Criteri predefiniti per la distribuzione di modelli nel portale di Microsoft Foundry

Criteri di Azure fornisce definizioni di criteri predefinite che consentono di gestire la distribuzione dei modelli di intelligenza artificiale nel portale di Microsoft Foundry. È possibile usare questi criteri per controllare i modelli che gli sviluppatori possono distribuire nel portale foundry.

Nota

Per distribuire e usare model router quando questo criterio è assegnato, includi Microsoft nell'elenco degli editori consentiti, perché Microsoft è l'editore di model router. Includere anche il nome dell'editore di ogni modello supportato distribuito per il routing, come indicato nella scheda del modello nel catalogo dei modelli. Ad esempio, per instradare verso i modelli Claude, che si distribuiscono separatamente, includere anche Anthropic. Se l'elenco degli editori consentiti non include questi nomi, i criteri bloccano la distribuzione del router del modello.

Prerequisiti

  • Un account Azure con una sottoscrizione attiva. Se non ne hai uno, crea un account Azure gratuito. L'account Azure consente di accedere al portale foundry.

  • Autorizzazioni per creare e assegnare criteri. Per creare e assegnare criteri, è necessario essere un Owner o Resource Policy Contributor a livello di sottoscrizione o gruppo di risorse Azure.

  • Familiarità con Criteri di Azure. Per altre informazioni, vedere Che è Criteri di Azure?.

Microsoft Foundry fornisce definizioni di Criteri di Azure predefinite che consentono di gestire i modelli che possono essere distribuiti nell'organizzazione. Le definizioni seguenti si applicano alle distribuzioni di modelli:

Policy Purpose Condizione
Le distribuzioni dei modelli Foundry devono utilizzare esclusivamente modelli approvati Limitare le distribuzioni a un elenco specifico di modelli o editori approvati dall'organizzazione in modo esplicito. Generalmente disponibile
Le distribuzioni di modelli Foundry devono soddisfare i requisiti di idoneità Limitare le distribuzioni in base agli attributi del modello, ad esempio l'origine (diretta da Azure) e lo stato del ciclo di vita (anteprima). Generalmente disponibile

Entrambi i criteri vengono valutati al momento della distribuzione. Il catalogo non nasconde i modelli. L'azione Distribuisci è invece disabilitata con un motivo chiaro quando un criterio blocca la distribuzione. È possibile assegnare uno o entrambi i criteri a seconda delle esigenze di governance.

Nota

Questi criteri regolano anche i modelli sottostanti selezionati dal router del modello . Il router modello instrada solo le richieste ai modelli che soddisfano i criteri assegnati, quindi le stesse regole di approvazione e idoneità si applicano se si distribuisce direttamente un modello o si usa il router del modello per selezionarne uno per ogni richiesta. Inoltre, sono disponibili in anteprima pubblica definizioni di criteri predefinite specifiche per Model Router. Queste definizioni estendono la governance ad altri aspetti delle distribuzioni di router del modello, incluse le aree di distribuzione, le regole di routing necessarie e le configurazioni di registrazione. Per altre informazioni, vedere Gestire le distribuzioni di router del modello con Criteri di Azure.

Come interagiscono questi criteri

I due criteri sono complementari e affrontano diverse domande di governance:

  • Modelli approvati rispondono alla domanda "Questo modello esatto è nell'elenco degli elementi consentiti della mia organizzazione?" in base all'identità del modello.
  • I requisiti di idoneità rispondono a "Questo modello soddisfa gli standard dell'organizzazione per l'origine e la maturità?" in base agli attributi del modello.

Se si assegnano entrambi i criteri e un modello non è conforme con entrambi, l'esperienza di distribuzione mostra prima il motivo con priorità più alta (approvazione, quindi idoneità), in modo che gli utenti ottengano un messaggio chiaro e interattivo.

Le distribuzioni dei modelli Foundry dovrebbero usare solo modelli approvati

Usare questo criterio per limitare le distribuzioni a un elenco specifico di modelli o editori approvati dall'organizzazione in modo esplicito.

Nota

Questo criterio era precedentemente denominato Le distribuzioni di Servizi cognitivi devono usare solo modelli del Registro approvati. L'ID definizione dei criteri rimane invariato, quindi le assegnazioni esistenti continuano a funzionare senza alcuna azione.

Assegna il criterio dei modelli approvati

Usare interfaccia della riga di comando di Azure per trovare la definizione dei criteri predefinita e assegnarla a un ambito.

  1. Accedere e selezionare la sottoscrizione in cui si vuole lavorare:

    az login
az account set --subscription "<subscription-id>"

  2. Trovare l'ID definizione dei criteri per la definizione incorporata:

    az policy definition list \
   --query "[?displayName=='Foundry model deployments should only use approved models'].{name:name, id:id}" \
   --output table

    Risultato previsto: una riga che include i criteri id.

