Řízení přístupu na základě role ve službě Azure AI Studio

V tomto článku se dozvíte, jak spravovat přístup (autorizace) k centru Azure AI Studio. Řízení přístupu na základě role Azure (Azure RBAC) se používá ke správě přístupu k prostředkům Azure, jako je schopnost vytvářet nové prostředky nebo používat existující. Uživatelům ve vašem Microsoft Entra ID jsou přiřazeny konkrétní role, které udělují přístup k prostředkům. Azure poskytuje předdefinované role i možnost vytvářet vlastní role.

Centrum AI Studio vs. projekt

V Azure AI Studiu existují dvě úrovně přístupu: centrum a projekt. Centrum je domovem infrastruktury (včetně nastavení virtuální sítě, klíčů spravovaných zákazníkem, spravovaných identit a zásad) a místa, kde konfigurujete služby Azure AI. Přístup k centru vám umožní upravovat infrastrukturu, vytvářet nová centra a vytvářet projekty. Projekty jsou podmnožinou centra, které funguje jako pracovní prostory, které umožňují sestavovat a nasazovat systémy AI. V rámci projektu můžete vyvíjet toky, nasazovat modely a spravovat prostředky projektu. Project Access umožňuje vyvíjet komplexní AI a současně využívat výhod nastavení infrastruktury v centru.

Jednou z klíčových výhod vztahu centra a projektu je to, že vývojáři můžou vytvářet vlastní projekty, které dědí nastavení zabezpečení centra. Můžete mít také vývojáře, kteří jsou přispěvateli projektu a nemůžou vytvářet nové projekty.

Výchozí role pro centrum

Centrum AI Studio má ve výchozím nastavení předdefinované role, které jsou k dispozici.

Tady je tabulka předdefinovaných rolí a jejich oprávnění pro centrum:

Klíčovým rozdílem mezi přispěvatelem a vývojářem Azure AI je možnost vytvářet nová centra. Pokud nechcete, aby uživatelé vytvořili nová centra (kvůli kvótě, nákladům nebo správě toho, kolik center máte), přiřaďte roli Azure AI Developer.

Pouze role Vlastník a Přispěvatel umožňují vytvořit centrum. V tuto chvíli vám vlastní role nemůžou udělit oprávnění k vytváření center.

Role vývojáře Azure AI

Úplná sada oprávnění pro novou roli Azure AI Developer je následující:

{
    "Permissions": [ 
        { 
        "Actions": [
            "Microsoft.MachineLearningServices/workspaces/*/read",
            "Microsoft.MachineLearningServices/workspaces/*/action",
            "Microsoft.MachineLearningServices/workspaces/*/delete",
            "Microsoft.MachineLearningServices/workspaces/*/write",
            "Microsoft.MachineLearningServices/locations/*/read",
            "Microsoft.Authorization/*/read",
            "Microsoft.Resources/deployments/*"
        ],
    
        "NotActions": [
            "Microsoft.MachineLearningServices/workspaces/delete",
            "Microsoft.MachineLearningServices/workspaces/write",
            "Microsoft.MachineLearningServices/workspaces/listKeys/action",
            "Microsoft.MachineLearningServices/workspaces/hubs/write",
            "Microsoft.MachineLearningServices/workspaces/hubs/delete",
            "Microsoft.MachineLearningServices/workspaces/featurestores/write",
            "Microsoft.MachineLearningServices/workspaces/featurestores/delete"
        ], 
        "DataActions": [ 
            "Microsoft.CognitiveServices/accounts/OpenAI/*", 
            "Microsoft.CognitiveServices/accounts/SpeechServices/*", 
            "Microsoft.CognitiveServices/accounts/ContentSafety/*" 
        ], 
        "NotDataActions": [], 
        "Condition": null, 
        "ConditionVersion": null 
        } 
    ] 
}

Pokud předdefinovaná role vývojáře Azure AI nevyhovuje vašim potřebám, můžete vytvořit vlastní roli.

Výchozí role pro projekty

Projekty v AI Studiu mají ve výchozím nastavení předdefinované role, které jsou k dispozici.

