandırın: api://<applicationId>. Bu, uygulama kaydının Genel Bakış bölümüne gidip Uygulama Kimliği URI'si alanını ayarlayarak yapılabilir.

Kimlik doğrulaması için desteklenen hesap türlerini ayarlama

Uygulama kaydının Kimlik Doğrulaması bölümüne gidin ve desteklenen hesap türlerini , yalnızca uygulama kaydıyla aynı kuruluş dizinindeki hesapların kimlik doğrulaması için kullanabilecek şekilde yapılandırın.

(İsteğe bağlı) İstemci gizli anahtarını yapılandırma

App Service, kimlik doğrulama sağlayıcısı uygulaması için bir istemci gizli anahtarı kullanılmasını önerir. Kimlik doğrulaması, istemci gizli anahtarı olmadan da, yetkilendirilmiş izinler ayarlandığı sürece çalışır. İstemci gizli dizisi ayarlamak için, uygulama kaydının Sertifikalar ve gizli diziler bölümüne gidin ve bu makalede açıklandığı gibi Yeni bir istemci gizli dizisi ekleyin.

Yetkilendirme izinlerini devretmek için kapsam ekleyin

Api'yi kullanıma sunma bölümüne gidin ve uygulama kaydını, dizin oluşturucunun kimlik doğrulama akışıyla uyumlu olması için yönetici ve kullanıcı izinlerini ona temsil edecek bir kapsamla yapılandırın.

Temsilci izinlerinin kapsamı ayarlandıktan sonra, uygulama kaydının API izinleri bölümünde Microsoft.Graph üzerindeki User.Read API'sinin ayarlandığını fark etmelisiniz.

Azure İşlevi uygulamasında Microsoft Entra Id kimlik doğrulama sağlayıcısını yapılandırma

İstemci uygulaması, önceki spesifikasyonlarla kaydedildikten sonra Azure İşlev uygulaması için Microsoft Entra ID kimlik doğrulaması, App Service belgelerine uyularak ayarlanabilir. Kimlik doğrulama ayrıntılarını ayarlamak için Azure İşlevi uygulamasının Kimlik Doğrulaması bölümüne gidin.

Azure Yapay Zeka Arama'in Azure İşlevi uygulamasında başarıyla kimlik doğrulamasından geçmek için aşağıdaki ayarların yapılandırıldığından emin olun.

Kimlik doğrulaması ayarlarını yapılandırma

• App Service kimlik doğrulamasının Etkin olduğundan emin olun
• Azure Function uygulamasına erişimi kimlik doğrulaması gerektirecek şekilde kısıtlayın
• Kimliği Doğrulanmamış istekler için HTTP 401: Yetkisiz'i tercih edin

Aşağıdaki ekran görüntüsü, örnek bir Azure İşlevi uygulaması için bu belirli ayarları vurgular.

Microsoft Entra Id kimlik doğrulama sağlayıcısı ekleme

• Microsoft Entra Id'yi Azure İşlevi uygulamasının kimlik doğrulama sağlayıcısı olarak ekleyin.
• Yeni bir uygulama kaydı oluşturun veya önceden yapılandırılmış bir uygulama kaydı seçin. Bu belgenin önceki bölümündeki yönergelere göre yapılandırıldığından emin olun.
• Allowed token audiences bölümünde uygulama kaydının uygulama kimliği URI'si belirtildiğinden emin olun. Daha önce oluşturulan uygulama kaydıyla yapılandırılanla eşleşen biçimde api://<applicationId> olmalıdır.
• İsterseniz, özel olarak dizin oluşturucuya erişimi kısıtlamak için diğer denetimleri yapılandırabilirsiniz.

Diğer denetimleri yapılandırma

• Belirli bir Azure AI Arama hizmeti kimliğinin Nesne (sorumlu) kimliğinin Kimlik gereksinimi olarak belirtildiğinden emin olmak için, Belirli kimliklerden gelen isteklere izin ver seçeneğini işaretleyin ve kimlik bölümüne Nesne (sorumlu) Kimliği girin.

