Indexelő hozzáférés az Azure hálózati biztonsága által védett tartalmakhoz

Ha az Azure-erőforrások egy Azure-beli virtuális hálózaton vannak üzembe helyezve, ez a fogalomcikk azt ismerteti, hogyan férhet hozzá a keresési indexelő a hálózati biztonság által védett tartalmakhoz. Ismerteti a kimenő forgalom mintáit és az indexelő végrehajtási környezeteit. Emellett az Azure AI Keresés által támogatott hálózati védelmet és azokat a tényezőket is ismerteti, amelyek befolyásolhatják a biztonsági stratégiát. Végül, mivel az Azure Storage az adathozzáféréshez és az állandó tároláshoz is használható, ez a cikk a keresési és tárolási kapcsolatokra vonatkozó hálózati szempontokat is ismerteti.

Utasításokra van szüksége lépésről lépésre? Tekintse meg a tűzfalszabályok konfigurálását az indexelők hozzáférésének engedélyezéséhez, illetve a kimenő kapcsolatok privát végponton keresztüli létesítéséhez.

Indexelők által elért erőforrások

Az Azure AI Keresés indexelői három esetben indíthatnak kimenő hívásokat különböző Azure-erőforrásokhoz:

• Kapcsolatok külső adatforrásokkal az indexelés során
• Külső, beágyazott kódhoz való kapcsolatok egyéni képességeket tartalmazó készségkészleten keresztül
• Kapcsolatok az Azure Storage-hoz a képességkészletek végrehajtása során a bővítések gyorsítótárazásához, a hibakeresési munkamenet állapotának mentéséhez vagy egy tudástárba való íráshoz

Az indexelők által egy tipikus futtatás során elérhető összes lehetséges Azure-erőforrástípus listája az alábbi táblázatban található.

Az indexelők az alábbi módszerekkel csatlakoznak az erőforrásokhoz:

• Nyilvános végpont hitelesítő adatokkal
• Privát végpont az Azure Private Link használatával
• Csatlakozzon megbízható szolgáltatásként
• Csatlakozás IP-címen keresztül

Ha az Azure-erőforrás egy virtuális hálózaton található, akkor privát végpontot vagy IP-címzést kell használnia az indexelők adatkapcsolatainak felvételéhez.

Támogatott hálózati védelem

Az Azure-erőforrások bármilyen számú, az Azure által kínált hálózatelkülönítési mechanizmussal védhetők. Az erőforrástól és a régiótól függően az Azure AI Keresés indexelői IP-tűzfalakon és privát végpontokon keresztül hozhatnak létre kimenő kapcsolatokat, az alábbi táblázatban ismertetett korlátozásokra is figyelemmel.

Hálózati hozzáférés és indexelő végrehajtási környezetek

Az Azure AI Keresés egy indexelő végrehajtási környezet koncepcióját használja, amely a feladat jellemzői alapján optimalizálja a feldolgozást. Két környezet van. Ha IP-tűzfalat használ Azure erőforrásokhoz való hozzáférés szabályozásához, a végrehajtási környezetek ismerete segít beállítani a mindkét környezetet magában foglaló IP-tartományt.

Egy adott indexelő futtatása esetén az Azure AI Keresés határozza meg az indexelő futtatásának legjobb környezetét. A hozzárendelt tevékenységek számától és típusától függően az indexelő két környezet egyikében fut:

¹ A privát végrehajtási környezet nagy terhelésének megakadályozása érdekében a több mint két Azure OpenAI-beágyazással vagy Azure Vision multimodális beágyazási képességekkel rendelkező indexelők nem futtathatók ebben a környezetben.

IP-tartományok beállítása az indexelő végrehajtásához

Ez a szakasz az IP-tűzfal konfigurálását ismerteti a végrehajtási környezetek kéréseinek beengedésére.

Ha az Azure-erőforrás tűzfal mögött található, állítson be olyan bejövő szabályokat, amelyek az indexelői kapcsolatokat minden olyan IP-címhez beengedik, ahonnan egy indexelő kérés származhat. Ez magában foglalja a keresési szolgáltatás által használt IP-címet és a több-bérlős környezet által használt IP-címeket.

