开始使用 Azure OpenAI 安全模块

• 使用 包和 openai 生成对用户消息的响应的 Python Quart 应用。
• 基本的 HTML/JavaScript 前端，通过 ReadableStream 使用 JSON Lines 从后端流式传输响应。

• 使用 Azure.AI.OpenAI NuGet 包的 Blazor Web 应用程序来生成对用户消息的响应。

• 使用 OpenAI npm 包生成对用户消息的响应的 TypeScript Web 应用。

详细了解示例存储库中的 成本。

详细了解示例存储库中的费用。

详细了解示例仓库中的 成本。

浏览示例代码

虽然 OpenAI 和 Azure OpenAI 服务 依赖于 common Python 客户端库，但使用 Azure OpenAI 终结点时需要小代码更改。 让我们看看此示例如何使用 Microsoft Entra ID 配置无密钥身份验证，并与 Azure OpenAI 通信。

使用托管标识配置身份验证

在此示例中， src/quartapp/chat.py 该文件首先配置无密钥身份验证。

以下代码片段使用 azure.identity.aio 模块创建异步Microsoft Entra身份验证流。

以下代码片段使用AZURE_CLIENT_IDazd环境变量创建能够通过用户分配的托管标识进行身份验证的 ManagedIdentityCredential 实例。

user_assigned_managed_identity_credential = ManagedIdentityCredential(client_id=os.getenv("AZURE_CLIENT_ID")) 

以下代码片段使用 AZURE_TENANT_IDazd 资源环境变量创建能够与当前Microsoft Entra租户进行身份验证的 AzureDeveloperCliCredential 实例。

azure_dev_cli_credential = AzureDeveloperCliCredential(tenant_id=os.getenv("AZURE_TENANT_ID"), process_timeout=60)  

Azure标识客户端库提供 credentials — 实现 Azure Core 库的 TokenCredential 协议的公共类。 凭据表示从Microsoft Entra ID获取访问令牌的不同身份验证流。 这些凭证可以链接在一起，形成要尝试的身份验证机制的有序序列。

以下代码片段使用 ChainedTokenCredential 和 ManagedIdentityCredential、AzureDeveloperCliCredential 创建：

• ManagedIdentityCredential用于Azure Functions、Azure 应用服务和Azure 容器应用。 通过将client_id传递给ManagedIdentityCredential，以支持用户分配的托管标识。
• AzureDeveloperCliCredential 用于本地开发。 它之前是根据要使用的 Microsoft Entra 租户设置的。

azure_credential = ChainedTokenCredential(
    user_assigned_managed_identity_credential,
    azure_dev_cli_credential
)

以下代码片段根据所选 Azure 凭据获取 Azure OpenAI 令牌提供者。 通过使用两个参数调用 azure.identity.aio.get_bearer_token_provider 来获取此值：

• azure_credential ChainedTokenCredential：前面创建的用于对请求进行身份验证的实例。

• https://cognitiveservices.azure.com/.default：需要一个或多个持有者令牌范围。 在本例中，Azure Cognitive Services 端点。

token_provider = get_bearer_token_provider(
    azure_credential, "https://cognitiveservices.azure.com/.default"
)

以下行检查所需的AZURE_OPENAI_ENDPOINT和AZURE_OPENAI_CHAT_DEPLOYMENT两个环境变量，这些是在azd预配期间设置的azd类型的环境变量。 如果值不存在，则会引发错误。

openai_endpoint = os.getenv("AZURE_OPENAI_ENDPOINT")
if not openai_endpoint:
    raise ValueError("AZURE_OPENAI_ENDPOINT is required for Azure OpenAI")
if not os.getenv("AZURE_OPENAI_CHAT_DEPLOYMENT"):
    raise ValueError("AZURE_OPENAI_CHAT_DEPLOYMENT is required for Azure OpenAI")

此代码片段针对 Azure 的 /openai/v1/ 终结点初始化 OpenAI 客户端，并传递令牌提供程序作为 api_key。 v1 终结点不需要使用api_version。

bp.openai_client = AsyncOpenAI(
    base_url=f"{openai_endpoint.rstrip('/')}/openai/v1/",
    api_key=token_provider,
)

以下行设置用于 API 调用的 Azure OpenAI 模型部署名称：

bp.openai_model = os.getenv("AZURE_OPENAI_CHAT_DEPLOYMENT")

