Keresési szolgáltatás konfigurálása felügyelt identitással való csatlakozáshoz

Note

Azure AI Keresés a Azure portálon, REST API-kon és Azure SDK-k keresztül érhető el. Emellett a Foundry IQ-t is támogatja, amely a vállalati tartalmakat újrafelhasználható, engedélytudatos tudásbázisokká alakítja át az Microsoft Foundry portálon található ügynökök számára.

A Microsoft Entra ID biztonsági tagok és szerepkör-hozzárendelések használhatók az Azure AI Keresés és más Azure erőforrások felé irányuló kimenő kapcsolatokhoz, amelyek adatokat, alkalmazott AI-t vagy vektorizálást biztosítanak az indexelés vagy lekérdezések során.

Ha szerepköröket szeretne használni egy kimenő kapcsolaton, először konfigurálja a keresési szolgáltatást úgy, hogy egy rendszer által hozzárendelt vagy felhasználó által hozzárendelt felügyelt identitást használjon a keresési szolgáltatás biztonsági tagjaként egy Microsoft Entra-bérlőben. Miután rendelkezik felügyelt identitással, hozzárendelhet szerepköröket az engedélyezett hozzáféréshez. A felügyelt identitások és szerepkör-hozzárendelések nem igénylik a titkos kulcsok és hitelesítő adatok átadását egy kapcsolati karakterlánc vagy kódban.

Előfeltételek

  • Egy Azure AI Keresés szolgáltatás a Basic szinten vagy annál magasabb régióban.

  • Egy Azure erőforrás, amely egy érvényes szerepkör-hozzárendeléssel rendelkező Microsoft Entra biztonsági tag bejövő kéréseit fogadja.

  • Felügyelt identitás létrehozásához tulajdonosnak vagy felhasználói hozzáférési rendszergazdának kell lennie. Szerepkörök hozzárendeléséhez Önnek Tulajdonosnak, Felhasználói hozzáférés-kezelőnek, Szerepköralapú hozzáférés-kezelőnek vagy egyéni szerepkör tagjának kell lennie, amely rendelkezik Microsoft.Authorization/szerepkör-hozzárendelések/írás engedéllyel.

Támogatott forgatókönyvek

A felügyelt identitásokat a következő forgatókönyvekhez használhatja.

Forgatókönyv Rendszer hozzárendelve Felhasználó hozzárendelve
Csatlakozás indexelő adatforrásokhoz1 Igen Igen
Csatlakozzon az Azure OpenAI, Microsoft Foundry és Azure Functions beágyazási és chat-befejezési modelljeihez készségek/vektorizálók segítségével 2 Igen Igen
Csatlakozás Azure Key Vault ügyfél által felügyelt kulcsokhoz Igen Igen
Kapcsolódás hibakeresési munkamenetekhez (Azure Storage)1 Igen Nem
Kapcsolódás az Azure Storage-ban üzemeltetett dúsítási gyorsítótárhoz (előzetes verzió)1,3 Igen Igen 4
Csatlakozás tudástárhoz (Azure Storage)1 Igen Igen

1 A keresés és a tárolás közötti kapcsolat esetében a hálózati biztonság korlátozza, hogy milyen típusú felügyelt identitást használhat. A Azure Storage azonos régiós kapcsolatához csak rendszer által felügyelt identitás használható, és ennek a kapcsolatnak a szolgáltatáskivételen vagy erőforráspéldány-szabályon keresztül kell lennie. Részletekért lásd : Hozzáférés hálózati védelem alatt álló tárfiókhoz .

2 Kapcsolatok az Azure OpenAI, Foundry és Azure Functions szolgáltatásokhoz készségeken/vektorizálókon keresztül, beleértve: egyéni készség, egyéni vektorizáló, Azure OpenAI beágyazási készség, Azure OpenAI vektorizáló, AML készség és Microsoft Foundry modellkatalógus vektorizáló.

3 Az AI keresési szolgáltatás jelenleg nem tud csatlakozni olyan tárfiók tábláihoz, amelyekhez ki van kapcsolva a megosztott kulcs hozzáférése.

4 A felhasználó által hozzárendelt felügyelt identitás bővítési gyorsítótár-kapcsolatokhoz előzetes REST API-t (2025-11-01-preview vagy újabb verzió) vagy előzetes verziójú SDK-csomagot igényel. A táblázatban szereplő összes többi felhasználó által hozzárendelt felügyelt identitás-forgatókönyv támogatott a REST API 2026-04-01-es és újabb verziójában.

Rendszer által felügyelt identitás létrehozása

A rendszer által hozzárendelt felügyelt identitás egy Microsoft Entra ID biztonsági azonosító, amely automatikusan létrejön, és kapcsolódik egy Azure erőforráshoz, például egy Azure AI Keresés szolgáltatáshoz.