  3. Creare un file di parametri (esempio):

    {
   "effect": {
      "value": "Deny"
   },
   "allowedPublishers": {
      "value": ["OpenAI"]
   },
   "allowedAssetIds": {
      "value": [
         "azureml://registries/azure-openai/models/gpt-5/",
         "azureml://registries/azure-openai/models/gpt-5.2/versions/1"
      ]
   }
}

    Risultato previsto: un file JSON che corrisponde ai nomi degli editori approvati e agli ID modello.

    Importante

    Ogni ID della risorsa è corrispondente nel prefisso. Un ID senza barra finale corrisponde anche ad altri modelli i cui nomi iniziano con gli stessi caratteri, azureml://registries/azure-openai/models/gpt-5 ad esempio corrisponde a GPT-5 e anche GPT-5.2 e GPT-5.4. Aggiungere una barra finale (/) per limitare la corrispondenza solo a tale modello specifico, azureml://registries/azure-openai/models/gpt-5/ ad esempio corrisponde solo a GPT-5 (tutte le versioni) ed esclude GPT-5.2 e GPT-5.4. Per consentire una sola versione, usare l'ID asset completo, inclusa la versione , ad esempio azureml://registries/azure-openai/models/gpt-5.2/versions/1.

    Importante

    I nomi dei parametri in questo esempio devono corrispondere alla definizione di criteri assegnata. Se differiscono nel tuo tenant, aggiorna le chiavi JSON affinché corrispondano ai parametri di definizione dei criteri.

  4. Assegnare i criteri a un ambito (ad esempio: ambito della sottoscrizione):

    az policy assignment create \
   --name "allow-only-approved-models" \
   --display-name "Allow only approved models" \
   --scope "/subscriptions/<subscription-id>" \
   --policy "<policy-definition-id>" \
   --params @params.json

    Risultato previsto: il comando restituisce un payload JSON che include l'assegnazione id.

Riferimento:

Le distribuzioni dei modelli Foundry dovrebbero soddisfare i requisiti di idoneità

Usare questo criterio per limitare le distribuzioni in base agli attributi del modello anziché a un'identità del modello specifica. Questa restrizione è utile quando si vogliono applicare standard aziendali più ampi, ad esempio "nessun modello di anteprima nell'ambiente di produzione" o "solo modelli diretti Microsoft", senza mantenere un elenco di elementi consentiti espliciti.

Il criterio supporta attualmente gli attributi seguenti:

Parametro Type Default Comportamento quando true
onlyAllowDirectFromAzure Boolean false Impedisce la distribuzione di modelli che non provengono direttamente da Azure.
denyPreviewModels Boolean false Impedisce la distribuzione di modelli il cui stato del ciclo di vita è Anteprima.

Per impostazione predefinita, entrambi i parametri sono false, quindi un'assegnazione non configurata non impone alcuna restrizione. Abilitare gli interruttori che corrispondono al comportamento dell'organizzazione.

Assegna il criterio di idoneità

  1. Accedere e selezionare la sottoscrizione in cui si vuole lavorare:

    az login
az account set --subscription "<subscription-id>"

  2. Trova l'ID della definizione dei criteri:

    az policy definition list \
   --query "[?displayName=='Foundry model deployments should meet eligibility requirements'].{name:name, id:id}" \
   --output table

  3. Creare un file di parametri (ad esempio - bloccare i modelli di anteprima, consentire qualsiasi origine):

    {
   "effect": {
      "value": "Deny"
   },
   "onlyAllowDirectFromAzure": {
      "value": false
   },
   "denyPreviewModels": {
      "value": true
   }
}

  4. Assegna il criterio:

    az policy assignment create \
   --name "foundry-model-eligibility" \
   --display-name "Foundry model eligibility" \
   --scope "/subscriptions/<subscription-id>" \
   --policy "<policy-definition-id>" \
   --params @params.json

Cosa vedono gli sviluppatori quando una distribuzione è bloccata

Quando uno sviluppatore tenta di distribuire un modello bloccato da un criterio, l'azione Distribuisci è disabilitata e un messaggio spiega perché. Il modello stesso rimane visibile nel catalogo in modo che lo sviluppatore capisca cosa è stato tentato.

Scenario Cosa vede lo sviluppatore
Il modello è approvato e idoneo Distribuire abilitato.
Il modello non è presente nell'elenco approvato Distribuzione disabilitata — il messaggio indica che il modello non è approvato dall'organizzazione, con l'indicazione di contattare l'amministratore dell'abbonamento o di Foundry.
Il modello è approvato ma non soddisfa l'idoneità (ad esempio, un modello di anteprima quando denyPreviewModels è attivo) Distribuzione disabilitata — il messaggio segnala che il modello non soddisfa i requisiti di idoneità dell'organizzazione (origine del modello o stato del ciclo di vita) e invita a contattare l'amministratore.
Più criteri bloccano la distribuzione Distribuire disabilitato: viene visualizzato il motivo con la priorità più alta (prima l'approvazione, quindi l'idoneità).

Ogni messaggio include il nome e l'ID assegnazione dei criteri in modo che gli amministratori possano identificare rapidamente quali criteri applicano la restrizione.

