Подключение к Поиск с использованием ИИ Azure с помощью ролей

1. Перейдите в службу поиска на портале Azure.

2. В левой области выберите Access control (IAM).

3. Выберите + Добавить>Добавить назначение роли.

   

4. Выберите роль: владелец, участник или читатель.

5. На вкладке Members выберите идентификатор пользователя или группы Microsoft Entra. Если вы настраиваете разрешения для другой службы Azure, выберите управляемое удостоверение, назначаемое системой или назначаемое пользователем.

6. На вкладке Проверка и назначение выберите пункт Проверка и назначение, чтобы назначить роль.

При назначения ролей с помощью PowerShell вызовите New-AzRoleAssignment, указав имя пользователя или группы Azure и область назначения.

Назначение роли в этом примере ограничено службой поиска:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Reader" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

Справочник:New-AzRoleAssignment

1. Перейдите в службу поиска на портале Azure.

2. В левой области выберите Access control (IAM).

3. Выберите + Добавить>Добавить назначение роли.

   

4. Выберите соавтора службы поиска.

5. На вкладке Members выберите идентификатор пользователя или группы Microsoft Entra. Если вы настраиваете разрешения для другой службы Azure, выберите управляемое удостоверение, назначаемое системой или назначаемое пользователем.

6. На вкладке Проверка и назначение выберите пункт Проверка и назначение, чтобы назначить роль.

7. Повторите эти действия, чтобы назначить участника индексов поиска и средства чтения данных индексов поиска.

При назначения ролей с помощью PowerShell вызовите New-AzRoleAssignment, указав имя пользователя или группы Azure и область назначения.

Назначение роли в этом примере ограничено службой поиска:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

В этом примере создается назначение ролей, ограниченное определенным индексом:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>/indexes/<index-name>"

Справочник:New-AzRoleAssignment

1. Перейдите в службу поиска на портале Azure.

2. В левой области выберите Access control (IAM).

3. Выберите + Добавить>Добавить назначение роли.

   

4. Выберите роль читателя индексов поиска .

5. На вкладке Members выберите идентификатор пользователя или группы Microsoft Entra. Если вы настраиваете разрешения для другой службы Azure, выберите управляемое удостоверение, назначаемое системой или назначаемое пользователем.

6. На вкладке Проверка и назначение выберите пункт Проверка и назначение, чтобы назначить роль.

При назначения ролей с помощью PowerShell вызовите New-AzRoleAssignment, указав имя пользователя или группы Azure и область назначения.

1. Получите идентификатор подписки, группу ресурсов службы поиска и имя службы поиска.

2. Получите идентификатор объекта службы Azure, например Azure OpenAI.

    Get-AzADServicePrincipal -SearchString <your-azure-openai-resource-name>
   

   Выходные Id данные включают свойство, содержащее идентификатор объекта, необходимый для назначения роли.

3. Получите определение роли и просмотрите разрешения, чтобы убедиться, что это нужная роль.

   Get-AzRoleDefinition -Name "Search Index Data Reader"
   

4. Создайте назначение роли, заменив допустимые значения заполнителей.

   New-AzRoleAssignment -ObjectId <your-azure-openai-object-id> -RoleDefinitionName "Search Index Data Reader" -Scope /subscriptions/<your-subscription-id>/resourcegroups/<your-resource-group>/providers/Microsoft.Search/searchServices/<your-search-service-name>
   

   Успешное назначение возвращает сведения о назначении роли, включая RoleAssignmentId.

5. Ниже приведен пример назначения роли, ограниченного определенным индексом:

   New-AzRoleAssignment -ObjectId <your-azure-openai-object-id> `
       -RoleDefinitionName "Search Index Data Reader" `
       -Scope /subscriptions/<your-subscription-id>/resourcegroups/<your-resource-group>/providers/Microsoft.Search/searchServices/<your-search-service-name>/indexes/<your-index-name>
   

   Справочник:New-AzRoleAssignment

1. Перейдите в службу поиска на портале Azure.

2. На левой панели выберите Управление поиском>Индексы, чтобы протестировать разрешения, связанные с индексами.

   • Участники службы поиска могут создавать, изменять и удалять объекты поиска, но не могут загружать документы или выполнять запросы. Чтобы проверить разрешения, создайте индекс поиска.

   • Участники индекса поиска могут загружать документы. Нет возможности загрузить документы на портале Azure за пределами мастера Import data, но вы можете сбросить и запустить индексатор для подтверждения разрешений на загрузку документов.

