Ansluta till Azure AI Search med hjälp av roller

1. Logga in på Azure-portalen.

2. Gå till söktjänsten.

3. Välj Åtkomstkontroll (IAM) i det vänstra navigeringsfönstret.

4. Välj + Lägg till>Lägg till rolltilldelning.

5. Välj en tillämplig roll:

   • Ägare (fullständig åtkomst till alla dataplans- och kontrollplansåtgärder, förutom frågebehörigheter)
   • Deltagare (samma som Ägare, förutom behörigheter för att tilldela roller)
   • Läsare (godkänd för övervakning och visning av mått)

6. På fliken Medlemmar väljer du Microsoft Entra-användar- eller gruppidentiteten.

7. På fliken Granska + tilldela väljer du Granska + tilldela för att tilldela rollen.

När du använder PowerShell för att tilldela roller anropar du New-AzRoleAssignment, anger Azure-användaren eller gruppnamnet och tilldelningens omfattning.

I det här exemplet skapas en rolltilldelning som är begränsad till en söktjänst:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Reader" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

1. Logga in på Azure-portalen.

2. Gå till söktjänsten.

3. Välj Åtkomstkontroll (IAM) i det vänstra navigeringsfönstret.

4. Välj + Lägg till>Lägg till rolltilldelning.

   

5. Välj en roll:

   • Söktjänstdeltagare (create-read-update-delete-åtgärder för index, indexerare, kompetensuppsättningar och andra objekt på den översta nivån)
   • Sök indexdatadeltagare (läs in dokument och kör indexeringsjobb)
   • Dataläsare för sökindex (fråga efter ett index)

   En annan kombination av roller som ger fullständig åtkomst är Deltagare eller Ägare, plus Dataläsare för sökindex.

6. På fliken Medlemmar väljer du Microsoft Entra-användar- eller gruppidentiteten.

7. På fliken Granska + tilldela väljer du Granska + tilldela för att tilldela rollen.

8. Upprepa för de andra rollerna. De flesta utvecklare behöver alla tre.

När du använder PowerShell för att tilldela roller anropar du New-AzRoleAssignment, anger Azure-användaren eller gruppnamnet och tilldelningens omfattning.

I det här exemplet skapas en rolltilldelning som är begränsad till en söktjänst:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>"

I det här exemplet skapas en rolltilldelning som är begränsad till ett specifikt index:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Search Index Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service>/indexes/<index-name>"

1. Logga in på Azure-portalen.

2. Gå till söktjänsten.

3. Välj Åtkomstkontroll (IAM) i det vänstra navigeringsfönstret.

4. Välj + Lägg till>Lägg till rolltilldelning.

5. Välj rollen Dataläsare för sökindex.

6. På fliken Medlemmar väljer du Microsoft Entra-användar- eller gruppidentiteten. Om du konfigurerar behörigheter för en annan tjänst kanske du använder en system- eller användarhanterad identitet. Välj det alternativet om rolltilldelningen är för en tjänstidentitet.

7. På fliken Granska + tilldela väljer du Granska + tilldela för att tilldela rollen.

När du använder PowerShell för att tilldela roller anropar du New-AzRoleAssignment, anger Azure-användaren eller gruppnamnet och tilldelningens omfattning.

1. Hämta ditt prenumerations-ID, söktjänstresursgrupp och söktjänstnamn.

2. Hämta objektidentifieraren för din Azure-tjänst, till exempel Azure OpenAI.

    Get-AzADServicePrincipal -SearchString <YOUR AZURE OPENAI RESOURCE NAME>
   

3. Hämta rolldefinitionen och granska behörigheterna för att se till att det här är den roll du vill ha.

   Get-AzRoleDefinition -Name "Search Index Data Reader"
   

4. Skapa rolltilldelningen och ersätt giltiga värden för platshållarna.

   New-AzRoleAssignment -ObjectId YOUR-AZURE-OPENAI-OBJECT-ID -RoleDefinitionName "Search Index Data Reader" -Scope /subscriptions/YOUR-SUBSCRIPTION-ID/resourcegroups/YOUR-RESOURCE-GROUP/providers/Microsoft.Search/searchServices/YOUR-SEARCH-SERVICE-NAME
   

