Подключение к поиску ИИ Azure с помощью ролей

1. Войдите на портал Azure.

2. Назначьте следующие роли:

   • Владелец (полный доступ ко всем операциям плоскости данных и плоскости управления, за исключением разрешений запроса)
   • Участник (тот же, что и владелец, за исключением разрешений на назначение ролей)
   • Читатель (приемлем для мониторинга и просмотра метрик)

При использовании PowerShell для назначения ролей вызовите New-AzRoleAssignment, указав имя пользователя или группы Azure и область назначения.

Назначение роли в этом примере ограничено службой поиска:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Reader" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

1. Войдите на портал Azure.

2. Назначьте следующие роли:

   • Участник службы поиска (операции создания-чтения-обновления-удаления для индексов, индексаторов, наборов навыков и других объектов верхнего уровня)
   • Участник данных индекса поиска (загрузка документов и выполнение заданий индексирования)
   • Средство чтения данных поискового индекса (запрос индекса)

При использовании PowerShell для назначения ролей вызовите New-AzRoleAssignment, указав имя пользователя или группы Azure и область назначения.

Назначение роли в этом примере ограничено службой поиска:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

В этом примере создается назначение ролей, ограниченное определенным индексом:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>/indexes/<index-name>"

1. Войдите на портал Azure.

2. Назначьте роль читателя индексов поиска .

При использовании PowerShell для назначения ролей вызовите New-AzRoleAssignment, указав имя пользователя или группы Azure и область назначения.

1. Получите идентификатор подписки, группу ресурсов службы поиска и имя службы поиска.

2. Получите идентификатор объекта службы Azure, например Azure OpenAI.

    Get-AzADServicePrincipal -SearchString <YOUR AZURE OPENAI RESOURCE NAME>
   

3. Получите определение роли и просмотрите разрешения, чтобы убедиться, что это нужная роль.

   Get-AzRoleDefinition -Name "Search Index Data Reader"
   

4. Создайте назначение роли, заменив допустимые значения заполнителей.

   New-AzRoleAssignment -ObjectId YOUR-AZURE-OPENAI-OBJECT-ID -RoleDefinitionName "Search Index Data Reader" -Scope /subscriptions/YOUR-SUBSCRIPTION-ID/resourcegroups/YOUR-RESOURCE-GROUP/providers/Microsoft.Search/searchServices/YOUR-SEARCH-SERVICE-NAME
   

5. Ниже приведен пример назначения роли, ограниченного определенным индексом:

   New-AzRoleAssignment -ObjectId YOUR-AZURE-OPENAI-OBJECT-ID `
       -RoleDefinitionName "Search Index Data Reader" `
       -Scope /subscriptions/YOUR-SUBSCRIPTION-ID/resourcegroups/YOUR-RESOURCE-GROUP/providers/Microsoft.Search/searchServices/YOUR-SEARCH-SERVICE-NAME/indexes/YOUR-INDEX-NAME
   

1. Войдите на портал Azure.

2. Перейдите к своей службе поиска

3. На странице "Обзор" выберите вкладку "Индексы" :

   • Участники службы поиска могут просматривать и создавать любой объект, но не могут загружать документы или запрашивать индекс. Чтобы проверить разрешения, создайте индекс поиска.

   • Участники индекса поиска могут загружать документы. На портале Azure нет параметра загрузки документов за пределами мастера импорта данных, но вы можете сбросить и запустить индексатор , чтобы подтвердить разрешения на загрузку документов.

   • Средства чтения данных индекса поиска могут запрашивать индекс. Чтобы проверить разрешения, используйте обозреватель поиска. Вы должны иметь возможность отправлять запросы и просматривать результаты, но вы не сможете просмотреть определение индекса или создать его.

Этот подход предполагает, что Visual Studio Code использует расширение клиента REST.

1. Откройте командную оболочку для Azure CLI и войдите в подписку Azure.

   az login
   

2. Получите идентификатор клиента и идентификатор подписки. Идентификатор используется в качестве переменной в следующем шаге.

   az account show
   

3. Получите маркер доступа.

   az account get-access-token --query accessToken --output tsv
   

4. Вставьте эти переменные в новый текстовый файл в Visual Studio Code.

   @baseUrl = PASTE-YOUR-SEARCH-SERVICE-URL-HERE
   @index-name = PASTE-YOUR-INDEX-NAME-HERE
   @token = PASTE-YOUR-TOKEN-HERE
   

5. Вставьте и отправьте запрос, использующий указанные переменные. Для роли "Читатель данных индекса поиска" можно отправить запрос. Вы можете использовать любую поддерживаемую версию API.

   POST https://{{baseUrl}}/indexes/{{index-name}}/docs/search?api-version=2024-07-01 HTTP/1.1
     Content-type: application/json
     Authorization: Bearer {{token}}
   
       {
            "queryType": "simple",
            "search": "motel",
            "filter": "",
            "select": "HotelName,Description,Category,Tags",
            "count": true
        }
   

Дополнительные сведения о том, как получить маркер для конкретной среды, см. в статье "Управление службой поиска ИИ Azure" с помощью REST API и библиотек проверки подлинности платформы удостоверений Майкрософт.

1. Используйте пакет Azure.Search.Documents .

2. Используйте Azure.Identity для .NET для аутентификации токенов. Корпорация Майкрософт рекомендует DefaultAzureCredential() для большинства сценариев.

3. Ниже приведен пример подключения клиента с помощью DefaultAzureCredential().