此函数完成后，客户端已正确配置，并准备好与 Azure OpenAI 服务进行交互。

使用 OpenAI 响应 API 流式处理响应

处理 response_stream 路由中的响应 API 流式处理调用。 前端直接发送 input 格式的响应项目，后端将其转发到 responses.stream()：

async def response_stream():
    try:
        async with bp.openai_client.responses.stream(
            model=bp.openai_model,
            input=request_input,
            store=False,
        ) as openai_stream:
            async for event in openai_stream:
                yield json.dumps(event.model_dump(), ensure_ascii=False) + "\n"
    except Exception as e:
        current_app.logger.exception("Responses stream failed")
        yield json.dumps({"error": str(e)}, ensure_ascii=False) + "\n"

探索示例代码

.NET应用程序依赖于 Azure。艾。OpenAI 客户端库与 Azure OpenAI 服务通信，它依赖于 OpenAI 库。 示例应用使用 Microsoft Entra ID 配置无密钥身份验证，以便与 Azure OpenAI 通信。

配置身份验证和服务注册

在此示例中，无密钥身份验证配置在 program.cs 文件中。 以下代码片段使用由AZURE_CLIENT_ID设置的azd环境变量来创建一个能够通过用户分配的托管标识进行身份验证的ManagedIdentityCredential实例。

var userAssignedIdentityCredential = 
    new ManagedIdentityCredential(builder.Configuration.GetValue<string>("AZURE_CLIENT_ID"));

以下代码片段使用AZURE_TENANT_ID环境变量集由azd创建一个AzureDeveloperCliCredential实例，该实例能够通过已登录azd的账户进行本地身份验证。

var azureDevCliCredential = new AzureDeveloperCliCredential(
    new AzureDeveloperCliCredentialOptions()
    { 
        TenantId = builder.Configuration.GetValue<string>("AZURE_TENANT_ID") 
    });

Azure标识客户端库提供实现 Azure Core 库的 TokenCredential 协议的凭据类。 凭据表示用于从 Microsoft Entra ID 获取访问令牌的不同身份验证流程。 这些凭据可以使用 ChainedTokenCredential 链接在一起，以形成要尝试的身份验证机制的有序序列。

以下代码片段将 AzureOpenAIClient 注册到依赖注入中，并使用 ChainedTokenCredential 和 ManagedIdentityCredential 创建 AzureDeveloperCliCredential。

• ManagedIdentityCredential用于Azure Functions、Azure 应用服务和Azure 容器应用。 使用提供给AZURE_CLIENT_ID的ManagedIdentityCredential来支持用户分配的托管标识。
• AzureDeveloperCliCredential 用于本地开发。 它以前基于要使用的Microsoft Entra租户进行设置。

builder.Services.AddAzureClients(
    clientBuilder => {
        clientBuilder.AddClient<AzureOpenAIClient, AzureOpenAIClientOptions>((options, _, _)
            => new AzureOpenAIClient(
                new Uri(endpoint),
                new ChainedTokenCredential(
                    userAssignedIdentityCredential, azureDevCliCredential), options));
    });

使用 Azure OpenAI 客户端获取聊天完成

Blazor Web 应用在AzureOpenAIClient组件顶部插入注册的Home.Razor。

@inject AzureOpenAIClient azureOpenAIClient

当用户提交表单时，会 AzureOpenAIClient 将其提示发送到 OpenAI 模型以生成完成：

ChatClient chatClient = azureOpenAIClient.GetChatClient("gpt-4o-mini");

messages.Add(new UserChatMessage(model.UserMessage));

ChatCompletion completion = await chatClient.CompleteChatAsync(messages);
    messages.Add(new SystemChatMessage(completion.Content[0].Text));

探索示例代码

虽然 OpenAI 和 Azure OpenAI 服务 依赖于 openai （常见的 JavaScript 客户端库），但使用 Azure OpenAI 终结点时需要小代码更改。 让我们看看此示例如何使用 Microsoft Entra ID 配置无密钥身份验证，并与 Azure OpenAI 通信。

每个环境的无密钥身份验证

Azure标识客户端库提供实现 Azure Core 库的 TokenCredential 协议的凭据类。 凭据表示获取访问令牌的不同身份验证流程，该访问令牌来自 Microsoft Entra ID。 可以使用 ChainedTokenCredential 将这些凭据链接在一起，以形成要尝试的有序身份验证机制序列。 这样，就可以在生产环境和本地开发环境中部署相同的代码。

使用托管标识配置身份验证

在此示例中，./src/azure-authentication.ts提供了多个函数，用于提供Azure OpenAI 的无密钥身份验证。

第一个函数getChainedCredential()返回链中找到的第一个有效Azure凭据。

function getChainedCredential() {

    return new ChainedTokenCredential(
        new ManagedIdentityCredential(process.env.AZURE_CLIENT_ID!), 
        new AzureDeveloperCliCredential({
            tenantId: process.env.AZURE_TENANT_ID! ? process.env.AZURE_TENANT_ID! : undefined
          })
    );
}