   • Читатели данных поискового индекса могут выполнять запросы к индексам. Чтобы проверить разрешения, используйте обозреватель поиска. Вы должны иметь возможность отправлять запросы и просматривать результаты, но вы не сможете просматривать определения индексов или создавать индексы.

Этот подход предполагает Visual Studio Code с расширением клиента REST.

1. Откройте командную оболочку для Azure CLI и войдите в подписку Azure.

   az login
   

2. Получите идентификатор клиента и идентификатор подписки. Используйте идентификатор в качестве переменной в следующем шаге.

   az account show
   

3. Получите токен доступа для плоскости управления данными Поиск с использованием ИИ Azure.

   az account get-access-token --scope https://search.azure.com/.default --query accessToken --output tsv
   

4. Вставьте эти переменные в новый текстовый файл в Visual Studio Code.

   @baseUrl = PASTE-YOUR-SEARCH-SERVICE-URL-HERE
   @index-name = PASTE-YOUR-INDEX-NAME-HERE
   @token = PASTE-YOUR-TOKEN-HERE
   

5. Отправьте запрос, использующий указанные переменные. Для роли читателя индексов поиска можно отправить запрос с помощью любой поддерживаемой версии API.

   POST https://{{baseUrl}}/indexes/{{index-name}}/docs/search?api-version=2025-09-01 HTTP/1.1
     Content-type: application/json
     Authorization: Bearer {{token}}
   
       {
            "queryType": "simple",
            "search": "motel",
            "filter": "",
            "select": "HotelName,Description,Category,Tags",
            "count": true
        }
   

   Справочник:Поиск документов

   Успешный запрос возвращает результаты поиска с соответствующими документами. Если индекс пуст или не совпадает, value содержит пустой массив.

   Подсказка

   Дополнительные сведения о том, как получить токен для конкретной среды, см. в статьях Управление службой Поиск с использованием ИИ Azure с интерфейсами REST API и библиотеки аутентификации платформы Microsoft Identity.

1. Установите необходимые пакеты:

   dotnet add package Azure.Search.Documents
   dotnet add package Azure.Identity
   

2. Используйте Azure.Identity для .NET для проверки подлинности маркера. Microsoft рекомендует DefaultAzureCredential() для большинства сценариев.

3. Ниже приведен пример подключения клиента с помощью DefaultAzureCredential():

   // Create a SearchIndexClient to send create/delete index commands
   // Requires Search Service Contributor role
   SearchIndexClient adminClient = new SearchIndexClient(serviceEndpoint, new DefaultAzureCredential());
   
   // Create a SearchClient to load and query documents
   // Requires Search Index Data Contributor (load) or Search Index Data Reader (query)
   SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, new DefaultAzureCredential());
   

   Reference:SearchClient, SearchIndexClient, DefaultAzureCredential

4. Ниже приведен еще один пример использования учетных данных секрета клиента:

   var tokenCredential =  new ClientSecretCredential(aadTenantId, aadClientId, aadSecret);
   SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, tokenCredential);
   

5. Ниже приведен пример выполнения запроса:

   SearchResults<SearchDocument> response = srchclient.Search<SearchDocument>("motel");
   foreach (SearchResult<SearchDocument> result in response.GetResults())
   {
       Console.WriteLine(result.Document["HotelName"]);
   }
   

   Успешный запрос возвращает результаты поиска. Если документы не соответствуют, коллекция результатов пуста.

1. Установите необходимые пакеты:

   pip install azure-search-documents azure-identity
   

2. Используйте Azure.Identity для Python для аутентификации токенов.

3. Используйте DefaultAzureCredential, если клиент Python является приложением, выполняющим серверную сторону. Включите интерактивную проверку подлинности , если приложение работает в браузере.

4. Ниже приведен пример:

   from azure.search.documents import SearchClient
   from azure.identity import DefaultAzureCredential
   
   credential = DefaultAzureCredential()
   endpoint = "https://<mysearch>.search.windows.net"
   index_name = "myindex"
   client = SearchClient(endpoint=endpoint, index_name=index_name, credential=credential)
   

   Reference:SearchClient, DefaultAzureCredential

1. Установите необходимые пакеты:

   npm install @azure/search-documents @azure/identity
   

2. Используйте Azure.Identity для JavaScript для токен аутентификации.