Minden keresési szolgáltatáshoz egy rendszer által hozzárendelt felügyelt identitással rendelkezhet. Ez a keresési szolgáltatás egyedi, és a szolgáltatáshoz élettartama alatt kötődik.

Ha engedélyezi a rendszer által hozzárendelt felügyelt identitást, a Microsoft Entra ID létrehoz egy biztonsági objektumot a keresési szolgáltatás számára, amely más Azure erőforrások hitelesítésére szolgál. Ezt az identitást ezután szerepkör-hozzárendelésekben használhatja az adatokhoz és műveletekhez való engedélyezett hozzáféréshez.

  1. Nyissa meg a keresőszolgáltatást a Azure portálon.

  2. A bal oldali panelen válassza a Beállítások>identitása lehetőséget.

  3. A Rendszerhez rendelt lap Állapot csoportjában válassza a Be lehetőséget.

  4. Válassza a Mentés lehetőséget.

    Képernyőkép az Azure portál Identitás lapjáról.

    A beállítások mentése után a lap frissül, hogy megjelenítse a keresési szolgáltatáshoz rendelt objektumazonosítót.

    Képernyőkép egy rendszeridentitás-objektum azonosítóról.

Felhasználó által hozzárendelt felügyelt identitás létrehozása

A felhasználó által hozzárendelt felügyelt identitás egy Azure erőforrás, amely előfizetésekre, erőforráscsoportokra vagy erőforrástípusokra terjedhet ki.

A szerepkör-hozzárendelések részletesebbsége érdekében több felhasználó által hozzárendelt felügyelt identitást is létrehozhat. Előfordulhat például, hogy különálló identitásokat szeretne a különböző alkalmazásokhoz és forgatókönyvekhez. Önállóan létrehozott és felügyelt erőforrásként nincs magára a szolgáltatásra kötve.

A felhasználó által hozzárendelt felügyelt identitás beállításának lépései a következők:

  • Az Azure-előfizetésben hozzon létre egy felhasználó által hozzárendelt felügyelt identitást.

  • A keresési szolgáltatásban társítsa a felhasználó által hozzárendelt felügyelt identitást a keresési szolgáltatáshoz.

  • Más Azure szolgáltatásokban, amelyhez csatlakozni szeretne, hozzon létre egy szerepkör-hozzárendelést az identitáshoz.

A felhasználó által hozzárendelt felügyelt identitások társítása egy Azure AI Keresés szolgáltatással támogatott a Azure portálon, a search management REST API-kban és a szolgáltatást biztosító SDK-csomagokban.

  1. Jelentkezzen be a Azure portálra.

  2. Az irányítópult bal felső sarkában válassza az Erőforrás létrehozása lehetőséget.

  3. A keresőmezővel keresse meg a felhasználó által hozzárendelt felügyelt identitást, majd válassza a Létrehozás lehetőséget.

    A felhasználó által hozzárendelt felügyelt identitás csempe képernyőképe a Azure Marketplace.

  4. Válassza ki az előfizetést, az erőforráscsoportot és a régiót. Adjon egy leíró nevet az identitásnak.

  5. Válassza a Létrehozás lehetőséget , és várja meg, amíg az erőforrás üzembe helyezése befejeződik.

    Több percet kell várni, mielőtt az identitást használni lehetne.

  6. A keresési szolgáltatás lapján válassza a Beállítások>identitása lehetőséget.

  7. A Felhasználó által hozzárendelt lapon válassza a Hozzáadás lehetőséget.

  8. Válassza ki a korábban létrehozott előfizetést és a felhasználó által hozzárendelt felügyelt identitást.

Szerepkör hozzárendelése

Miután rendelkezik felügyelt identitással, rendeljen hozzá olyan szerepköröket, amelyek meghatározzák a keresési szolgáltatás engedélyeit az Azure erőforráson.

  • Olvasási engedélyekre van szükség az indexelő adatkapcsolataihoz és egy ügyfél által felügyelt kulcshoz való hozzáféréshez Azure Key Vault.

  • Írási engedélyekre van szükség azokhoz az AI-bővítési funkciókhoz, amelyek Azure Storage használnak a hibakeresési munkamenet adatainak tárolásához, a bővítés gyorsítótárazásához és a hosszú távú tartalomtároláshoz egy tudástárban.

Az alábbi lépések a szerepkör-hozzárendelés munkafolyamatát szemléltetik. Ez a példa az Azure OpenAI számára. További Azure erőforrásokért lásd: Kapcsolódás Azure Storage, Kapcsolódás Azure Cosmos DB vagy Kapcsolódás Azure SQL.

