Создание исходящих подключений через общую приватную ссылку

В этой статье объясняется, как настроить общую приватную ссылку для частных исходящих подключений из службы поиска ИИ Azure к ресурсу Azure, работающему в виртуальной сети. С помощью общей приватной связи служба поиска подключается к IP-адресу виртуальной сети вместо общедоступной конечной точки.

Совместная частная ссылка — это функция премиум-класса, оплачиваемая в зависимости от использования. Дополнительные сведения см. в разделе о ценах на Приватный канал Azure.

Необходимые условия

• Поддерживаемый ресурс Azure, настроенный для запуска в виртуальной сети.

• Служба поиска ИИ Azure. Требования зависят от рабочей нагрузки:

  Рабочая нагрузка	Требования к уровню	Требования к регионам	Требования к созданию службы
  Индексаторы без навыков	Базовый и более высокий	Ни один	Ни один
  Наборы навыков с внедренными навыками (интегрированная векторизация)	Базовый и более высокий	Регионы с высокой емкостью	После 3 апреля 2024 г.
  Наборы навыков, использующие другие встроенные или пользовательские навыки	Standard 1 (S1) и выше	Ни один	После 3 апреля 2024 г.
  Базы знаний, взаимодействующие с Azure OpenAI	Базовый и более высокий	Ни один	Ни один

• Роль участника или владельца как в поиске ИИ Azure, так и в целевом ресурсе Azure, или наличие следующих конкретных разрешений:

  Ресурс	Разрешения
  Поиск по искусственному интеллекту Azure	Microsoft.Search/searchServices/sharedPrivateLinkResources/write Microsoft.Search/searchServices/sharedPrivateLinkResources/read Microsoft.Search/searchServices/sharedPrivateLinkResources/operationStatuses/read
  Другой ресурс Azure	Разрешение на утверждение подключений к частной конечной точке. Например, в службе хранилища Azure вам потребуется Microsoft.Storage/storageAccounts/privateEndpointConnectionsApproval/action.

Поддерживаемые типы ресурсов

Вы можете создать общую приватную ссылку для следующих ресурсов.

¹ Если служба хранилища Azure и поиск ИИ Azure находятся в одном регионе, подключение к хранилищу осуществляется через магистральную сеть Майкрософт, что означает, что общая частная ссылка является избыточной для этой конфигурации. Однако если вы уже настроили частную конечную точку для службы хранилища Azure, необходимо также настроить общую частную связь, иначе подключение будет отклонено со стороны хранилища. Кроме того, если вы используете несколько форматов хранилища для различных сценариев поиска, обязательно создайте отдельную общую приватную ссылку для каждого подресурса.

² Тип Microsoft.DocumentDB/databaseAccounts ресурса используется для подключений индексатора к Azure Cosmos DB для NoSQL. Имя поставщика и идентификатор группы чувствительны к регистру.

³ Тип Microsoft.Sql/servers ресурса используется для подключений к базе данных SQL Azure. В настоящее время нет поддержки общей частной ссылки на Azure Synapse SQL.

⁴ Тип Microsoft.Web/sites ресурса используется для службы приложений и функций Azure. В контексте поиска ИИ Azure функция Azure является более вероятным сценарием. Функция Azure обычно используется для размещения логики пользовательского навыка. Функция Azure имеет планы размещения службы приложений уровня "Потребление", "Премиум" и "Выделенный". Среда службы приложений (ASE) и Azure Kubernetes Service (AKS) в настоящее время не поддерживаются. Для поддержки общего приватного канала для Azure API Management используйте тип ресурса Microsoft.ApiManagement/service.

⁵ См. инструкции по созданию общей приватной ссылки для управляемого экземпляра SQL .

⁶ Тип Microsoft.CognitiveServices/accounts ресурса используется для векторизатора и индексатора подключений к моделям внедрения Azure OpenAI при реализации интегрированной векторизации. Существует поддержка общей приватной ссылки для многомодальных встраиваний Azure Vision через ресурсы Microsoft Foundry.

⁷ Общий частный канал для Azure OpenAI поддерживается только в общедоступном облаке и Microsoft Azure для государственных организаций. Другие облачные предложения не поддерживают совместное использование приватных ссылок для openai_account идентификатора группы.

⁸ Общие приватные ссылки поддерживаются для подключений к ресурсам Foundry. Для навыков ресурсов Foundry , используемых в обогащении ИИ, поиск ИИ Azure подключается к ресурсу Foundry в целях выставления счетов. Эти подключения могут быть закрытыми с использованием общего приватного канала, который поддерживается только при настройке управляемого удостоверения (конфигурация без ключей) в определении набора навыков.

⁹ Общие частные ссылки поддерживаются для подключения к ресурсам Foundry. Для моделей навыков, размещенных в Azure, таких как навык запроса GenAI, навык интеграции Azure OpenAI или навык распознавания содержимого, Поиск с использованием ИИ Azure подключается к ресурсу Foundry для выполнения базовой обработки.

¹⁰ Поддерживается общая приватная ссылка для подключений к рабочей области OneLake. Чтобы создать специфичный для рабочей области ресурс privateLinkServicesForFabric, зарегистрируйтеMicrosoft.Fabric пространство имен в подписке и обратитесь к шагу 2, как описано в документе «Создание службы частной ссылки в Azure». Обратите внимание, что при использовании общей приватной ссылки конфигурация источника данных OneLake должна быть определена с определенной строкой подключения, как описано в документации по индексатору OneLake.

¹¹ Тип ресурса Microsoft.ApiManagement/service обеспечивает частное подключение к шлюзу Azure API Management, который выступает в роли внешнего интерфейса для конечных точек модели.

1. Создание общей приватной ссылки

Используйте портал Azure, REST API управления, Azure CLI или Azure PowerShell, чтобы создать общую приватную ссылку.

Ниже приведены несколько советов.

• Присвойте приватной ссылке понятное имя. В ресурсе Azure PaaS общий приватный канал отображается вместе с другими частными конечными точками. Имя, например «shared-private-link-for-search», может напомнить о том, как оно используется.

После выполнения действий, описанных в этом разделе, у вас есть общая приватная ссылка, подготовленная в состоянии ожидания. Создание ссылки занимает несколько минут. После создания владелец ресурса должен утвердить запрос, прежде чем он работает.

Get-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name>

New-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name> -Name <spl-name> -PrivateLinkResourceId /subscriptions/<alphanumeric-subscription-ID>/resourceGroups/<storage-resource-group-name>/providers/Microsoft.Storage/storageAccounts/myBlobStorage -GroupId blob -RequestMessage "Please approve"

az search shared-private-link-resource list --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}}

az search shared-private-link-resource create --name {{your-shared-private-link-name}} --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}} --group-id Sql --resource-id "/subscriptions/{{your-subscription-ID}}/{{your-cosmos-db-resource-group}}/providers/Microsoft.DocumentDB/databaseAccounts/{{your-cosmos-db-account-name}}" 

Процедура создания совместной частной ссылки

Ответ 202 Accepted возвращается при успешном выполнении. Процесс создания внешней частной конечной точки — это длительная (асинхронная) операция. Он включает развертывание следующих ресурсов:

• Частная конечная точка, назначенная частным IP-адресом в состоянии "Pending". Частный IP-адрес получается из адресного пространства, выделенного виртуальной сети среды выполнения для частного индексатора службы поиска. При утверждении частного узла любая связь от Поиск с использованием ИИ Azure к ресурсу Azure осуществляется из частного IP-адреса и через безопасный приватный канал.

• Частная зона DNS для типа ресурса на основе идентификатора группы. Развернув этот ресурс, убедитесь, что любой поиск DNS в частном ресурсе использует IP-адрес, связанный с частной конечной точкой.

2. Утверждение подключения к частной конечной точке

Утверждение подключения к частной конечной точке предоставляется на стороне Azure PaaS. Требуется явное утверждение владельца ресурса. Следующие действия охватывают утверждение с помощью портала Azure, но ниже приведены некоторые ссылки на утверждение подключения программным способом с стороны Azure PaaS:

• В службе хранилища Azure используйте подключения к частной конечной точке - Put
• В Azure Cosmos DB используйте Создание или обновление подключений к частной конечной точке
• В Azure OpenAI используйте подключения к частной конечной точке - создание или обновление
• В Microsoft Onelake используйте частные конечные точки— утверждение с помощью интерфейса командной строки или частных конечных точек — утверждение с помощью портала

На портале Azure выполните следующие действия.

1. Откройте страницу "Сеть" ресурса Azure PaaS. Текст

2. Найдите раздел, в который перечислены подключения к частной конечной точке. В следующем примере используется учетная запись хранения.

   

3. Выберите подключение и нажмите кнопку "Утвердить". Для обновления состояния на портале Azure может потребоваться несколько минут.

   

После утверждения частной конечной точки Поиск с использованием ИИ Azure создает необходимые сопоставления зон DNS в зоне DNS, созданной для этой служебной функции.

Хотя ссылка на частную конечную точку на странице Сеть активна, она не будет разрешаться.

При выборе ссылки возникает ошибка. "The access token is from the wrong issuer" и must match the tenant associated with this subscription сообщение о состоянии отображается, так как ресурс приватной служебной конечной точки подготовлен корпорацией Майкрософт в клиенте, управляемом Майкрософт, а связанный ресурс (Поиск с использованием ИИ Azure) находится в вашем клиенте. Это по проектированию, вы не можете получить доступ к ресурсу частной конечной точки, выбрав ссылку подключения к частной конечной точке.

Следуйте инструкциям в следующем разделе, чтобы проверить состояние общей приватной ссылки.

3. Проверка состояния общей приватной связи

На стороне поиска ИИ Azure вы можете подтвердить утверждение запроса, открыв страницу общего частного доступа на странице Сеть службы поиска. Состояние подключения должно быть утверждено.

Кроме того, можно получить состояние подключения с помощью совместно используемых ресурсов приватного канала Get.

az rest --method get --uri https://management.azure.com/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso/providers/Microsoft.Search/searchServices/contoso-search/sharedPrivateLinkResources/blob-pe?api-version=2025-05-01

JSON возвращается таким образом, что состояние подключения отображается как "статус" в разделе "свойства". Ниже приведен пример учетной записи хранения.

{
      "name": "blob-pe",
      "properties": {
        "privateLinkResourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso/providers/Microsoft.Storage/storageAccounts/contoso-storage",
        "groupId": "blob",
        "requestMessage": "please approve",
        "status": "Approved",
        "resourceRegion": null,
        "provisioningState": "Succeeded"
      }
}

Если состояние подготовки (properties.provisioningState) ресурса имеет значение "Успешно" и состояние подключения (properties.status) имеет значение "Утверждено", это означает, что общий ресурс приватного канала работает и индексатор можно настроить для обмена данными через частную конечную точку.

4. Настройка индексатора для запуска в частной среде

Выполнение индексатора происходит либо в частной среде, которая относится к службе поиска, либо в мультитенантной среде, которая используется внутри для разгрузки дорогостоящей обработки навыков для нескольких клиентов.

Среда выполнения является прозрачной, но после начала создания правил брандмауэра или установки частных подключений необходимо учитывать выполнение индексатора. Для частного подключения настройте выполнение индексатора, чтобы всегда выполняться в частной среде.

На этом шаге показано, как настроить индексатор для запуска в частной среде с помощью REST API. Вы также можете задать среду выполнения с помощью редактора JSON на портале Azure.

1. Создайте определение источника данных, индекс и набор навыков (если вы его используете), как обычно. В любом из этих определений нет свойств, которые зависят от использования общей частной конечной точки.

2. Создайте индексатор, указывающий на источник данных, индекс и набор навыков, созданный на предыдущем шаге. Кроме того, заставьте индексатор выполняться в закрытой среде выполнения, установив для свойства конфигурации индексатора executionEnvironment значение private.

   {
       "name": "indexer",
       "dataSourceName": "blob-datasource",
       "targetIndexName": "index",
       "parameters": {
           "configuration": {
               "executionEnvironment": "private"
           }
       },
       "fieldMappings": []
   }
   

После успешного создания индексатора он должен подключиться к ресурсу Azure через подключение к частной конечной точке. Состояние индексатора можно отслеживать с помощью API состояния индексатора.

5. Проверка общей приватной ссылки

1. Если вы еще этого не сделали, убедитесь, что ресурс Azure PaaS отказывается от подключений из общедоступного Интернета. Если подключения принимаются, просмотрите параметры DNS на странице "Сеть " ресурса Azure PaaS.

2. Выберите средство, которое может вызвать сценарий исходящего запроса, например подключение индексатора к частной конечной точке. Простой выбор — это использование мастера импорта, но также можно воспользоваться клиентом REST и REST API для повышения точности. Если служба поиска не настроена для частного подключения, подключение клиента REST для поиска может находиться через общедоступный Интернет.

3. Задайте строку подключения частному ресурсу Azure PaaS. Формат строки подключения не изменяется для общей приватной ссылки. Служба поиска вызывает общую приватную ссылку внутри.

   Для рабочих нагрузок индексатора строка подключения находится в определении источника данных. Пример источника данных может выглядеть следующим образом:

    {
      "name": "my-blob-ds",
      "type": "azureblob",
      "subtype": null,
      "credentials": {
        "connectionString": "DefaultEndpointsProtocol=https;AccountName=<YOUR-STORAGE-ACCOUNT>;AccountKey=..."
      }
   

4. Для рабочих нагрузок индексатора не забудьте задать среду выполнения в определении индексатора. Пример определения индексатора может выглядеть следующим образом:

   "name": "indexer",
   "dataSourceName": "my-blob-ds",
   "targetIndexName": "my-index",
   "parameters": {
      "configuration": {
          "executionEnvironment": "private"
          }
      },
   "fieldMappings": []
   }
   

5. Запустите индексатор. Если выполнение индексатора успешно выполнено, и индекс поиска заполняется, общая приватная ссылка работает.