• A keresési szolgáltatás (és a privát végrehajtási környezet) IP-címének lekéréséhez használja a nslookup (vagy a ping) parancsot a keresési szolgáltatás teljesen kvalifikált tartománynevének (FQDN) megkeresésére. A nyilvános felhőben lévő keresési szolgáltatás teljes tartományneve a következő lenne <service-name>.search.windows.net: .

• Az indexelők által futtatható több-bérlős környezetek IP-címeinek lekéréséhez használja a AzureCognitiveSearch szolgáltatáscímkét.

  Az Azure-szolgáltatáscímkék az egyes régiók több-bérlős környezeteinek KÖZZÉTETT IP-címtartományával rendelkeznek. Ezeket az IP-címeket a felderítési API-val vagy egy letölthető JSON-fájllal találja meg. Az IP-tartományok régiónként vannak lefoglalva, ezért a kezdés előtt ellenőrizze a keresési szolgáltatási régiót.

IP-szabályok beállítása az Azure SQL-hez

A több-bérlős környezet IP-szabályának beállításakor egyes SQL-adatforrások támogatják az IP-címek specifikációjának egyszerű megközelítését. A szabály összes IP-címének felsorolása helyett létrehozhat egy hálózati biztonsági csoport szabályt , amely megadja a AzureCognitiveSearch szolgáltatáscímkét.

Megadhatja a szolgáltatáscímkét, ha az adatforrás a következő:

• SQL Server Azure-beli virtuális gépeken

• SQL-felügyelt példányok

Figyelje meg, hogy ha megadta a több-bérlős környezet IP-szabályának szolgáltatáscímkéjét, akkor is explicit bejövő szabályra lesz szüksége a privát végrehajtási környezethez (azaz magához a keresési szolgáltatáshoz), amelyet a nslookup beolvasásával szerezhet meg.

Csatlakozási mód kiválasztása

Nem lehet keresési szolgáltatást kiépíteni egy adott virtuális hálózatba, mert az nem fut natív módon egy virtuális gépen. Bár egyes Azure erőforrások virtuális hálózati szolgáltatásvégpontokat kínálnak, Azure AI Keresés nem kínálják ezt a funkciót. Tervezze meg az alábbi módszerek egyikének megvalósítását.

A privát végponton keresztüli kapcsolatoknak a keresési szolgáltatás privát végrehajtási környezetéből kell származnia.

Az IP-tűzfal konfigurálása ingyenes. Az Azure Private Linken alapuló privát végpontnak számlázási hatása van. Részletekért tekintse meg az Azure Private Link díjszabását .

A hálózati biztonság konfigurálása után kövesse azokat a szerepkör-hozzárendeléseket, amelyek meghatározzák, hogy mely felhasználók és csoportok rendelkeznek olvasási és írási hozzáféréssel az adatokhoz és műveletekhez.

A privát végpontok használatának szempontjai

Ez a szakasz a privát kapcsolat lehetőségére összpontosít.

• A megosztott privát hivatkozásokhoz számlázható keresési szolgáltatásra van szükség, ahol a minimális szint a szövegalapú indexeléshez alapszintű, a készségalapú indexeléshez pedig standard 2 (S2). Részletekért tekintse meg a privát végpontok számának rétegkorlátait .

• A megosztott privát hivatkozás létrehozása után a keresési szolgáltatás mindig azt használja az adott Azure-erőforrás indexelői kapcsolataihoz. A privát kapcsolat zárolva van, és belsőleg van kényszerítve. Nyilvános kapcsolat esetén nem lehet megkerülni a privát kapcsolatot.

• Számlázható Azure Private Link-erőforrást igényel.

• Az előfizetés tulajdonosának jóvá kell hagynia a privát végpontkapcsolatot.

• Ehhez ki kell kapcsolnia az indexelő több-bérlős végrehajtási környezetét.

  Ezt úgy teheti meg, hogy az executionEnvironment indexelőt a következőre "private"állítja: . Ez a lépés biztosítja, hogy az indexelők végrehajtása a keresési szolgáltatásban kiépített privát környezetre korlátozódjon. Ez a beállítás egy indexelőre terjed ki, nem pedig a keresési szolgáltatásra. Ha azt szeretné, hogy minden indexelő privát végpontokon keresztül csatlakozzon, mindegyiknek a következő konfigurációval kell rendelkeznie:

      {
        "name" : "myindexer",
        ... other indexer properties
        "parameters" : {
            ... other parameters
            "configuration" : {
              ... other configuration properties
              "executionEnvironment": "private"
            }
          }
      }
  

Miután jóváhagyott privát végpontot adott meg egy erőforráshoz, a privátnak beállított indexelők az Azure-erőforráshoz létrehozott és jóváhagyott privát kapcsolaton keresztül próbálják meg elérni a hozzáférést.