  1. Nyissa meg Azure OpenAI-erőforrását a Azure portálon.

  2. A bal oldali menüben válassza a Hozzáférés-vezérlés lehetőséget.

  3. Válassza a Hozzáadás , majd a Szerepkör-hozzárendelés hozzáadása lehetőséget.

  4. A Feladat függvényszerepkörök csoportban válassza a Cognitive Services OpenAI-felhasználó , majd a Tovább lehetőséget.

  5. A Tagok területen válassza a Felügyelt identitás , majd a Tagok lehetőséget.

  6. Szűrjön előfizetés és erőforrástípus (keresési szolgáltatások) szerint, majd válassza ki a keresési szolgáltatás felügyelt identitását.

  7. Válassza a Véleményezés + hozzárendelés lehetőséget.

Kapcsolati sztring példák

A forgatókönyvek leírásából megtudhatja, hogy a felügyelt identitásokat a kapcsolati sztringekben más Azure erőforrásokhoz is használhatja. Ez a szakasz példákat tartalmaz.

A rendszer által hozzárendelt felügyelt identitáskapcsolatok általánosan elérhető REST API-verziókat használnak. A felhasználó által hozzárendelt felügyelt identitáskapcsolatok a REST API 2026-04-01-es vagy újabb verzióját használják, kivéve a bővítési gyorsítótár kapcsolatait, amelyekhez továbbra is előzetes verziójú API szükséges.

Tipp

A legtöbb ilyen objektumot létrehozhatja a Azure portálon, megadhat egy rendszert vagy egy felhasználó által hozzárendelt felügyelt identitást, majd megtekintheti a JSON-definíciót a kapcsolati karakterlánc lekéréséhez.

Blob adatforrás (rendszer által felügyelt identitás):

Az indexelő adatforrás tartalmaz egy tulajdonságot credentials , amely meghatározza, hogyan történik a kapcsolat az adatforrással. A következő példa egy kapcsolatláncot mutat be, amely a tárfiók egyedi erőforrás-azonosítóját adja meg.

A rendszer által felügyelt identitás akkor van feltüntetve, ha egy kapcsolati karakterlánc egy Microsoft Entra azonosítóval ellátott szolgáltatás vagy alkalmazás egyedi erőforrás-azonosítója. A felhasználó által hozzárendelt felügyelt identitás egy identity tulajdonságon keresztül van megadva.

"credentials": {
    "connectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
    }

Blob adatforrás (felhasználó által felügyelt identitás):

A felhasználó által hozzárendelt felügyelt identitásokat a identity tulajdonság támogatja a REST API 2026-04-01-es vagy újabb verziójával.

"credentials": {
    "connectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
    },
  . . .
"identity": {
    "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
    "userAssignedIdentity": "/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{user-assigned-managed-identity-name}"
  }

Tudástár (rendszer által felügyelt identitás):

A tudástár-definíció tartalmaz egy kapcsolati karakterláncot az Azure Storage-hoz. A kapcsolati karakterlánc a tárfiók egyedi erőforrás-azonosítója. Vegye észre, hogy a karaktersorozat nem tartalmaz tárolókat vagy táblázatokat az útvonalban. Ezek a beágyazott vetítési definícióban vannak meghatározva, nem a kapcsolati karakterláncban.

"knowledgeStore": {
  "storageConnectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
}

Tudástár (felhasználó által felügyelt identitás):

A felhasználó által hozzárendelt felügyelt identitásokat a identitySearchIndexerKnowledgeStore tulajdonság támogatja a REST API 2026-04-01-es vagy újabb verziójával.

"knowledgeStore": {
  "storageConnectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};",
  "identity": {
    "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
    "userAssignedIdentity": "/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{user-assigned-managed-identity-name}"
  }
}

Bővítési gyorsítótár (előzetes verzió):

Az indexelő létrehozza, felhasználja és megjegyzi a gyorsítótárazott bővítésekhez használt tárolót. Nem szükséges a tárolót belefoglalni a gyorsítótári kapcsolatláncba. Az objektumazonosítót a keresési szolgáltatás Identity lapján találja a Azure portálon.

"cache": {
  "enableReprocessing": true,
  "storageConnectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
}

Hibakeresési munkamenet:

A hibakeresési munkamenet a Azure portálon fut, és kapcsolati karakterlánc vesz igénybe a munkamenet indításakor. Az alábbi példához hasonló sztringet illeszthet be.

"ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name}/{container-name};",

Egyéni képesség:

Egy egyéni képesség egy Azure függvény vagy egyéni kódot üzemeltető alkalmazás végpontját célozza meg.

  • uri a függvény vagy alkalmazás végpontja.