   // Create a SearchIndexClient to send create/delete index commands
   SearchIndexClient adminClient = new SearchIndexClient(serviceEndpoint, new DefaultAzureCredential());
   
   // Create a SearchClient to load and query documents
   SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, new DefaultAzureCredential());
   

4. Ниже приведен еще один пример использования учетных данных секрета клиента:

   var tokenCredential =  new ClientSecretCredential(aadTenantId, aadClientId, aadSecret);
   SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, tokenCredential);
   

1. Используйте azure.search.documents (Azure SDK для Python).

2. Используйте Azure.Identity для Python для аутентификации токенов.

3. Используйте DefaultAzureCredential , если клиент Python является приложением, которое выполняет серверную сторону. Включите интерактивную проверку подлинности , если приложение работает в браузере.

4. Ниже приведен пример:

   from azure.search.documents import SearchClient
   from azure.identity import DefaultAzureCredential
   
   credential = DefaultAzureCredential()
   endpoint = "https://<mysearch>.search.windows.net"
   index_name = "myindex"
   client = SearchClient(endpoint=endpoint, index_name=index_name, credential=credential)
   

1. Используйте @azure/search-documents (Azure SDK для JavaScript) версии 11.3.

2. Используйте Azure.Identity для JavaScript для аутентификации токенов.

3. Если вы используете React, используйте InteractiveBrowserCredential для аутентификации Microsoft Entra в Search. Дополнительные сведения см. в разделе "Когда следует использовать @azure/identity ".

1. Используйте azure-search-documents (Azure SDK для Java).

2. Используйте Azure.Identity для Java для аутентификации токенов.

3. Корпорация Майкрософт рекомендует использовать DefaultAzureCredential для приложений, работающих в Azure.

Эти действия являются производными от создания или обновления пользовательских ролей Azure с помощью портала Azure. Клонирование из существующей роли поддерживается на странице службы поиска.

В этих шагах создается пользовательская роль, которая расширяет права для запросов поиска, включая индексы по именам. Как правило, перечисление индексов считается функцией администратора.

1. На портале Azure перейдите в службу поиска.

2. В области навигации слева выберите элемент Управления доступом (IAM).

3. На панели действий выберите "Роли".

4. Щелкните правой кнопкой мыши средство чтения данных индекса поиска (или другую роль) и выберите "Клонировать ", чтобы открыть мастер создания настраиваемой роли .

5. На вкладке "Основные сведения" укажите имя настраиваемой роли, например "Обозреватель данных индекса поиска", а затем нажмите кнопку "Далее".

6. На вкладке "Разрешения" нажмите кнопку "Добавить разрешение".

7. На вкладке "Добавление разрешений" найдите и выберите плитку "Поиск Майкрософт ".

8. Установите разрешения для пользовательской роли. В верхней части страницы, используя стандартный выбор действий:

   • В разделе Microsoft.Search/operations выберите "Чтение: вывод списка всех доступных операций".
   • В разделе Microsoft.Search/searchServices/indexes выберите "Чтение: чтение индекса".

9. На той же странице переключитесь на действия данных и в разделе Microsoft.Search/searchServices/indexes/documents выберите "Чтение: чтение документов".

   Определение JSON выглядит следующим образом:

   {
    "properties": {
        "roleName": "search index data explorer",
        "description": "",
        "assignableScopes": [
            "/subscriptions/0000000000000000000000000000000/resourceGroups/free-search-svc/providers/Microsoft.Search/searchServices/demo-search-svc"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Search/operations/read",
                    "Microsoft.Search/searchServices/indexes/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Search/searchServices/indexes/documents/read"
                ],
                "notDataActions": []
            }
        ]
      }
    }
   

10. Выберите "Проверить и создать" , чтобы создать роль. Теперь вы можете назначить пользователей и группы к роли.

В примере PowerShell показан синтаксис JSON для создания настраиваемой роли, которая является клоном средства чтения данных индекса поиска, но с возможностью перечисления всех индексов по имени.

1. Просмотрите список атомарных разрешений , чтобы определить нужные. В этом примере вам потребуется следующее:

   "Microsoft.Search/operations/read",
   "Microsoft.Search/searchServices/read",
   "Microsoft.Search/searchServices/indexes/read"
   

2. Настройте сеанс PowerShell для создания настраиваемой роли. Подробные инструкции см. в статье Azure PowerShell

3. Укажите определение роли в виде документа JSON. В следующем примере показан синтаксис для создания настраиваемой роли с помощью PowerShell.

{
  "Name": "Search Index Data Explorer",
  "Id": "88888888-8888-8888-8888-888888888888",
  "IsCustom": true,
  "Description": "List all indexes on the service and query them.",
  "Actions": [
      "Microsoft.Search/operations/read",
      "Microsoft.Search/searchServices/read"
  ],
  "NotActions": [],
  "DataActions": [
      "Microsoft.Search/searchServices/indexes/read"
  ],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{subscriptionId1}"
  ]
}

1. Просмотрите список атомарных разрешений , чтобы определить нужные.

2. Инструкции см. в статье "Создание или обновление пользовательских ролей Azure с помощью REST API ".

3. Скопируйте или создайте роль или используйте JSON для указания настраиваемой роли (см. вкладку PowerShell для синтаксиса JSON).

1. Просмотрите список атомарных разрешений , чтобы определить нужные.

2. Инструкции см. в статье "Создание или обновление пользовательских ролей Azure с помощью Azure CLI ".

3. См. вкладку PowerShell для синтаксиса JSON.