Azure AI Keresés ellenőrzi, hogy a privát végpont hívói rendelkeznek-e megfelelő szerepkör-hozzárendelésekkel. Ha például magánvégpont-kapcsolatot kér egy írásvédett engedélyekkel rendelkező tárfiókhoz, a rendszer elutasítja a hívást.

Ha a privát végpont nincs jóváhagyva, vagy ha az indexelő nem használta a privát végpontkapcsolatot, hibaüzenet jelenik meg transientFailure az indexelőzmények végrehajtási előzményeiben.

Hálózati biztonság kiegészítése jogkivonat-hitelesítéssel

A tűzfalak és a hálózati biztonság az adatokhoz és műveletekhez való jogosulatlan hozzáférés megelőzésének első lépése. Az engedélyezésnek a következő lépésnek kell lennie.

A szerepköralapú hozzáférést javasoljuk, ahol a Microsoft Entra ID felhasználói és csoportjai olyan szerepkörökhöz vannak rendelve, amelyek meghatározzák a szolgáltatás olvasási és írási hozzáférését. A beépített szerepkörök leírását és az egyéni szerepkörök létrehozására vonatkozó utasításokat lásd: Csatlakozás az Azure AI Kereséshöz szerepköralapú hozzáférés-vezérlőkkel .

Ha nincs szüksége kulcsalapú hitelesítésre, javasoljuk, hogy tiltsa le az API-kulcsokat, és kizárólag szerepkör-hozzárendeléseket használjon.

Hozzáférés hálózati védelem alatt álló tárfiókhoz

A keresési szolgáltatás indexeket és szinonimalistákat tárol. A tárterületet igénylő egyéb funkciók esetében az Azure AI Keresés függőséget vesz igénybe az Azure Storage-ról. A bővítési gyorsítótárazás, a hibakeresési munkamenetek és a tudástárak ebbe a kategóriába tartoznak. Az egyes szolgáltatások helye és a tároláshoz használt hálózati védelem határozza meg az adathozzáférési stratégiát.

Azonos régiós szolgáltatások

Az Azure Storage-ban a tűzfalon keresztüli hozzáférés megköveteli, hogy a kérés egy másik régióból származik. Ha az Azure Storage és az Azure AI Keresés ugyanabban a régióban található, megkerülheti a tárfiók IP-korlátozásait a keresési szolgáltatás rendszeradentitásában lévő adatok elérésével.

Az adathozzáférés támogatásának két lehetősége van a rendszeridentitás használatával:

• Konfigurálja a keresést úgy, hogy megbízható szolgáltatásként fusson, és használja a megbízható szolgáltatáskivételt az Azure Storage-ban.

• Konfiguráljon egy erőforráspéldány-szabályt az Azure Storage-ban, amely beengedi az Azure-erőforrás bejövő kéréseit.

A fenti beállítások a Microsoft Entra-azonosítótól függenek a hitelesítéshez, ami azt jelenti, hogy a kapcsolatot Microsoft Entra-bejelentkezéssel kell létrehozni. Jelenleg csak az Azure AI Keresés rendszer által hozzárendelt felügyelt identitások támogatottak egy tűzfalon keresztüli azonos régiós kapcsolatokhoz.

Szolgáltatások különböző régiókban

Ha a keresés és a tárolás különböző régiókban található, használhatja a korábban említett beállításokat, vagy beállíthat olyan IP-szabályokat, amelyek a szolgáltatástól érkező kéréseket fogadják el. A számítási feladattól függően előfordulhat, hogy több végrehajtási környezethez is be kell állítania a szabályokat a következő szakaszban leírtak szerint.

Következő lépések

Most, hogy már ismeri az Indexer adathozzáférési lehetőségeit egy Azure-beli virtuális hálózaton üzembe helyezett megoldásokhoz, tekintse át a következő útmutató cikkek egyikét a következő lépésként:

• Indexelő-kapcsolatok létrehozása privát végponttal
• Indexelőkapcsolatok létrehozása IP-tűzfalon keresztül