  • authResourceId a keresési szolgáltatásnak egy felügyelt identitással való csatlakozásra utasítja, és átadja a célfüggvény vagy alkalmazás alkalmazásazonosítóját a tulajdonságban.

{
  "@odata.type": "#Microsoft.Skills.Custom.WebApiSkill",
  "description": "A custom skill that can identify positions of different phrases in the source text",
  "uri": "https://contoso.count-things.com",
  "authResourceId": "<Azure-AD-registered-application-ID>",
  "batchSize": 4,
  "context": "/document",
  "inputs": [ ... ],
  "outputs": [ ...]
}

Példák a modellek kapcsolati példáira

A felügyelt identitásokkal létrehozott kapcsolatok esetében ez a szakasz példákat mutat be a keresési szolgáltatás által egy másik erőforrás modelljeihez való csatlakozáshoz használt kapcsolati információkra. A rendszer által felügyelt identitáson keresztüli kapcsolat transzparens; az identitás és a szerepkörök rendelkezésre állnak, és a kapcsolat sikeres lesz, ha megfelelően vannak konfigurálva. Ezzel szemben a felhasználó által felügyelt identitások további kapcsolati tulajdonságokat igényelnek.

Azure OpenAI beágyazási képesség és Azure OpenAI vektorizáló:

Egy Azure OpenAI beágyazási képesség és vektorizáló az AI Searchben a beágyazási modellt üzemeltető Azure OpenAI végpontját célozza meg. A végpont a Azure OpenAI beágyazási képességdefiníciójában és/vagy az Azure OpenAI vektorizáló definíciójában van megadva.

A rendszer által felügyelt identitás automatikusan használható, ha "apikey""authIdentity" üres, ahogy az az alábbi példában is látható. A "authIdentity" tulajdonság csak a felhasználó által hozzárendelt felügyelt identitáshoz használható.

Példa rendszer által felügyelt identitásra:

{
  "@odata.type": "#Microsoft.Skills.Text.AzureOpenAIEmbeddingSkill",
  "description": "Connects a deployed embedding model.",
  "resourceUri": "https://url.openai.azure.com/",
  "deploymentId": "text-embedding-ada-002",
  "modelName": "text-embedding-ada-002",
  "inputs": [
    {
      "name": "text",
      "source": "/document/content"
    }
  ],
  "outputs": [
    {
      "name": "embedding"
    }
  ]
}

Íme egy vektorizáló példa , amely egy rendszer által hozzárendelt felügyelt identitáshoz van konfigurálva. A vektorizáló egy keresési indexben van megadva.

 "vectorizers": [
    {
      "name": "my_azure_open_ai_vectorizer",
      "kind": "azureOpenAI",
      "azureOpenAIParameters": {
        "resourceUri": "https://url.openai.azure.com",
        "deploymentId": "text-embedding-ada-002",
        "modelName": "text-embedding-ada-002"
      }
    }
  ]

Felhasználó által hozzárendelt felügyelt identitás példa:

A rendszer egy felhasználó által hozzárendelt felügyelt identitást használ, ha "apiKey" üres, és érvényes "authIdentity" identitást ad meg.

{
  "@odata.type": "#Microsoft.Skills.Text.AzureOpenAIEmbeddingSkill",
  "description": "Connects a deployed embedding model.",
  "resourceUri": "https://url.openai.azure.com/",
  "deploymentId": "text-embedding-ada-002",
  "modelName": "text-embedding-ada-002",
  "inputs": [
    {
      "name": "text",
      "source": "/document/content"
    }
  ],
  "outputs": [
    {
      "name": "embedding"
    }
  ],
  "authIdentity": {
    "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
    "userAssignedIdentity": "/subscriptions/<subscription_id>/resourcegroups/<resource_group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-managed-identity-name>"
   }
}

Íme egy vektorizáló példa , amely egy felhasználó által hozzárendelt felügyelt identitáshoz van konfigurálva. A vektorizáló egy keresési indexben van megadva.

 "vectorizers": [
    {
      "name": "my_azure_open_ai_vectorizer",
      "kind": "azureOpenAI",
      "azureOpenAIParameters": {
        "resourceUri": "https://url.openai.azure.com",
        "deploymentId": "text-embedding-ada-002",
        "modelName": "text-embedding-ada-002"
        "authIdentity": {
            "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
            "userAssignedIdentity": "/subscriptions/<subscription_id>/resourcegroups/<resource_group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-managed-identity-name>"
          }
      }
    }
  ]

Tűzfalhozzáférés ellenőrzése

Ha a Azure erőforrás tűzfal mögött található, győződjön meg arról, hogy van egy bejövő szabály, amely a keresési szolgáltatástól és a Azure portálról érkező kéréseket fogadja el.

Lásd még:

  • Utolsó frissítés időpontja: