Op rollen gebaseerd toegangsbeheer voor Azure OpenAI in Microsoft Foundry-modellen (klassiek)

Alleen van toepassing op:Foundry (klassiek) portal. Dit artikel is niet beschikbaar voor de nieuwe Foundry-portal. Meer informatie over de nieuwe portal.

Azure OpenAI ondersteunt Azure op rollen gebaseerd toegangsbeheer (Azure RBAC), een autorisatiesysteem voor het beheren van afzonderlijke toegang tot Azure resources. Met Azure RBAC wijst u verschillende teamleden verschillende machtigingsniveaus toe op basis van hun behoeften voor een bepaald project. Zie de documentatie Azure RBAC voor meer informatie.

Roltoewijzing toevoegen aan een Azure OpenAI-resource

Azure RBAC kan worden toegewezen aan een Azure OpenAI-resource. Als u toegang wilt verlenen tot een Azure resource, voegt u een roltoewijzing toe.

1. Zoek in de Azure portal naar Azure OpenAI.

2. Selecteer Azure OpenAI en navigeer naar uw specifieke resource.

   Opmerking

   U kunt ook Azure RBAC instellen voor hele resourcegroepen, abonnementen of beheergroepen. Doe dit door het gewenste bereikniveau te selecteren en vervolgens naar het gewenste item te navigeren. Selecteer bijvoorbeeld Resourcegroepen en navigeer naar een specifieke resourcegroep.

3. Selecteer Access control (IAM) in het linkerdeelvenster.

4. Selecteer Toevoegen en selecteer vervolgens Roltoewijzing toevoegen.

5. Selecteer op het tabblad Rol in het volgende scherm een rol die u wilt toevoegen.

6. Selecteer op het tabblad Leden een gebruiker, groep, service-principal of beheerde identiteit.

7. Selecteer op het tabblad Beoordelen en toewijzen de optie Beoordelen en toewijzen om de rol toe te wijzen.

Binnen een paar minuten wordt de geselecteerde rol toegewezen aan het geselecteerde toepassingsgebied. Zie Assign Azure roles using the Azure portal voor hulp bij deze stappen.

Azure OpenAI-rollen

• Cognitive Services OpenAI-gebruiker
• Cognitive Services OpenAI-inzender
• Cognitive Services-bijdrager
• Lezer voor Cognitive Services-gebruik

In deze sectie worden algemene taken behandeld die verschillende accounts en combinaties van accounts kunnen uitvoeren voor Azure OpenAI-resources. Om de volledige lijst met beschikbare Actions en DataActions te bekijken, verleent u een rol vanuit uw Azure OpenAI-resource via Toegangsbeheer (IAM)>Rollen>. Onder de kolom Details voor de gewenste rol selecteert u Weergave. Standaard is de radiale knop Acties geselecteerd. U moet zowel Acties als DataActions onderzoeken om inzicht te krijgen in het volledige bereik van de mogelijkheden die zijn toegewezen aan een rol.

Cognitive Services OpenAI-gebruiker

Als aan een gebruiker alleen op rollen gebaseerde toegang tot deze rol is verleend voor een Azure OpenAI-resource, kunnen ze de volgende algemene taken uitvoeren:

✅ De resource weergeven in Azure portal
✅ Het resource-eindpunt weergeven onder Sleutels en Eindpunt
✅ Mogelijkheid om de resource- en bijbehorende modelimplementaties weer te geven in Microsoft Foundry-portal.
✅ Mogelijkheid om te bekijken welke modellen beschikbaar zijn voor implementatie in Foundry-portal.
✅ Gebruik de playground-omgevingen Chat, Completions en DALL-E (preview) om tekst en afbeeldingen te genereren met alle modellen die al in deze Azure OpenAI-resource zijn geïmplementeerd.
✅ Inference-API-aanroepen maken met Microsoft Entra ID.

Een gebruiker waaraan alleen deze rol is toegewezen, kan het volgende niet:

❌ Nieuwe Azure OpenAI-resources maken
❌ Sleutels onder Sleutels en eindpunt weergeven/kopiëren/opnieuw genereren
❌ Nieuwe modelimplementaties maken of bestaande modelimplementaties bewerken
❌ Aangepaste aangepaste modellen maken/implementeren
❌ Gegevenssets uploaden voor het afstemmen
❌ Opgeslagen voltooiingsgegevens weergeven, opvragen, filteren
❌ toegangsquotum
❌ Aangepaste kaders maken

Cognitive Services OpenAI-bijdrager

Deze rol heeft alle machtigingen van Cognitive Services OpenAI-gebruiker en kan ook aanvullende taken uitvoeren, zoals:

✅ Aangepaste modellen maken
✅ Gegevenssets uploaden voor het afstemmen
✅ Opgeslagen voltooiingsgegevens weergeven, opvragen, filteren
✅ Nieuwe modelimplementaties maken of bestaande modelimplementaties bewerken [Herfst 2023 toegevoegd]
✅ Grant access to the Assistants API
✅ Voeg gegevensbronnen toe aan Azure OpenAI op basis van uw gegevens.

Een gebruiker waaraan alleen deze rol is toegewezen, kan het volgende niet:

❌ Nieuwe Azure OpenAI-resources maken
❌ Sleutels onder Sleutels en eindpunt weergeven/kopiëren/opnieuw genereren
❌ toegangsquotum
❌ Aangepaste veiligheidsrails maken

Cognitive Services-bijdrager

Deze rol wordt doorgaans access verleend op het niveau van de resourcegroep voor een gebruiker in combinatie met extra rollen. Met deze rol kan een gebruiker de volgende taken uitvoeren.

✅ Maak nieuwe Azure OpenAI-resources binnen de toegewezen resourcegroep.
✅ Resources weergeven in de toegewezen resourcegroep in de Azure-portal.
✅ Het resource-eindpunt weergeven onder Sleutels en Eindpunt
✅ Sleutels onder Sleutels en eindpunt weergeven/kopiëren/opnieuw genereren
✅ Mogelijkheid om te bekijken welke modellen beschikbaar zijn voor implementatie in Foundry-portal
✅ Gebruik de speelervaringen chat, voltooiingen en DALL-E (preview) om tekst en afbeeldingen te genereren met modellen die al zijn geïmplementeerd in deze Azure OpenAI-resource
✅ Aangepaste veiligheidsrails maken
✅ Voeg gegevensbronnen toe aan Azure OpenAI On Your Data.
✅ Nieuwe modelimplementaties maken of bestaande modelimplementaties bewerken (via API)
✅ Aangepaste modellen maken [Toegevoegd herfst 2023]
✅ Gegevenssets uploaden voor fijnafstemming [Toegevoegd herfst 2023]
✅ Nieuwe modelimplementaties maken of bestaande modelimplementaties bewerken (via Foundry) [Najaar 2023 toegevoegd]
✅ Opgeslagen voltooiingsgegevens weergeven, opvragen, filteren

Een gebruiker waaraan alleen deze rol is toegewezen, kan het volgende niet:

❌ toegangsquotum
❌ Inferentie-API-aanroepen maken met Microsoft Entra ID.

Lezer voor Cognitive Services-gebruik

Voor het weergeven van de quota is de rol Cognitive Services Usages Reader vereist. Deze rol biedt de minimale toegang die nodig is om het quotumgebruik voor een Azure-abonnement weer te geven.

Deze rol vindt u in de Azure Portal onder Subscriptions> *Toegangsbeheer (IAM)>Roltoewijzing toevoegen> zoeken naar Cognitive Services Gebruiker Reader. De rol moet worden toegepast op abonnementsniveau, deze bestaat niet op resourceniveau.

Als u deze rol niet wilt gebruiken, biedt het abonnement Reader een equivalent toegang, maar verleent het ook leesrechten buiten de noodzakelijke reikwijdte voor het weergeven van quota. Modelimplementatie via de Foundry-portal is ook gedeeltelijk afhankelijk van de aanwezigheid van deze rol.

Deze rol biedt weinig waarde op zichzelf en wordt meestal toegewezen in combinatie met een of meer van de eerder beschreven rollen.

Lezer voor Gebruik van Cognitieve Services + OpenAI-gebruiker van Cognitieve Services

Alle mogelijkheden van Cognitive Services OpenAI-gebruiker plus de mogelijkheid om:

✅ Quotatoewijzingen bekijken in Foundry-portal

Lezer van gebruiksstatistieken van Cognitive Services + OpenAI bijdrager aan Cognitive Services

Alle mogelijkheden van Cognitive Services OpenAI-inzender plus de mogelijkheid om:

✅ Quotatoewijzingen bekijken in Foundry-portal

Lezer van Gebruik van Cognitieve Services + Bijdrager aan Cognitieve Services

Alle mogelijkheden van Cognitive Services-inzender plus de mogelijkheid om:

✅ quotaweergave en -allocaties bewerken in Foundry-portal
✅ Nieuwe modelimplementaties maken of bestaande modelimplementaties bewerken (via Foundry)

Samenvatting

Veelvoorkomende problemen

Kan Azure Cognitive Search optie niet weergeven in de Foundry-portal

Issue:

Wanneer u een bestaande Azure Cognitive Search resource selecteert, worden de zoekindexen niet geladen en draait het laadwiel continu. Ga in Foundry-portal naar Playground Chat>Toevoegen van uw gegevens (preview) onder Configuratie van assistent. Als u Toevoegen van een gegevensbron selecteert, wordt een modaal geopend waarmee u een gegevensbron kunt toevoegen via Azure Cognitive Search of Blob Storage. Als u de optie Azure Cognitive Search selecteert en een bestaande Azure Cognitive Search-resource kiest, zouden de beschikbare Azure Cognitive Search-indexen moeten laden waaruit u kunt kiezen.