Monitorare la conformità

Per monitorare la conformità ai criteri, seguire questa procedura:

  1. Nel portale Azure selezionare Policy a sinistra della pagina. È anche possibile cercare Criteri nella barra di ricerca nella parte superiore della pagina.

  2. Dal lato sinistro del dashboard di Criteri di Azure selezionare Compliance. Ogni assegnazione di criteri viene elencata con lo stato di conformità. Per visualizzare più dettagli, selezionare l'assegnazione della policy.

Aggiornare l'assegnazione delle politiche

Per aggiornare un'assegnazione di criteri esistente con nuovi modelli, seguire questa procedura:

  1. Nel portale Azure selezionare Policy a sinistra della pagina. È anche possibile cercare Criteri nella barra di ricerca nella parte superiore della pagina.
  2. Dal lato sinistro dell'Criteri di Azure Dashboard, selezionare Assegnazioni e trovare l'assegnazione di criteri esistente. Selezionare i puntini di sospensione (...) accanto all'assegnazione e selezionare Modifica assegnazione.
  3. Nella scheda Parametri, aggiornare gli Asset ID consentiti e gli editori di modelli consentiti con i nuovi ID modello approvati e i nomi degli editori.
  4. Nella scheda Rivedi e salva selezionare Salva per aggiornare l'assegnazione dei criteri.

Procedure consigliate

  • Ambito granulare: assegnare criteri all'ambito appropriato per bilanciare il controllo e la flessibilità. Ad esempio, applicare a livello di sottoscrizione per controllare tutte le risorse nella sottoscrizione o applicare a livello di gruppo di risorse per controllare le risorse in un gruppo specifico.
  • Denominazione dei criteri: usare una convenzione di denominazione coerente per le assegnazioni di criteri per semplificare l'identificazione dello scopo del criterio. Includere informazioni quali lo scopo e l'ambito nel nome.
  • Tag: usare i tag per classificare e gestire i criteri. Ad esempio, etichetta le politiche per ambiente (sviluppo, test, produzione) o per reparto.
  • Documentazione: mantenere i record delle assegnazioni e delle configurazioni dei criteri a scopo di controllo. Documentare le modifiche apportate al criterio nel tempo.
  • Revisioni regolari: esaminare periodicamente le assegnazioni dei criteri per assicurarsi che siano allineate ai requisiti dell'organizzazione.
  • Test: testare i criteri in un ambiente non di produzione prima di applicarli alle risorse di produzione.
  • Comunicazione: assicurarsi che gli sviluppatori siano consapevoli dei criteri applicati e comprendano le implicazioni per il proprio lavoro.

Verificare l'efficacia dei criteri

Dopo aver assegnato il criterio, verificare che funzioni come previsto:

  1. Attendere almeno 15 minuti per rendere effettiva l'assegnazione dei criteri. Le nuove assegnazioni non si applicano immediatamente.

  2. Tentare di distribuire un modello non presente nell'elenco consentito. Se il criterio utilizza l'effetto Nega, la distribuzione fallisce a causa di un errore di violazione del criterio.

  3. Verificare che la distribuzione di un modello approvato abbia ancora esito positivo.

  4. Controllare il dashboard Compliance in Criteri di Azure per verificare che i criteri valutino correttamente le risorse. Le risorse non conformi vengono visualizzate in un ciclo di valutazione della conformità (in genere fino a 24 ore).

Risolvere i problemi di assegnazione dei criteri

Sintomo Causa Risoluzione
L'assegnazione della politica non riesce a causa di un errore di autorizzazione L'account non dispone del ruolo Proprietario o Collaboratore criteri risorse nell'ambito di destinazione. Assegnare il ruolo richiesto e riprovare. Vedere Prerequisiti.
I criteri non bloccano le distribuzioni non conformi L'assegnazione dei criteri non è ancora stata propagata o l'effetto è impostato su Controllo anziché su Nega. Attendere almeno 15 minuti, quindi riprovare. Verificare che il parametro Effect sia impostato su Deny.
Il modello approvato viene bloccato in modo imprevisto L'ID risorsa del modello o il nome dell'editore nei parametri della policy non corrisponde esattamente al modello. Confrontare i valori dei parametri con la scheda modello nel catalogo dei modelli. Gli ID asset e i nomi degli editori fanno distinzione tra maiuscole e minuscole.
Il dashboard di conformità non mostra dati La valutazione della conformità non è ancora stata completata. Criteri di Azure valuta le nuove assegnazioni entro 24 ore. Attendere il ciclo di valutazione successivo o attivare un'analisi di valutazione su richiesta.
Errore di mancata corrispondenza del nome del parametro durante l'assegnazione Le chiavi dei parametri JSON non corrispondono alla definizione dei criteri. Eseguire az policy definition show --name "<definition-id>" per recuperare i nomi esatti dei parametri dalla definizione. Usare allowedPublishers e allowedAssetIds.

Contenuto correlato

  • Last updated on