Tady je tabulka předdefinovaných rolí a jejich oprávnění pro projekt:

Když je uživateli udělen přístup k projektu (například prostřednictvím správy oprávnění AI Studio), přiřadí se uživateli automaticky dvě další role. První role je čtenář v centru. Druhou rolí je role Operátor odvození nasazení, která uživateli umožňuje vytvářet nasazení ve skupině prostředků, ve které je projekt. Tato role se skládá z těchto dvou oprávnění: "Microsoft.Authorization/*/read" a "Microsoft.Resources/deployments/*".

Aby bylo možné dokončit kompletní vývoj a nasazení umělé inteligence, uživatelé potřebují jenom tyto dvě automaticky přiřazené role a roli Přispěvatel nebo Vývojář Azure AI v projektu.

Minimální oprávnění potřebná k vytvoření projektu jsou role, která má povolenou akci Microsoft.MachineLearningServices/workspaces/hubs/join v centru. Tato oprávnění má předdefinovaná role Azure AI Developer.

Oprávnění Azure RBAC služby Závislost

Centrum má závislosti na jiných službách Azure. Následující tabulka uvádí oprávnění požadovaná pro tyto služby při vytváření centra. Osoba, která vytváří centrum, potřebuje tato oprávnění. Osoba, která vytvoří projekt z centra, ho nepotřebuje.

Ukázková podniková instalace RBAC

Následující tabulka je příkladem nastavení řízení přístupu na základě role pro azure AI Studio pro podniky.

Přístup k prostředkům vytvořeným mimo centrum

Při vytváření centra vám předdefinovaná oprávnění řízení přístupu na základě role udělí přístup k použití prostředku. Pokud ale chcete použít prostředky mimo to, co se vytvořilo vaším jménem, musíte zajistit obojí:

• Prostředek, který se pokoušíte použít, má nastavená oprávnění, která vám umožní přístup k prostředku.
• Vaše centrum má povolený přístup.

Pokud se například pokoušíte využívat nové úložiště objektů blob, musíte zajistit, aby se spravovaná identita centra přidala do role Čtenář služby Blob Storage pro objekt blob. Pokud se pokoušíte použít nový zdroj služby Azure AI Search, možná budete muset centrum přidat do přiřazení rolí služby Azure AI Search.

Správa přístupu pomocí rolí

Pokud jste vlastníkem centra, můžete přidat a odebrat role pro AI Studio. Přejděte na domovskou stránku v AI Studiu a vyberte centrum. Pak vyberte Uživatelé a přidejte a odeberte uživatele pro centrum. Oprávnění můžete spravovat také na webu Azure Portal v části Řízení přístupu (IAM) nebo prostřednictvím Azure CLI. Například pomocí Azure CLI přiřaďte roli Vývojáře Azure AI projoe@contoso.com skupinu prostředků this-rg pomocí následujícího příkazu:

az role assignment create --role "Azure AI Developer" --assignee "joe@contoso.com" --resource-group this-rg 

Vytváření vlastních rolí

Pokud si s předdefinovanými rolemi nevystačíte, můžete vytvářet role vlastní. Vlastní role můžou mít oprávnění ke čtení, zápisu, odstranění a výpočetnímu prostředku v sadě AI Studio. Roli můžete zpřístupnit na úrovni konkrétního projektu, na konkrétní úrovni skupiny prostředků nebo na konkrétní úrovni předplatného.

Následující příklad JSON definuje vlastní roli vývojáře AI Studio na úrovni předplatného:

{
    "properties": {
        "roleName": "AI Studio Developer",
        "description": "Custom role for AI Studio. At subscription level",
        "assignableScopes": [
            "/subscriptions/<your-subscription-id>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.MachineLearningServices/workspaces/write",
                    "Microsoft.MachineLearningServices/workspaces/endpoints/write",
                    "Microsoft.Storage/storageAccounts/write",
                    "Microsoft.Resources/deployments/validate/action",
                    "Microsoft.KeyVault/vaults/write",
                    "Microsoft.Authorization/roleAssignments/read",
                    "Microsoft.Authorization/roleDefinitions/read",
                    "Microsoft.CognitiveServices/*/read"
                ],
                "notActions": [
                    "Microsoft.MachineLearningServices/workspaces/delete",
                    "Microsoft.MachineLearningServices/workspaces/write",
                    "Microsoft.MachineLearningServices/workspaces/listKeys/action",
                    "Microsoft.MachineLearningServices/workspaces/hubs/write",
                    "Microsoft.MachineLearningServices/workspaces/hubs/delete",
                    "Microsoft.MachineLearningServices/workspaces/featurestores/write",
                    "Microsoft.MachineLearningServices/workspaces/featurestores/delete"
                ],
                "dataActions": [
                    "Microsoft.CognitiveServices/accounts/OpenAI/*/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/engines/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/engines/search/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/engines/generate/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/search/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/chat/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/extensions/chat/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/embeddings/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/images/generations/action"
                ],
                "notDataActions": []
            }
        ]
    }
}

