Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Usare questo articolo per trovare i ruoli necessari per il flusso di lavoro di valutazione di Microsoft Foundry. Non sono necessari tutti i ruoli elencati qui. Iniziare con il ruolo di valutazione comune e quindi aggiungere ruoli solo se il flusso di lavoro usa la valutazione pianificata o continua, le tracce o il proprio account di archiviazione.
Tip
Per la maggior parte dei flussi di lavoro di valutazione del portale e dell'SDK, l'account connesso richiede il ruolo Utente Foundry nel progetto Foundry . I ruoli aggiuntivi in questo articolo si applicano a flussi di lavoro e risorse specifici.
Importante
I ruoli di Controllo degli accessi in base al ruolo di Foundry sono stati recentemente rinominati. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager erano precedentemente denominati Azure AI User, Azure AI Owner, Azure AI Account Owner e Azure AI Project Manager. È possibile che i nomi precedenti vengano visualizzati in alcune posizioni durante l'esecuzione della ridenominazione. Gli ID ruolo e le autorizzazioni di base sono invariati dalla ridenominazione.
Prima di iniziare
Per assegnare ruoli di Azure, è necessaria l'autorizzazione Microsoft.Authorization/roleAssignments/write nell'ambito di destinazione. Ad esempio, i ruoli Amministratore del controllo di accesso basato sui ruoli e Amministratore dell'accesso utente includono questa autorizzazione. Se non è possibile creare assegnazioni di ruolo, inviare le righe pertinenti da questo articolo all'amministratore.
I flussi di lavoro di valutazione possono usare più identità:
- La tua identità è l'account che usi per accedere al portale Foundry, ad Azure Developer CLI o all'SDK.
- Un'identità dell'applicazione è l'identità del carico di lavoro o l'entità servizio che esegue le valutazioni in un'applicazione o in una pipeline CI/CD.
- L'identità gestita del progetto è l'identità usata da Foundry per accedere alle risorse connesse, ad esempio tracce o archiviazione.
Trovare i ruoli per il flusso di lavoro
Prima di tutto, assegnare il ruolo in questa tabella per l'attività di valutazione da eseguire.
| Voglio | Assegnare il ruolo a | Ruolo | Assegna a |
|---|---|---|---|
| Creare regole di valutazione continue o pianificate | Identità gestita del progetto | Utente di Foundry | La risorsa o il progetto di Foundry utilizzato per la regola di valutazione |
| Eseguire o esaminare le valutazioni del portale o dell'SDK, tra cui agente, set di dati sintetici, modello connesso all'amministratore e flussi di lavoro di benchmark | La tua identità o l'identità dell'applicazione | Foundry User o un ruolo con autorizzazioni equivalenti | Risorsa o progetto Foundry che contiene la valutazione |
| Esegui valutazioni in CI/CD | Identità del carico di lavoro o entità servizio utilizzata dalla pipeline | Foundry User o un ruolo con autorizzazioni equivalenti | Risorsa o progetto Foundry che contiene la valutazione |
| Eseguire valutazioni degli agenti con l'interfaccia della riga di comando per sviluppatori di Azure | Identità dell'utente | Utente di Foundry | La risorsa Foundry |
I processi di valutazione utilizzano Microsoft Entra ID. Se una valutazione invoca una distribuzione di un modello, assegna Foundry User a livello dell'account Foundry. Un'assegnazione di ruolo limitata al progetto non autorizza l'esecuzione dell'inferenza del modello. Per altre informazioni, vedere Autorizzazioni specifiche del tipo di distribuzione.
Per le autorizzazioni incluse nei ruoli foundry e indicazioni per i ruoli personalizzati, vedere Controllo degli accessi in base al ruolo per Microsoft Foundry.
Aggiungere autorizzazioni per i flussi di lavoro basati su traccia
Usare questa sezione se si eseguono valutazioni occasionali, continue o pianificate sulle tracce di Application Insights, creare un set di dati da tracce o visualizzare i dati di monitoraggio basati su log.