Oorspronkelijke oorzaak

Als u een algemene API-aanroep wilt maken om Azure Cognitive Search services weer te geven, wordt de volgende aanroep uitgevoerd:

https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Search/searchServices?api-version=2021-04-01-Preview

Vervang {subscriptionId} door uw werkelijke abonnements-id.

Voor deze API-aanroep hebt u een bereikrol op abonnementsniveau nodig. U kunt de rol Reader gebruiken voor alleen-lezen toegang of de rol Contributor voor lezen en schrijven toegang. Als u alleen toegang nodig hebt tot Azure Cognitive Search services, kunt u de rollen Azure Cognitive Search servicebijdrager of Azure Cognitive Search servicelezer gebruiken.

Opties voor oplossingen

• Neem contact op met uw abonnementsbeheerder of eigenaar: neem contact op met de persoon die uw Azure-abonnement beheert en vraag de juiste toegang aan. Leg uw vereisten, en de specifieke rol die u nodig hebt, uit (bijvoorbeeld Lezer, Bijdrager, Azure Cognitive Search Service Contributor of Azure Cognitive Search Service Reader).

• Vraag toegang op abonnementsniveau of resourcegroepniveau aan: Als u toegang nodig hebt tot specifieke resources, vraag dan de eigenaar van het abonnement om u toegang te verlenen op het juiste niveau (abonnement of resourcegroep). Hierdoor kunt u de vereiste taken uitvoeren zonder toegang tot niet-gerelateerde bronnen.

• API-sleutels gebruiken voor Azure Cognitive Search: als u alleen hoeft te communiceren met de Azure Cognitive Search-service, kunt u de beheerderssleutels of querysleutels aanvragen bij de eigenaar van het abonnement. Met deze sleutels kunt u API-aanroepen rechtstreeks naar de zoekservice maken zonder dat u een Azure RBAC-rol nodig hebt. Houd er rekening mee dat het gebruik van API-sleutels bypass het Azure RBAC-toegangsbeheer, dus gebruik ze voorzichtig en volg de aanbevolen procedures voor beveiliging.

Kan geen bestanden uploaden in de Foundry-portal voor uw gegevens.

Symptoom: Niet in staat om opslag te benaderen voor de functie voor uw gegevens met Foundry.

Hoofdoorzaak:

Onvoldoende toegang op abonnementsniveau voor de gebruiker die probeert de blob storage te benaderen in Foundry-portal. De gebruiker heeft mogelijk niet de benodigde machtigingen om het Azure Management API-eindpunt aan te roepen: https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{accountName}/listAccountSas?api-version=2022-09-01

Openbare toegang tot de blobopslag wordt uitgeschakeld door de eigenaar van het Azure-abonnement om veiligheidsredenen.

Machtigingen die nodig zijn voor de API-aanroep: Microsoft.Storage/storageAccounts/listAccountSas/action: Met deze machtiging kan de gebruiker de SAS-tokens (Shared Access Signature) voor het opgegeven opslagaccount vermelden.

Mogelijke redenen waarom de gebruiker mogelijk geen machtigingen heeft:

• De gebruiker krijgt een beperkte rol toegewezen in het Azure-abonnement, dat niet de benodigde machtigingen voor de API-aanroep bevat.
• De rol van de gebruiker is beperkt door de eigenaar of beheerder van het abonnement vanwege beveiligingsproblemen of organisatiebeleid.
• De rol van de gebruiker is onlangs gewijzigd en de nieuwe rol verleent de vereiste machtigingen niet.

Opties voor oplossingen

• Toegangsrechten controleren en bijwerken: zorg ervoor dat de gebruiker de juiste toegang op abonnementsniveau heeft, inclusief de benodigde machtigingen voor de API-aanroep (Microsoft). Storage/storageAccounts/listAccountSas/action). Vraag indien nodig de eigenaar van het abonnement of de beheerder om de benodigde access rechten te verlenen.
• Vraag om hulp van de eigenaar of beheerder: als de bovenstaande oplossing niet haalbaar is, kunt u de eigenaar of beheerder van het abonnement vragen om de gegevensbestanden namens u te uploaden. Deze methode kan helpen bij het importeren van de gegevens in Foundry zonder dat de gebruiker toegang op abonnementsniveau of openbare toegang tot de blobopslag nodig heeft.

Volgende stappen

• Begin met de Azure OpenAI-beveiligingsbouwsteen
• Meer informatie over Azure op rollen gebaseerd toegangsbeheer (Azure RBAC).
• Bekijk ook wijs Azure rollen toe met behulp van de Azure-portal.