Rollbaserad åtkomstkontroll för Azure AI Foundry

I den här artikeln får du lära dig hur du hanterar åtkomsten till dina Azure AI Foundry-resurser . Använd rollbaserad åtkomstkontroll i Azure (Azure RBAC) för att hantera åtkomst till Azure-resurser, som att skapa nya resurser eller använda befintliga. I Microsoft Entra-ID tilldelar du användarroller som ger åtkomst till resurser. Azure tillhandahåller inbyggda roller och låter dig skapa anpassade roller.

Om den inbyggda Rollen Azure AI Developer inte uppfyller dina behov kan du skapa en anpassad roll.

Azure AI Foundry-projektroller

I Azure AI Foundry-portalen finns det två åtkomstnivåer:

• Konto: Kontot är hem för infrastrukturen (inklusive konfiguration av virtuellt nätverk, kundhanterade nycklar, hanterade identiteter och principer) för din Azure AI Foundry-resurs. Azure AI Foundry-resursen har inbyggda roller som är tillgängliga som standard för både kontot och projektet. Här är en tabell med de inbyggda rollerna och deras behörigheter.

De viktigaste skillnaderna mellan Azure AI Project Manager och Azure AI-kontoägare är förmågan att:

• Skapa nya Azure AI Foundry-kontoresurser. Det är bara Azure AI-kontoägaren som kan göra detta. Den andra skillnaden visas i rolldefinitionerna: dataåtgärden Microsoft.CognitiveServices/*. Med den här dataåtgärden kan användaren utföra alla åtgärder för att läsa, skriva eller ta bort data i ett projekt. Azure AI-projektledaren kan utföra den här åtgärden, men Azure AI-kontoägaren kan inte göra det. Endast Azure AI-användare och Azure AI Project Manager får dataåtgärder för ett AI-projekt. Tänk på Azure AI Project Manager som en upphöjd Azure AI-användare.

Utöver dessa inbyggda rolltilldelningar finns det Azure-privilegierade administratörsroller som Ägare, Deltagare och Läsare. De här rollerna är inte specifika för Azure AI Foundry-resursbehörigheter, så använd de tidigare beskrivna inbyggda rollerna för åtkomst med minst behörighet.

Använd följande tabell för att se behörigheterna för varje inbyggd roll, inklusive azure-privilegierade administratörsroller:

Standardroller för projektet

Azure AI-användare

Här är behörigheterna för Azure AI-användarrollen :

{
    "id": "/providers/Microsoft.Authorization/roleDefinitions/53ca6127-db72-4b80-b1b0-d745d6d5456d",
    "properties": {
        "roleName": "Azure AI User",
        "description": "Grants reader access to AI projects, reader access to AI accounts, and data actions for an AI project.",
        "assignableScopes": ["/"],
        "permissions": [
            {
                "actions": [
                    "Microsoft.CognitiveServices/*/read",
                    "Microsoft.CognitiveServices/accounts/listkeys/action",
                    "Microsoft.Insights/alertRules/read",
                    "Microsoft.Insights/diagnosticSettings/read",
                    "Microsoft.Insights/logDefinitions/read",
                    "Microsoft.Insights/metricdefinitions/read",
                    "Microsoft.Insights/metrics/read",
                    "Microsoft.ResourceHealth/availabilityStatuses/read",
                    "Microsoft.Resources/deployments/*",
                    "Microsoft.Resources/subscriptions/operationresults/read",
                    "Microsoft.Resources/subscriptions/read",
                    "Microsoft.Resources/subscriptions/resourceGroups/read",
                    "Microsoft.Support/*"
                ],
                "notActions": [],
                "dataActions": ["Microsoft.CognitiveServices/*"],
                "notDataActions": []
            }
        ]
    }
}

Projektledare för Azure AI

Rollen Azure AI-kontoägare använder villkorlig Azure-rolltilldelningsdelegering. Med villkorsstyrd delegering kan rollen endast tilldela Rollen Azure AI-användare till användarens huvudnamn i resursgruppen. Med villkorsstyrd delegering kan administratören delegera rolltilldelningar så att team kan börja skapa AI Foundry-projekt. Mer information finns i Delegera hantering av Azure-rolltilldelning till andra med villkor.