• İstemci uygulaması gereksinimi bölümünde Belirli bir istemci uygulamasından gelen isteklere izin ver seçeneğini belirleyin. Azure AI Arama hizmetinin İstemci Kimliğini bulmanız gerekir. Bunu yapmak için önceki adımdaki Nesne (baş) kimliğini kopyalayın ve Microsoft Entra ID kiracınızda arama yapın. Görünüm sayfasında, istemci uygulama gereksinimi olarak belirtilmesi gereken GUID'i listeleyen bir Uygulama Kimliği olan eşleşen bir kurumsal uygulama bulunmalıdır.

• Kiracı gereksinimi için güvenlik duruşunuzla uyumlu seçeneklerden herhangi birini seçin. Daha fazla bilgi için App Service belgelerine bakın.

Azure İşlevi uygulamasına bağlantı ayarlama

Azure İşlevi uygulamasıyla bağlantının Özel Web API'sinde mi yoksa Özel Web API vektörleştiricisinde mi yapılması gerektiğine bağlı olarak, JSON tanımı biraz farklıdır. Her iki durumda da, Azure İşlevi uygulaması için doğru URI'yi belirlediğinizden ve authResourceId'yi kimlik doğrulama sağlayıcısı için yapılandırılan İzin verilen belirteç hedef kitlesi ile aynı değere ayarladığınızdan emin olun.

Sistem tarafından atanan bir kimlik veya kullanıcı tarafından atanan kimlik kullanarak bağlanmayı seçip seçmediğinize bağlı olarak, gerekli özellikler biraz farklılık gösterir.

Sistem tarafından atanan kimlik kullanma

Aşağıda, arama hizmetinin sistem tarafından atanan kimliğinin "Kolay Kimlik Doğrulaması" aracılığıyla kimlik doğrulamasına izin verilen örnek Azure İşlev uygulaması için adlı test bir işlevi çağırmak için bir örnek verilmiştir.

"uri": "https://contoso-function-app.azurewebsites.net/api/test?",
"authResourceId": "api://00000000-0000-0000-0000-000000000000"

Kullanıcı tarafından atanan kimlik kullanma

İşte, kullanıcı tarafından atanan belirli kimliğin "Easy Auth" aracılığıyla kimlik doğrulaması yapmasına izin verildiği durumda aynı işlevi çağırmak için bir örnek. Yapılandırmanın identity özelliğinde kullanılacak belirli kullanıcı tarafından atanan kimliğin kaynak kimliğini belirtmeniz gerekir.

"uri": "https://contoso-function-app.azurewebsites.net/api/test?",
"authResourceId": "api://00000000-0000-0000-0000-000000000000",
"identity" : { 
        "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
        "userAssignedIdentity": "/subscriptions/[subscription-id]/resourcegroups/[rg-name]/providers/Microsoft.ManagedIdentity/userAssignedIdentities/[my-user-managed-identity-name]" 
    }

İzinleri doğrulamak için dizin oluşturucuyu/vektörleştiriciyi çalıştırın

Özel Web API yetenekleri için izinler, dizin oluşturucunun çalışma anında doğrulanır. Vektörleştirici söz konusu olduğunda, Özel Web API vektörleştiricisi kullanılarak bir vektör sorgusu gönderildiğinde doğrulama gerçekleştirilir. Kimlik doğrulamasıyla ilgili belirli sorunları elemek için, Azure İşlevi uygulamasında kimlik doğrulama sağlayıcısını devre dışı bırakarak ve dizin oluşturucu/vektörleştiriciden gelen çağrıların başarılı olduğundan emin olarak test edebilirsiniz.

• Kimlik doğrulama sorunları devam ederse, Azure İşlevi uygulamasının kimlik doğrulama sağlayıcısında Doğru kimlik bilgilerinin (Uygulama Kimliği, Azure AI Arama hizmeti kimliği için Nesne (sorumlu) kimliği) belirtildiğinden emin olun.

İlgili içerik

• Özel Web API'si becerisi
• Özel Web API vektörleştiricisi