L'identità che invia un processo di valutazione delle tracce o un processo di set di dati basato sulle tracce deve prima disporre del ruolo Utente Foundry da Trova i ruoli per il flusso di lavoro. Assegnare quindi i ruoli seguenti:
| Voglio | Assegnare il ruolo a | Ruolo | Assegna a |
|---|---|---|---|
| Eseguire valutazioni di traccia o creare set di dati da tracce | Identità gestita del progetto | Lettore | Risorsa di Application Insights collegata |
| Leggere le tabelle di traccia protette durante la valutazione o la generazione di set di dati | Identità gestita del progetto | Lettore dei dati di monitoraggio con privilegi elevati, oltre al Lettore | Risorsa di Application Insights collegata |
| Visualizzare tracce o dati di monitoraggio basati su log | Identità dell'utente | Lettore di Log Analytics | La risorsa di Application Insights connessa e, per le query con ambito nell'area di lavoro, l'area di lavoro Log Analytics collegata |
| Visualizzare il contenuto di traccia protetto | Identità dell'utente | Lettore di dati di monitoraggio con privilegi, oltre a Log Analytics lettore | Risorsa di Application Insights per le query con ambito risorsa o l'area di lavoro Log Analytics per le query con ambito area di lavoro |
La valutazione delle tracce e la generazione del set di dati usano una query di contesto della risorsa eseguita sulla risorsa Application Insights connessa. Il ruolo Lettore fornisce l'autorizzazione di lettura della risorsa necessaria per questa query.
Se l'area di lavoro Log Analytics collegata è configurata su Richiedi autorizzazioni dell'area di lavoro, assegnare anche Lettore di Log Analytics all'identità gestita del progetto in tale area di lavoro. Per le tabelle protette, assegnare anche Privileged Monitoring Data Reader nell'area di lavoro. Se l'area di lavoro usa la modalità DataActionsOnly, usa Log Analytics Data Reader anziché un ruolo di lettura del piano di controllo.
Per informazioni sul contenuto di traccia protetto, vedere Proteggere il contenuto sensibile nelle tracce.
Aggiungere autorizzazioni per il proprio account di archiviazione
Usare questa sezione solo se il progetto Foundry si connette al proprio account Archiviazione di Azure usando l'autenticazione Microsoft Entra ID.
| Assegnare il ruolo a | Ruolo | Assegna a |
|---|---|---|
| Identità gestita del progetto | Collaboratore ai dati di Storage Blob | Account di archiviazione connesso al progetto Foundry |
Questo ruolo consente al servizio di valutazione di leggere e scrivere set di dati e risultati di valutazione nell'archiviazione BLOB. Se la connessione usa invece una chiave dell'account, questo ruolo di identità gestita non viene usato. Microsoft consiglia l'autenticazione Microsoft Entra ID per il controllo di accesso granulare.
Per i requisiti di archiviazione e di rete, vedere Bring your own storage.
Verificare la configurazione
Dopo aver assegnato i ruoli:
- Nel portale di Azure aprire ogni risorsa a cui è stato assegnato un ruolo.
- Selezionare Controllo di accesso (IAM)>Controllare l'accesso.
- Cercare l'identità gestita dell'utente, dell'applicazione o del progetto.
- Verifica che il ruolo previsto sia visualizzato nell'ambito richiesto.
- Attendere alcuni minuti per rendere effettive le nuove assegnazioni di ruolo e quindi ritentare il flusso di lavoro.
Se una valutazione non riesce ancora con 401 Unauthorized o 403 Forbidden, vedere Risolvere i problemi di valutazione e osservabilità.
Passaggi successivi
- Per eseguire una valutazione con un SDK, vedere Introduzione alla valutazione cloud.
- Per valutare un agente, vedere Valutare gli agenti di intelligenza artificiale.
- Per valutare i dati di telemetria di produzione, vedere Valutare le tracce del modello e dell'agente.
- Per creare dati di valutazione riutilizzabili dal traffico di produzione, vedere Convertire le tracce dell'agente in set di dati di valutazione.
- Per valutare il traffico di produzione in base a una pianificazione, vedere Monitorare gli agenti e configurare la valutazione continua.