Här är behörigheterna för Azure AI Project Manager-rollen :

{
    "id": "/providers/Microsoft.Authorization/roleDefinitions/eadc314b-1a2d-4efa-be10-5d325db5065e",
    "properties": {
        "roleName": "Azure AI Project Manager",
        "description": "Lets you perform developer actions and management actions on Azure AI Foundry Projects. Allows for making role assignments, but limited to Cognitive Service User role.",
        "assignableScopes": [
            "/"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Authorization/roleAssignments/write",
                    "Microsoft.Authorization/roleAssignments/delete",
                    "Microsoft.CognitiveServices/accounts/*/read",
                    "Microsoft.CognitiveServices/accounts/projects/*",
                    "Microsoft.CognitiveServices/locations/*/read",
                    "Microsoft.Authorization/*/read",
                    "Microsoft.Insights/alertRules/*",
                    "Microsoft.Resources/deployments/*",
                    "Microsoft.Resources/subscriptions/resourceGroups/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.CognitiveServices/*"
                ],
                "notDataActions": [],
                "conditionVersion": "2.0",
                "condition": "((!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{53ca6127-db72-4b80-b1b0-d745d6d5456d})) AND ((!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{53ca6127-db72-4b80-b1b0-d745d6d5456d}))"
            }
        ]
    }
}

Azure AI-kontoägare

Rollen som Azure AI-kontoägare använder delegationshantering av rolltilldelning i Azure till andra under vissa villkor. På grund av den villkorliga delegeringen kan rollen Azure AI Account Owner endast tilldela rollen Azure AI-användare till andra användarprincipaler i resursgruppen. Med villkorsstyrd delegering kan företagsadministratören delegera rolltilldelningar för att komma igång med att skapa och utveckla med AI Foundry-projekt. Mer information om rolltilldelningar med villkor finns i Delegera Hantering av Azure-rolltilldelning till andra med villkor.

Den fullständiga uppsättningen behörigheter för den nya rollen som Azure AI-kontoägare är:

{
    "id": "/providers/Microsoft.Authorization/roleDefinitions/e47c6f54-e4a2-4754-9501-8e0985b135e1",
    "properties": {
        "roleName": "Azure AI Account Owner",
        "description": "Grants full access to manage AI projects and accounts. Grants conditional assignment of the Azure AI User role to other user principals.",
        "assignableScopes": [
            "/"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Authorization/*/read",
                    "Microsoft.Authorization/roleAssignments/write",
                    "Microsoft.Authorization/roleAssignments/delete",
                    "Microsoft.CognitiveServices/*",
                    "Microsoft.Features/features/read",
                    "Microsoft.Features/providers/features/read",
                    "Microsoft.Features/providers/features/register/action",
                    "Microsoft.Insights/alertRules/*",
                    "Microsoft.Insights/diagnosticSettings/*",
                    "Microsoft.Insights/logDefinitions/read",
                    "Microsoft.Insights/metricdefinitions/read",
                    "Microsoft.Insights/metrics/read",
                    "Microsoft.ResourceHealth/availabilityStatuses/read",
                    "Microsoft.Resources/deployments/*",
                    "Microsoft.Resources/deployments/operations/read",
                    "Microsoft.Resources/subscriptions/operationresults/read",
                    "Microsoft.Resources/subscriptions/read",
                    "Microsoft.Resources/subscriptions/resourcegroups/deployments/*",
                    "Microsoft.Resources/subscriptions/resourceGroups/read",
                    "Microsoft.Support/*"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": [],
                "conditionVersion": "2.0",
                "condition": "((!(ActionMatches{'Microsoft.Authorization/roleAssignments/write'})) OR (@Request[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{53ca6127-db72-4b80-b1b0-d745d6d5456d})) AND ((!(ActionMatches{'Microsoft.Authorization/roleAssignments/delete'})) OR (@Resource[Microsoft.Authorization/roleAssignments:RoleDefinitionId] ForAnyOfAnyValues:GuidEquals{53ca6127-db72-4b80-b1b0-d745d6d5456d}))"
            }
        ]
    }
}

Exempel på RBAC-installation för företag för projekt

Den här tabellen visar ett exempel på rollbaserad åtkomstkontroll (RBAC) för en Azure AI Foundry-företagsresurs.

Få åtkomst till resurser som skapats utanför AI Foundry

När du skapar en AI Foundry-resurs ger inbyggda rbac-behörigheter (rollbaserad åtkomstkontroll) åtkomst till resursen. Om du vill använda resurser som skapats utanför AI Foundry kontrollerar du att båda följande är sanna:

• Resursen har behörigheter som gör att du kan komma åt den. Om du till exempel vill använda ett nytt Azure Blob Storage-konto lägger du till AI Foundry-kontoresursens hanterade identitet till rollen Storage Blob Data Reader för lagringskontot. Om du vill använda en ny Azure AI Search-källa lägger du till AI Foundry i rolltilldelningarna för Azure AI Search.

Hantera åtkomst med roller för projekt

Om du är ägare till en Azure AI Foundry-kontoresurs lägger du till eller tar bort roller. 1. På startsidan i Azure AI Foundry väljer du din Azure AI Foundry-resurs.

1. Välj Användare för att lägga till eller ta bort användare för resursen. Hantera även behörigheter i Azure-portalen under Åtkomstkontroll (IAM) eller med hjälp av Azure CLI.

Följande kommando tilldelar till exempel Rollen Azure AI-användare för joe@contoso.com resursgruppen this-rg i prenumerationen med ID 00000000-0000-0000-0000-000000000000:

az role assignment create --role "Azure AI User" --assignee "joe@contoso.com" --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/this-rg 

Skapa anpassade roller för projekt

Om de inbyggda rollerna inte räcker skapar du en anpassad roll. Anpassade roller kan omfatta läs-, skriv-, borttagnings- och beräkningsbehörigheter för Azure AI Foundry-resurser. Gör rollen tillgänglig i projektet, resursgruppen eller prenumerationsomfånget.

Om du vill skapa en anpassad roll använder du någon av följande artiklar:

• Azure Portal
• Azure CLI
• Azure PowerShell

Mer information om anpassade roller finns i artikeln anpassade Roller i Azure .

Använda Microsoft Entra-grupper med Azure AI Foundry

Med Microsoft Entra-ID kan du hantera åtkomst till resurser, program och uppgifter på flera olika sätt. Med Microsoft Entra-grupper kan du bevilja åtkomst och behörigheter till en grupp användare i stället för till varje enskild användare. Microsoft Entra-grupper kan skapas i Azure-portalen för IT-administratörer för företag för att förenkla rolltilldelningsprocessen för utvecklare. När du skapar en Microsoft Entra-grupp kan du minimera antalet rolltilldelningar som krävs för nya utvecklare som arbetar med Foundry-projekt genom att tilldela gruppen den rolltilldelning som krävs för den nödvändiga resursen.

Utför följande steg för att använda Entra ID-grupper med Azure AI Foundry:

1. Gå till Grupper i Azure-portalen.

2. Skapa en ny säkerhetsgrupp i gruppportalen.

3. Tilldela ägaren till Microsoft Entra-gruppen och lägg till enskilda användarprinciper i din organisation till gruppen som Medlemmar. Spara gruppen.

4. Gå till resursen som kräver en rolltilldelning.

   1. Exempel: Om du vill skapa agenter, köra spårningar med mera i Foundry måste den lägsta behörigheten "Azure AI User"-rollen tilldelas till din användarprincip. Tilldela "Azure AI User"-rollen till din nya Microsoft Entra-grupp så att alla användare i företaget kan skapa på Foundry.
   2. Exempel: Om du vill använda spårnings- och övervakningsfunktioner i Azure AI Foundry krävs en rolltilldelning för läsare på den anslutna Application Insights-resursen. Tilldela rollen Läsare till din nya Microsoft Entra-grupp så att alla användare i företaget kan använda funktionen Spårning och övervakning.

5. Gå till Åtkomstkontroll (IAM).

6. Välj den roll som ska tilldelas.

7. Tilldela åtkomst till principen "Användare, grupp eller tjänst" och välj den nya säkerhetsgruppen.

8. Granska och tilldela. Rolltilldelning gäller nu för alla användarprinciper som tilldelats gruppen.

Mer information om Entra ID-grupper, krav och begränsningar finns i:

• Lär dig mer om grupper, gruppmedlemskap och åtkomst i Microsoft Entra.
• Hantera grupper i Microsoft Entra.

Relaterat innehåll

• Skapa ett projekt.
• Lägg till en anslutning i Azure AI Foundry-portalen.