5. Här är ett exempel på en rolltilldelning som är begränsad till ett specifikt index:

   New-AzRoleAssignment -ObjectId YOUR-AZURE-OPENAI-OBJECT-ID `
       -RoleDefinitionName "Search Index Data Reader" `
       -Scope /subscriptions/YOUR-SUBSCRIPTION-ID/resourcegroups/YOUR-RESOURCE-GROUP/providers/Microsoft.Search/searchServices/YOUR-SEARCH-SERVICE-NAME/indexes/YOUR-INDEX-NAME
   

1. Logga in på Azure-portalen.

2. Gå till söktjänsten.

3. På sidan Översikt väljer du fliken Index :

   • Search Service-deltagare kan visa och skapa ett objekt, men kan inte läsa in dokument eller köra frågor mot ett index. Om du vill verifiera behörigheter skapar du ett sökindex.

   • Search Index Data Contributors kan läsa in dokument. Det finns inget alternativ för inläsningsdokument i portalen utanför guiden Importera data, men du kan återställa och köra en indexerare för att bekräfta dokumentinläsningsbehörigheter.

   • Search Index Data Readers kan köra frågor mot indexet. Om du vill verifiera behörigheter använder du Sökutforskaren. Du bör kunna skicka frågor och visa resultat, men du bör inte kunna visa indexdefinitionen eller skapa en.

Den här metoden förutsätter Visual Studio Code med ett REST-klienttillägg.

1. Öppna ett kommandogränssnitt för Azure CLI och logga in på din Azure-prenumeration.

   az login
   

2. Hämta ditt klientorganisations-ID och prenumerations-ID. ID:t används som en variabel i ett framtida steg.

   az account show
   

3. Hämta en åtkomsttoken.

   az account get-access-token --query accessToken --output tsv
   

4. Klistra in dessa variabler i en ny textfil i Visual Studio Code.

   @baseUrl = PASTE-YOUR-SEARCH-SERVICE-URL-HERE
   @index-name = PASTE-YOUR-INDEX-NAME-HERE
   @token = PASTE-YOUR-TOKEN-HERE
   

5. Klistra in och skicka sedan en begäran som använder de variabler som du har angett. För rollen "Sök indexdataläsare" kan du skicka en fråga. Du kan använda valfri API-version som stöds.

   POST https://{{baseUrl}}/indexes/{{index-name}}/docs/search?api-version=2024-07-01 HTTP/1.1
     Content-type: application/json
     Authorization: Bearer {{token}}
   
       {
            "queryType": "simple",
            "search": "motel",
            "filter": "",
            "select": "HotelName,Description,Category,Tags",
            "count": true
        }
   

Mer information om hur du hämtar en token för en specifik miljö finns i Hantera en Azure AI-usluga pretrage med REST-API:er och Microsoft platforma za identitete autentiseringsbibliotek.

1. Använd paketet Azure.Search.Documents.

2. Använd Azure.Identity för .NET för tokenautentisering. Microsoft rekommenderar DefaultAzureCredential() för de flesta scenarier.

3. Här är ett exempel på en klientanslutning med .DefaultAzureCredential()

   // Create a SearchIndexClient to send create/delete index commands
   SearchIndexClient adminClient = new SearchIndexClient(serviceEndpoint, new DefaultAzureCredential());
   
   // Create a SearchClient to load and query documents
   SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, new DefaultAzureCredential());
   

4. Här är ett annat exempel på hur du använder autentiseringsuppgifter för klienthemligheter:

   var tokenCredential =  new ClientSecretCredential(aadTenantId, aadClientId, aadSecret);
   SearchClient srchclient = new SearchClient(serviceEndpoint, indexName, tokenCredential);
   

1. Använd azure.search.documents (Azure SDK för Python).

2. Använd Azure.Identity för Python för tokenautentisering.

3. Använd DefaultAzureCredential om Python-klienten är ett program som kör serversidan. Aktivera interaktiv autentisering om appen körs i en webbläsare.

4. Här är ett exempel:

   from azure.search.documents import SearchClient
   from azure.identity import DefaultAzureCredential
   
   credential = DefaultAzureCredential()
   endpoint = "https://<mysearch>.search.windows.net"
   index_name = "myindex"
   client = SearchClient(endpoint=endpoint, index_name=index_name, credential=credential)
   

1. Använd @azure/search-documents (Azure SDK för JavaScript), version 11.3.

2. Använd Azure.Identity för JavaScript för tokenautentisering.

3. Om du använder React använder InteractiveBrowserCredential du för Microsoft Entra-autentisering för att söka. Mer information finns i När du ska använda @azure/identity .