• 首先尝试 ManagedIdentityCredential 。 它使用生产运行时中的AZURE_CLIENT_ID环境变量进行设置，并且能够通过用户分配的托管标识进行身份验证。
• 第二次尝试 AzureDeveloperCliCredential 。 当开发人员通过 azd auth login 登录 Azure 开发人员 CLI 时，就会进行设置。

获取 OpenAI 的持有者令牌

./src/azure-authentication.ts中的第二个函数是 getTokenProvider()，它返回一个提供作用域为 Azure 认知服务终结点的 Bearer 令牌的回调。

function getTokenProvider(): () => Promise<string> {
    const credential  = getChainedCredential();
    const scope = "https://cognitiveservices.azure.com/.default";
    return getBearerTokenProvider(credential, scope);
}

前面的代码片段利用getBearerTokenProvider获取凭据和作用域，然后返回提供持票者令牌的回调函数。

创建经过身份验证Azure OpenAI 客户端

./src/azure-authentication.ts 中的第三个函数是 getOpenAiClient()，该函数返回 Azure OpenAI 客户端。

export function getOpenAiClient(): AzureOpenAI | undefined{
    try {

        if (!process.env.AZURE_OPENAI_ENDPOINT) {
            throw new Error("AZURE_OPENAI_ENDPOINT is required for Azure OpenAI");
        }
        if (!process.env.AZURE_OPENAI_CHAT_DEPLOYMENT) {
            throw new Error("AZURE_OPENAI_CHAT_DEPLOYMENT is required for Azure OpenAI");
        }

        const options = { 
            azureADTokenProvider: getTokenProvider(), 
            deployment: process.env.AZURE_OPENAI_CHAT_DEPLOYMENT!, 
            apiVersion: process.env.AZURE_OPENAI_API_VERSION! || "2024-02-15-preview",
            endpoint: process.env.AZURE_OPENAI_ENDPOINT!
        }

        // Create the Asynchronous Azure OpenAI client
        return new AzureOpenAI (options);

    } catch (error) {
        console.error('Error getting Azure OpenAI client: ', error);
    }
}

此代码使用选项（包括正确作用域的令牌）来创建 AzureOpenAI 客户端

使用 Azure OpenAI 流式传输聊天答案

在 ./src/openai-chat-api.ts 中使用以下 Fastify 路由处理程序将消息发送到 Azure OpenAI 并流式传输响应。

import { FastifyReply, FastifyRequest } from 'fastify';
import { AzureOpenAI } from "openai";
import { getOpenAiClient } from './azure-authentication.js';
import { ChatCompletionChunk, ChatCompletionMessageParam } from 'openai/resources/chat/completions';

interface ChatRequestBody {
    messages: ChatCompletionMessageParam [];
  }

export async function chatRoute (request: FastifyRequest<{ Body: ChatRequestBody }>, reply: FastifyReply) {

    const requestMessages: ChatCompletionMessageParam[] = request?.body?.messages;
    const openaiClient: AzureOpenAI | undefined = getOpenAiClient();

    if (!openaiClient) {
      throw new Error("Azure OpenAI client is not configured");
    }

    const allMessages = [
      { role: "system", content: "You are a helpful assistant."},
      ...requestMessages
    ] as ChatCompletionMessageParam [];

    const chatCompletionChunks = await openaiClient.chat.completions.create({
      // Azure Open AI takes the deployment name as the model name
      model: process.env.AZURE_OPENAI_CHAT_DEPLOYMENT_MODEL || "gpt-4o-mini",
      messages: allMessages,
      stream: true

    })
    reply.raw.setHeader('Content-Type', 'text/html; charset=utf-8');
    reply.raw.setHeader('Cache-Control', 'no-cache');
    reply.raw.setHeader('Connection', 'keep-alive');
    reply.raw.flushHeaders();

    for await (const chunk of chatCompletionChunks as AsyncIterable<ChatCompletionChunk>) {
      for (const choice of chunk.choices) {
        reply.raw.write(JSON.stringify(choice) + "\n")
      }
    }

    reply.raw.end()

}

该函数获取聊天对话，包括任何以前的消息，并将其发送到 openAI Azure。 由于流区块从 Azure OpenAI 返回，因此会发送到客户端。

如果未解决问题，请将问题记录到存储库的 Issues。

后续步骤

如果未解决问题，请将问题记录到存储库的 Issues。

如果未解决问题，请将问题记录到存储库的 Issues。