Когда следует использовать общую приватную ссылку

Поиск ИИ Azure выполняет исходящие вызовы к другим ресурсам Azure в следующих сценариях:

• Подключения базы знаний к Azure OpenAI для агентных рабочих процессов извлечения
• Индексатор или подключение запросов к Azure OpenAI или Azure Vision в инструментах Foundry для векторизации
• Подключения индексатора к поддерживаемым источникам данных
• Подключения индексатора (skillset) к службе хранилища Azure для кэширования обогащений, записи состояния сеанса отладки или записи в хранилище знаний.
• Подключения индексатора (skillset) к средствам Foundry для выставления счетов
• Запросы ключа шифрования в Azure Key Vault
• Запросы пользовательских навыков в функции Azure или подобных ресурсов

Общие ссылки с частным доступом работают только для соединений между сервисами Azure. Если вы подключаетесь к OpenAI или другому внешнему поставщику модели, подключение должно находиться через общедоступный Интернет.

Общие частные ссылки предназначены для операций и данных, к которым обращается частная конечная точка для ресурсов Azure или клиентов, работающих в виртуальной сети Azure.

Общая приватная ссылка:

• Создано с использованием средств поиска Azure AI, API или SDK.
• Утвержден владельцем ресурса Azure
• Используется внутренней службой поиска ИИ Azure для частного подключения к определенному ресурсу Azure.

Только служба поиска может использовать созданные им частные ссылки, и для каждой комбинации ресурсов и подресурсов можно создать только одну общую частную ссылку.

После настройки частной ссылки она автоматически используется каждый раз, когда служба поиска подключается к этому ресурсу. Вам не нужно изменять строку подключения или изменять клиент, который вы используете для выдачи запросов, хотя устройство, используемое для подключения, должно подключаться с помощью авторизованного IP-адреса в брандмауэре ресурса Azure.

Существует два варианта использования Приватный канал Azure и Поиск с использованием ИИ Azure вместе.

• Сценарий один: создайте общую приватную ссылку, когда для исходящего подключения (индексатора или базы знаний) к Azure требуется частное подключение. Этот сценарий рассматривается в этой статье.

• Сценарий два: настройте поиск частного входящего подключения от клиентов, работающих в виртуальной сети.

Хотя оба сценария имеют зависимость от Приватного канала Azure, они независимы. Вы можете создать общую частную ссылку без настройки службы поиска для частной конечной точки.

Ограничения

При оценке общих частных ссылок для вашего сценария помните следующие ограничения:

• Несколько типов ресурсов, используемых в общей приватной ссылке, находятся в предварительной версии. Если вы подключаетесь к ресурсу предварительной версии (База данных Azure для MySQL или Управляемый экземпляр SQL Azure), используйте предварительную версию REST API управления для создания общей приватной ссылки. Рекомендуется последняя предварительная версия API.

• Выполнение индексатора должно использовать частную среду выполнения , относящуюся к службе поиска. Подключения к частной конечной точке не поддерживаются из мультитенантной среды обработки содержимого. Параметр конфигурации для этого требования рассматривается в этой статье.

• Ограничения ресурсов общего приватного канала зависят от ценовой категории.

• При изменении ценовой категории общие ресурсы приватного канала оцениваются по ограничениям целевого уровня. Если общее число приватных ссылок превышает максимальное значение целевого уровня, изменение уровня блокируется. Если изменение уровня выполнено успешно, существующие общие ресурсы приватного канала не создаются повторно и не требуют повторного разрешения. Подключение к частному индексатору продолжает работать после того, как служба поиска возвращается в состояние готовности "Завершено" и статус "Рабочий", при условии, что состояние готовности для общей частной ссылки остается "Завершено", а статус подключения остается "Утверждено".

Устранение неполадок

• Если создание индексатора завершается сбоем с сообщением "Учетные данные источника данных недопустимы", проверьте состояние утверждения общей приватной ссылки перед отладкой подключения. Если состояние равно Approved, проверьте properties.provisioningState свойство. Если это Incomplete, может возникнуть проблема с базовыми зависимостями. В этом случае повторно выведите PUT запрос, чтобы заново создать частную ссылку для общего использования. Возможно, вам также потребуется повторить шаг утверждения.

• Если индексаторы завершаются последовательно или периодически, проверьте executionEnvironment свойство индексатора. Значение должно быть установлено в private. Если это свойство не было задано, и индексатор успешно выполнялся в прошлом, это связано с тем, что служба поиска использовала частную среду по своему усмотрению. Служба поиска перемещает обработку из мультитенантной среды, если система находится под нагрузкой.

• Если при создании общей приватной ссылки возникает ошибка, проверьте ограничения службы , чтобы убедиться, что вы находитесь под квотой для вашего уровня.

Дальнейшие действия

Дополнительные сведения о частных конечных точках и других методах безопасного подключения:

• Устранение неполадок с общими ресурсами приватного канала
• Что такое частные конечные точки?
• Конфигурации DNS, необходимые для частных конечных точек
• Доступ индексатора к содержимому, защищенному функциями безопасности сети Azure