1. Använd azure-search-documents (Azure SDK för Java).

2. Använd Azure.Identity för Java för tokenautentisering.

3. Microsoft rekommenderar DefaultAzureCredential för appar som körs i Azure.

De här stegen härleds från Skapa eller uppdatera anpassade Azure-roller med hjälp av Azure-portalen. Kloning från en befintlig roll stöds på en söktjänstsida.

De här stegen skapar en anpassad roll som utökar sökfrågebehörigheten till att inkludera listindex efter namn. Vanligtvis betraktas listning av index som en administratörsfunktion.

1. Gå till söktjänsten i Azure-portalen.

2. I det vänstra navigeringsfönstret väljer du Åtkomstkontroll (IAM).

3. I åtgärdsfältet väljer du Roller.

4. Högerklicka på Sök indexdataläsare (eller en annan roll) och välj Klona för att öppna guiden Skapa en anpassad roll .

5. På fliken Grundläggande anger du ett namn för den anpassade rollen, till exempel "Sök indexdatautforskaren" och väljer sedan Nästa.

6. På fliken Behörigheter väljer du Lägg till behörighet.

7. På fliken Lägg till behörigheter söker du efter och väljer sedan panelen Microsoft Search .

8. Ange behörigheter för din anpassade roll. Överst på sidan använder du standardalternativet Åtgärder :

   • Under Microsoft.Search/operations (Microsoft.Search/operations) väljer du Läs : Lista alla tillgängliga åtgärder.
   • Under Microsoft.Search/searchServices/index väljer du Läs: Läs index.

9. På samma sida växlar du till Dataåtgärder och under Microsoft.Search/searchServices/index/documents väljer du Läs : Läs dokument.

   JSON-definitionen ser ut som i följande exempel:

   {
    "properties": {
        "roleName": "search index data explorer",
        "description": "",
        "assignableScopes": [
            "/subscriptions/0000000000000000000000000000000/resourceGroups/free-search-svc/providers/Microsoft.Search/searchServices/demo-search-svc"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Search/operations/read",
                    "Microsoft.Search/searchServices/indexes/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Search/searchServices/indexes/documents/read"
                ],
                "notDataActions": []
            }
        ]
      }
    }
   

10. Välj Granska + skapa för att skapa rollen. Nu kan du tilldela användare och grupper till rollen.

PowerShell-exemplet visar JSON-syntaxen för att skapa en anpassad roll som är en klon av Search Index Data Reader, men med möjlighet att lista alla index efter namn.

1. Granska listan över atomiska behörigheter för att avgöra vilka du behöver. I det här exemplet behöver du följande:

   "Microsoft.Search/operations/read",
   "Microsoft.Search/searchServices/read",
   "Microsoft.Search/searchServices/indexes/read"
   

2. Konfigurera en PowerShell-session för att skapa den anpassade rollen. Detaljerade anvisningar finns i Azure PowerShell

3. Ange rolldefinitionen som ett JSON-dokument. I följande exempel visas syntaxen för att skapa en anpassad roll med PowerShell.

{
  "Name": "Search Index Data Explorer",
  "Id": "88888888-8888-8888-8888-888888888888",
  "IsCustom": true,
  "Description": "List all indexes on the service and query them.",
  "Actions": [
      "Microsoft.Search/operations/read",
      "Microsoft.Search/searchServices/read"
  ],
  "NotActions": [],
  "DataActions": [
      "Microsoft.Search/searchServices/indexes/read"
  ],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{subscriptionId1}"
  ]
}

1. Granska listan över atomiska behörigheter för att avgöra vilka du behöver.

2. Mer information finns i Skapa eller uppdatera anpassade Azure-roller med hjälp av REST-API :et.

3. Kopiera eller skapa en roll eller använd JSON för att ange den anpassade rollen (se fliken PowerShell för JSON-syntax).

1. Granska listan över atomiska behörigheter för att avgöra vilka du behöver.

2. Mer information finns i Skapa eller uppdatera anpassade Azure-roller med Azure CLI .

3. Se fliken PowerShell för JSON-syntax.