Управление доступом на основе ролей для ресурсов службы "Речь"

Доступ и разрешения для ресурсов службы "Речь" можно контролировать с помощью управления доступом на основе ролей Azure (Azure RBAC). Назначенные роли в разных ресурсах службы "Речь" могут различаться.

Например, можно назначить роль ресурсу службы "Речь ИИ", который следует использовать только для обучения пользовательской модели речи. Вы можете назначить другую роль ресурсу службы "Речь ИИ", который используется для транскрибирования звуковых файлов.

В зависимости от того, кто может получить доступ к каждому ресурсу службы "Речь", вы можете задавать разные уровни доступа для каждого приложения или пользователя. Дополнительные сведения об Azure RBAC см. в документации по Azure RBAC.

Роли для ресурсов службы "Речь"

Определение роли представляет собой коллекцию разрешений. Ресурс речи ИИ может наследовать или быть назначен на несколько ролей. Окончательный уровень доступа к ресурсу — это сочетание всех разрешений ролей. При создании ресурса "Речь ИИ" встроенные роли в таблице ниже доступны для назначения.

Если ресурс службы "Речь" может иметь полный доступ на чтение и запись к проектам, оставьте встроенные роли без изменений.

Для более точного управления доступом к ресурсам можно добавлять или удалять роли с помощью портала Azure. Например, можно создать пользовательскую роль с разрешением на отправку пользовательских наборов данных речи, но без разрешения на развертывание пользовательской модели речи в конечной точке.

Особые соображения о ресурсах по обработке речи

Служба "Речь" широко использует плоскость данных по сравнению с другими средствами Foundry, и для этого требуется другая настройка ролей. Из-за этого некоторые общие роли Cognitive Services имеют фактический набор прав доступа, который точно не соответствует их имени при использовании в сценарии служб распознавания речи.

Например, пользователь Cognitive Services предоставляет права участника, а участник Cognitive Services не предоставляет никакого доступа. То же самое верно для универсальных ролей владельца и участника, которые не имеют прав на уровень данных и поэтому не предоставляют доступ к ресурсу 'Речь'.

Чтобы обеспечить согласованность, рекомендуется использовать роли, содержащие Speech в их именах. Эти роли — участник речи Cognitive Services и участник речи Cognitive Services. Их наборы прав доступа были разработаны специально для службы "Речь".

Проверка подлинности с помощью ключей и маркеров

Предоставляемые вам разрешения определяются ролями. Для использования ресурса службы "Речь" требуется проверка подлинности.

Для проверки подлинности с помощью ключей ресурсов службы "Речь" необходимо указать ключ и регион. Для проверки подлинности с помощью маркера Microsoft Entra ресурс службы "Речь" должен иметь пользовательский поддомен.

Ниже показано, как создать новый ресурс службы "Речь" с пользовательским поддоменом. Вы также можете использовать существующий ресурс, но он должен иметь настраиваемый поддомен. Дополнительные сведения о создании пользовательского поддомена см. в разделе "Создание имени личного домена".

resourceGroupName=my-speech-rg
location=eastus
AIServicesResourceName=my-aiservices-$location

# create an AIServices resource for Speech and other Foundry Tools
az cognitiveservices account create --name $AIServicesResourceName --resource-group $resourceGroupName --kind AIServices --sku S0 --location $location --custom-domain $AIServicesResourceName

# get the resource id
speechResourceId=$(az cognitiveservices account show --name $AIServicesResourceName --resource-group $resourceGroupName --query id -o tsv)
# assign Cognitive Services User role to the app id
appId=$(az ad signed-in-user show --query id -o tsv)
az role assignment create --role "Cognitive Services User" --assignee $appId --scope $speechResourceId
# assign Cognitive Services Speech User role to the app id
az role assignment create --role "Cognitive Services Speech User" --assignee $appId --scope $speechResourceId

# get an access token
accessToken=$(az account get-access-token --scope "https://cognitiveservices.azure.com/.default" --query accessToken -o tsv)
echo $accessToken

Возвращенный accessToken является токеном Microsoft Entra, который можно использовать для аутентификации без ключей API. Маркер имеет ограниченное время существования.

Теперь можно использовать accessToken для аутентификации с ресурсом Foundry. Например, токен можно использовать через REST API быстрого транскрибирования:

uri="https://$AIServicesResourceName.cognitiveservices.azure.com/speechtotext/transcriptions:transcribe?api-version=2024-11-15"

curl -v "$uri" \
    --header 'Content-Type: multipart/form-data' \
    --form 'definition={"locales": ["en-US"]}' \
    --form 'audio=@Call1_separated_16k_health_insurance.wav' \
    --header "Authorization: Bearer $accessToken" 

Проверка подлинности с использованием пакета SDK службы "Речь"

Для пакета SDK можно настроить проверку подлинности с помощью ключа API или токена Microsoft Entra. Дополнительные сведения см. в разделе проверки подлинности Microsoft Entra с помощью пакета SDK службы "Речь". |

Связанный контент

• Проверка подлинности Microsoft Entra с помощью пакета SDK службы "Речь".
• Шифрование неактивных данных в Службе "Речь"