Postup vytvoření vlastní role najdete v jednom z následujících článků:

• Azure Portal
• Azure CLI
• Azure PowerShell

Další informace o vytváření vlastních rolí obecně najdete v článku o vlastních rolích Azure.

Přiřazení rolí v AI Studiu

Uživatele a role můžete přiřadit přímo z Azure AI Studia na úrovni centra nebo projektu. Na stránce přehledu centra nebo projektu vyberte Možnost Nový uživatel a přidejte uživatele.

Zobrazí se výzva k zadání informací o uživateli a výběru předdefinované role.

Scénář: Použití klíče spravovaného zákazníkem

Při konfiguraci centra pro použití klíče spravovaného zákazníkem (CMK) se k uložení klíče použije služba Azure Key Vault. Uživatel nebo instanční objekt použitý k vytvoření pracovního prostoru musí mít přístup vlastníka nebo přispěvatele k trezoru klíčů.

Pokud je vaše centrum AI Studio nakonfigurované se spravovanou identitou přiřazenou uživatelem, musí být identitě udělena následující role. Tyto role umožňují spravované identitě vytvářet prostředky Azure Storage, Azure Cosmos DB a Azure Search používané při použití klíče spravovaného zákazníkem:

• Microsoft.Storage/storageAccounts/write
• Microsoft.Search/searchServices/write
• Microsoft.DocumentDB/databaseAccounts/write

V rámci trezoru klíčů musí mít uživatel nebo instanční objekt přístup k němu prostřednictvím zásad přístupu trezoru klíčů k vytvoření, získání, odstranění a vyprázdnění. Další informace najdete v tématu Zabezpečení služby Azure Key Vault.

Scénář: Připojení pomocí ověřování Microsoft Entra ID

Když vytvoříte připojení, které používá ověřování Microsoft Entra ID, musíte přiřadit role vývojářům, aby měli k prostředku přístup.

Když v chatovacím hřišti používáte ověřená připojení Microsoft Entra ID, musí se služby vzájemně autorizovat pro přístup k požadovaným prostředkům. Správce provádějící konfiguraci musí mít u těchto prostředků roli Vlastník , aby mohl přidat přiřazení rolí. Následující tabulka uvádí požadovaná přiřazení rolí pro každý zdroj. Sloupec Assignee odkazuje na spravovanou identitu přiřazenou systémem uvedeného prostředku. Sloupec Prostředek odkazuje na prostředek, ke kterému má přiřazený uživatel přístup. Azure OpenAI má například spravovanou identitu přiřazenou systémem, která musí být přiřazena roli Čtenář dat indexu vyhledávání pro prostředek Azure AI Search.

Scénář: Použití existujícího prostředku Azure OpenAI

Když vytvoříte připojení k existujícímu prostředku Azure OpenAI, musíte také přiřadit role uživatelům, aby měli k prostředku přístup. V závislosti na úlohách, které potřebují provést, byste měli přiřadit roli přispěvatele OpenAI služeb Cognitive Services nebo Přispěvatel OpenAI služeb Cognitive Services. Informace o těchto rolích a úlohách, které povolí, najdete v tématu Role Azure OpenAI.

Scénář: Použití služby Azure Container Registry

Instance služby Azure Container Registry je volitelná závislost pro centrum Azure AI Studio. Následující tabulka uvádí matici podpory při ověřování centra ve službě Azure Container Registry v závislosti na metodě ověřování a konfiguraci přístupu k veřejné síti ve službě Azure Container Registry.