3. Если вы используете React, используйте InteractiveBrowserCredential для проверки подлинности Microsoft Entra для Поиск с использованием ИИ Azure. Дополнительные сведения см. в разделе "Когда следует использовать @azure/identity".

   Reference:SearchClient, DefaultAzureCredential

1. Добавьте необходимые зависимости в вашу pom.xml:

   <dependency>
     <groupId>com.azure</groupId>
     <artifactId>azure-search-documents</artifactId>
     <version>11.7.4</version>
   </dependency>
   <dependency>
     <groupId>com.azure</groupId>
     <artifactId>azure-identity</artifactId>
     <version>1.15.0</version>
   </dependency>
   

2. Используйте Azure.Identity для Java для аутентификации токена.

3. Используйте DefaultAzureCredential для приложений, работающих на Azure.

1. Войдите на портал Azure и перейдите в службу поиска.

2. В левой области выберите Access control (IAM).

3. На вкладке «Роли» найдите роль «Search Index Data Reader» или другую роль, выберите многоточие (...), затем выберите «Клонировать».

4. На вкладке Basics введите имя настраиваемой роли, например "Индекс поиска Исследователь данных", а затем выберите Далее.

5. На вкладке "Разрешения" выберите "Добавить разрешения".

6. В области разрешений Add выберите плитку Поиск (Майкрософт).

7. При выборе действий в верхней части задайте следующие разрешения:

   • В разделе Microsoft.Search/operations выберите Read: перечисление всех доступных операций.
   • В разделе Microsoft.Search/searchServices/indexes выберите Read : Read Index.

8. Перейдите на Data Actions вверху и в разделе Microsoft.Search/searchServices/indexes/documents выберите Read: Read Documents.

   Определение JSON выглядит следующим образом:

   {
    "properties": {
        "roleName": "search index data explorer",
        "description": "",
        "assignableScopes": [
            "/subscriptions/0000000000000000000000000000000/resourceGroups/free-search-svc/providers/Microsoft.Search/searchServices/demo-search-svc"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Search/operations/read",
                    "Microsoft.Search/searchServices/indexes/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Search/searchServices/indexes/documents/read"
                ],
                "notDataActions": []
            }
        ]
      }
    }
   

9. Нажмите кнопку "Добавить ", чтобы закрыть область.

10. Выберите "Проверить и создать" , чтобы создать роль.

    Теперь вы можете назначить пользователей и группы к роли. Дополнительные сведения об этих шагах см. в статье Создание и обновление пользовательских ролей в Azure с помощью портала.

В примере PowerShell показан синтаксис JSON для создания пользовательской роли, которая является клоном средства чтения данных индекса поиска, но с возможностью перечисления всех индексов по имени.

1. Просмотрите список атомарных разрешений , чтобы определить нужные. В этом примере вам потребуются следующие разрешения:

   "Microsoft.Search/operations/read",
   "Microsoft.Search/searchServices/read",
   "Microsoft.Search/searchServices/indexes/read"
   

2. Настройте сеанс PowerShell для создания настраиваемой роли. Подробные инструкции см. в разделе Azure PowerShell.

3. Укажите определение роли в виде документа JSON. В следующем примере показан синтаксис для создания настраиваемой роли с помощью PowerShell.

   {
     "Name": "Search Index Data Explorer",
     "Id": "88888888-8888-8888-8888-888888888888",
     "IsCustom": true,
     "Description": "List all indexes on the service and query them.",
     "Actions": [
         "Microsoft.Search/operations/read",
         "Microsoft.Search/searchServices/read"
     ],
     "NotActions": [],
     "DataActions": [
         "Microsoft.Search/searchServices/indexes/read"
     ],
     "NotDataActions": [],
     "AssignableScopes": [
       "/subscriptions/{subscriptionId1}"
     ]
   }
   

   Замечание

   Если назначить область на уровне индекса, используйте операцию с данными "Microsoft.Search/searchServices/indexes/documents/read".

1. Просмотрите список атомарных разрешений , чтобы определить нужные.

2. Инструкции см. в статье Создавать или обновлять пользовательские роли Azure с помощью REST API.

3. Скопируйте или создайте роль или используйте JSON для указания настраиваемой роли (см. вкладку PowerShell для синтаксиса JSON).

1. Просмотрите список атомарных разрешений , чтобы определить нужные.

2. См. раздел Создание или обновление пользовательских ролей Azure с помощью Azure CLI для получения инструкций.

3. См. вкладку PowerShell для синтаксиса JSON.