Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
В этой статье показано, как защитить конечные точки OpenAPI службы приложений при вызове службы агентов Foundry. При добавлении приложения Службы приложений в качестве средства OpenAPI в Microsoft Foundry его можно настроить для анонимного вызова API без проверки подлинности, что упрощает разработку и тестирование. Однако для рабочих сред следует использовать проверку подлинности Microsoft Entra с управляемым удостоверением. В этом руководстве описано, как настроить проверку подлинности с использованием управляемой идентификации, чтобы обеспечить безопасную коммуникацию на основе токенов между Microsoft Foundry и вашим приложением.
Предпосылки
Приложение службы приложений с конечными точками OpenAPI. Если вам нужно добавить функции OpenAPI в приложение, ознакомьтесь с одним из следующих руководств:
- Добавьте приложение платформы App Service как инструмент в службу Foundry Agent (.NET)
- Добавьте приложение службы App Service в качестве инструмента в службу агента Foundry (Java)
- Добавьте приложение App Service в Службу агента Foundry в качестве инструмента (Python)
- Добавление веб-приложения App Service в качестве средства в службе агента Foundry (Node.js)
Проект Microsoft Foundry, в котором вы добавите приложение в качестве средства OpenAPI.
Найдите идентификаторы управляемых удостоверений для проекта Microsoft Foundry
Для настройки проверки подлинности службы приложений вам потребуется идентификатор объекта и идентификатор приложения управляемого удостоверения проекта Microsoft Foundry. Системой назначаемое управляемое удостоверение автоматически создается для вашего проекта Microsoft Foundry при его создании. Это учетные данные, которые служба агента Foundry использует для аутентификации в вашем приложении.
На портале Foundry убедитесь, что вы выбрали New Foundry в правом верхнем углу. Обратите внимание, что в новом портале Foundry могут не отображаться агенты, созданные в классическом портале.
В правом верхнем меню выберите "Управление администратором>". Затем выберите родительский ресурс проекта в столбце "Родительский ресурс".
На странице сведений о родительском ресурсе выберите "Управление этим ресурсом" на портале Azure.
Замечание
Прежде чем перейти, убедитесь, что вы находитесь на странице ресурсов Foundry, а не на странице ресурса проекта Foundry.
В меню слева ресурса Foundry выберите Управление ресурсами>Удостоверение.
В разделе "Назначаемая системой" скопируйте значение идентификатора объекта (главный) для дальнейшего использования.
На портале Azure найдите и выберите идентификатор Microsoft Entra.
В поле поиска найдите скопированный идентификатор объекта и выберите его в результатах поиска.
На странице обзора скопируйте значение идентификатора приложения.
Обратите внимание, что идентификатор объекта совпадает с идентификатором , указанным в управляемом удостоверении, назначаемом системой. Вам потребуется идентификатор приложения и идентификатор объекта для настройки проверки подлинности службы приложений.
Настройка проверки подлинности Microsoft Entra для приложения
На портале Azure перейдите к приложению службы приложений.
В меню слева в вашем приложении выберите Настройки>Аутентификация, а затем выберите Добавить провайдера идентификации.
На странице "Добавление поставщика удостоверений" выберите Майкрософт в качестве поставщика удостоверений , чтобы создать новую регистрацию приложения.
В разделе "Дополнительные проверки" для требования клиентского приложения выберите "Разрешить запросы" из определенных клиентских приложений.
Выберите мини-виджет карандаша и добавьте идентификатор приложения, который вы скопировали, когда нашли идентификаторы управляемых удостоверений вашего проекта Microsoft Foundry.
Для требования удостоверения выберите "Разрешить запросы из определенных удостоверений".
Выберите виджет карандаша и добавьте идентификатор объекта, скопированный из идентификаторов управляемой учетной записи для проекта Microsoft Foundry.
Для требования клиента примите значение по умолчанию. Если нет, обязательно выберите арендатора, в котором создается проект Microsoft Foundry (или скорее его идентификатор).
Для запросов, не прошедших проверку подлинности, выберите HTTP 401 Unauthorized: рекомендуется для API.
Нажмите кнопку "Добавить ", чтобы создать поставщика удостоверений.
Обновите URI идентификатора приложения в регистрации приложения
После включения проверки подлинности необходимо обновить URI идентификатора приложения в регистрации, чтобы он соответствовал URL-адресу вашего приложения в App Service.
После завершения настройки поставщика Microsoft выберите его в столбце поставщик удостоверений, чтобы открыть страницу регистрации приложения.
В меню слева выберите "Управление>предоставлением API".
Рядом с URI идентификатора приложения нажмите кнопку "Изменить".
Измените значение URL-адреса приложения службы приложений в следующем формате:
https://<suffix>.azurewebsites.netИмя узла приложения можно найти на странице обзора в домене по умолчанию.
Нажмите кнопку "Сохранить".
Предупреждение
При удалении приложения службы приложений необходимо также удалить регистрацию приложения и очистить все ресурсы проверки подлинности, ссылающиеся на URI идентификатора приложения. Несоблюдение этого создаёт уязвимость для безопасности: если кто-то другой создаёт приложение с тем же URL-адресом, он может получить несанкционированный доступ к ресурсам, которые доверяют регистрации осиротевших приложений. Всегда удалять регистрации приложений и связанные с ними разрешения при выводе из эксплуатации приложения.
Настройка средства OpenAPI в Microsoft Foundry
Замечание
В этом разделе предполагается, что вы уже выполнили одно из учебников в разделе "Предварительные требования ", где вы добавили приложение в качестве средства OpenAPI в Microsoft Foundry с помощью анонимной проверки подлинности. Теперь обновите средство, чтобы использовать аутентификацию с управляемой идентификацией.
Вернитесь на портал Foundry, выберите агент.
Найдите средство OpenAPI и выберите ...>Изменение.
Поле схемы OpenAPI 3.0+ должно содержать схему вашего приложения App Service. В противном случае вставьте схему OpenAPI. Дополнительные сведения см. в статье "Использование OpenAPI с службой агента Foundry".
Для метода проверки подлинности выберите Managed Identity.
Для аудитории введите URL-адрес приложения службы приложений. Этот URL-адрес должен соответствовать URI идентификатора приложения , настроенного ранее.
Выберите средство обновления.
Подсказка
Служба агента Foundry использует управляемое удостоверение, назначаемое системой, для проверки подлинности в приложении. Поскольку вы добавили клиентский идентификатор удостоверенности как разрешенное клиентское приложение и разрешенное удостоверение в конфигурацию поставщика аутентификации вашего приложения, служба агента авторизована на вызов API вашего приложения.
Тестирование агента
На портале Foundry выберите вашего агента и нажмите Пробовать в песочнице.
Общайтесь с агентом, чтобы протестировать OpenAPI-эндпоинты. Рассмотрим пример.
- Показать мне все задачи.
- Создайте задачу с именем "Купить продукты".
- Обновите такую задачу, чтобы "Купить продуктовые продукты и готовить ужин".
Если проверка подлинности настроена правильно, агент успешно вызывает API приложения с помощью средства OpenAPI.