Spravovaná identita přiřazená systémem se při vytváření centra automaticky přiřadí správným rolím. Pokud používáte spravovanou identitu přiřazenou uživatelem, musíte k identitě přiřadit roli ACRPull .

Scénář: Použití Aplikace Azure lication Insights k protokolování

Aplikace Azure lication Insights je volitelná závislost pro centrum Azure AI Studio. Následující tabulka uvádí požadovaná oprávnění, pokud chcete při vytváření centra použít Application Insights. Osoba, která vytváří centrum, potřebuje tato oprávnění. Osoba, která vytvoří projekt z centra, tato oprávnění nepotřebuje.

Scénář: Nákup jednotek zřízené propustnosti

Následující příklad definuje vlastní roli, která může získat zřízené jednotky propustnosti (PTU).

{
    "properties": {
        "roleName": "PTU procurer",
        "description": "Custom role to purchase PTU",
        "assignableScopes": [
            "/subscriptions/<your-subscription-id>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.CognitiveServices/accounts/commitmentplans/read",
                    "Microsoft.CognitiveServices/accounts/commitmentplans/write",
                    "Microsoft.CognitiveServices/accounts/commitmentplans/delete",
                    "Microsoft.CognitiveServices/locations/commitmentTiers/read",
                    "Microsoft.CognitiveServices/accounts/commitmentplans/read",
                    "Microsoft.CognitiveServices/accounts/commitmentplans/write",
                    "Microsoft.CognitiveServices/accounts/commitmentplans/delete",
                    "Microsoft.Features/features/read",
                    "Microsoft.Features/providers/features/read",
                    "Microsoft.Features/providers/features/register/action",
                    "Microsoft.Insights/logDefinitions/read",
                    "Microsoft.Insights/metricdefinitions/read",
                    "Microsoft.Insights/metrics/read",
                    "Microsoft.ResourceHealth/availabilityStatuses/read",
                    "Microsoft.Resources/deployments/operations/read",
                    "Microsoft.Resources/subscriptions/operationresults/read",
                    "Microsoft.Resources/subscriptions/read",
                    "Microsoft.Resources/subscriptions/resourcegroups/deployments/*",
                    "Microsoft.Resources/subscriptions/resourceGroups/read"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ]
    }
}

Scénář: Rozhraní API asistentů Azure OpenAI

Následující příklad definuje roli pro vývojáře pomocí pomocníků Azure OpenAI.

{
    "id": "",
    "properties": {
        "roleName": "Azure OpenAI Assistants API Developer",
        "description": "Custom role to work with Azure OpenAI Assistants API",
        "assignableScopes": [
            "<your-scope>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.CognitiveServices/*/read",
                    "Microsoft.Authorization/roleAssignments/read",
                    "Microsoft.Authorization/roleDefinitions/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.CognitiveServices/accounts/OpenAI/*/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/engines/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/engines/search/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/engines/generate/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/search/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/chat/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/extensions/chat/completions/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/deployments/embeddings/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/images/generations/action",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/write",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/delete",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/files/write",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/files/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/files/delete",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/write",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/delete",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/messages/write",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/messages/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/messages/files/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/runs/write",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/runs/read",
                    "Microsoft.CognitiveServices/accounts/OpenAI/assistants/threads/runs/steps/read"
                ],
                "notDataActions": []
            }
        ]
    }
}

Řešení problému

Chyba: Objekt zabezpečení nemá přístup k rozhraní API nebo operaci

Příznaky

Když používáte chatovací hřiště Azure AI Studio, zobrazí se chybová zpráva Instanční objekt nemá přístup k rozhraní API nebo operaci. Chyba může také obsahovat "Apim-request-id".

Příčina

Uživatel nebo instanční objekt použitý k ověřování požadavků na Azure OpenAI nebo Azure AI Search nemá požadovaná oprávnění pro přístup k prostředku.

Řešení

Přiřaďte uživateli nebo instančnímu objektu následující role. Role, kterou přiřadíte, závisí na službách, které používáte, a na úrovni přístupu uživatele nebo instančního objektu vyžaduje:

Další kroky

• Vytvoření centra Azure AI Studio
• Vytvoření projektu Azure AI Studio
• Jak vytvořit připojení v Azure AI Studiu