Microsoft Foundry の管理権限ロール タスク

Foundry リソースまたはプロジェクト スコープで Foundry ユーザー ロールを持つ開発者は、エージェントの構築、推論の実行、ほとんどの Foundry 機能の使用を行うことができます。 ただし、多くの管理タスクには、 所有者、 共同作成者、 Foundry アカウント所有者、その他の特殊なロールなどの昇格されたロールが必要です。

この記事では、Foundry 管理の各領域に必要な昇格されたロール、それらのロールが必要な理由、および詳細な手順へのリンクについて説明します。 開発者がアクセス許可エラーが発生した場合、または新しい環境のロールの割り当てを計画するときに参照として使用します。

Foundry ロール定義の背景については、Microsoft Foundry のロールベースのアクセス制御に関するページを参照してください。

主な概念

• コントロール プレーン — Azureリソースを管理する操作 (作成、削除、構成)。 所有者や共同作成者などのAzure RBAC ロールによって管理されます。
• データ プレーン — リソースのランタイム機能 (BLOB の読み取り、クエリ インデックス) を使用する操作。 Storage Blob Data Contributor などのデータ ロールによって管理されます。
• マネージド ID — 資格情報を格納せずに、バッキング リソースに対して認証を行う、自動的に管理されるMicrosoft Entra ID。 Foundry では、プロジェクトのマネージド ID は、プロジェクトが実行時に使用する ID です。 一部のセットアップでは、リソース アクセスのためにアカウント レベルの共有 ID にも依存しています。 2 つの用語を交換可能として扱う代わりに、シナリオに一致する ID 名を使用します。
• Foundry リソース — Foundry プロジェクトをホストするAzure リソース (Microsoft.CognitiveServices/accounts 型)。
• スコープ - ロールの割り当てが適用されるレベル (サブスクリプション、リソース グループ、リソース、またはプロジェクト)。 上位スコープで割り当てられたロールは、下位のスコープに継承されます。

環境セットアップの概要

新しい Foundry 環境をプロビジョニングする場合、タスクは次の一般的な順序に従います。

1. Foundry リソースを作成 する - 他のすべてのタスクの前に必須。
2. 1 つ以上のプロジェクトを作成します — エージェント、モデル、接続はプロジェクト内に含まれます。
3. 開発者にロールを割り当てる - 開発者には、一般的なアクセスに Foundry User が 必要です。 モデルのデプロイには、別のロールが必要です。
4. モデルのデプロイ - Foundry アカウント所有者が必要です。
5. (必要に応じて) エージェント インフラストラクチャを構成します。
6. ネットワークを構成します (必要な場合)。
7. ガードレールとポリシーを設定します。
8. 監視を有効にします。

残りのセクションでは、各領域のロール要件について説明します。 すべての昇格されたロールの概要については、「 クイック リファレンス: ロールの概要」を参照してください。

Foundry リソースの作成と構成

Foundry リソースとプロジェクトを作成するには、開発者が通常持っていないコントロール プレーンのアクセス許可が必要です。 これらの操作はAzure Resource Managerオブジェクトを変更するため、サブスクリプションまたはリソース グループ レベルで共同作成者や Foundry アカウント所有者などのロールが必要です。

Azure CLI、Bicep、またはポータルを使用した詳細な手順については、「最初のリソースの作成」と「プロジェクトの作成と管理」を参照してください。

チーム メンバーにロールを割り当てる

ユーザーにロールを割り当てるには、ターゲット スコープで 所有者 または ユーザー アクセス管理者 ロールが必要です。 Foundry アカウント所有者ロールと Foundry Project Manager ロールは、Foundry ユーザー ロールのみを条件付きで割り当てることができます。

スコープに関する考慮事項

• Foundry リソース スコープで Foundry ユーザー ロールを割り当てて、リソース内のすべてのプロジェクトへのアクセスを許可します。
• 1 つのプロジェクトへのアクセスを制限するには、 プロジェクト スコープで割り当てます。
• Microsoft Entra Privileged Identity Management (PIM) を使用する組織の場合は、管理者特権でのロールの割り当てを永続的ではなく資格のあるものにすることを検討してください。 対象となる割り当てには、Just-In-Time アクティブ化が必要です。これにより、常時特権の露出が軽減されます。

ロールの割り当て手順の詳細については、「Microsoft Foundry のロールベースのアクセス制御」および「Azure ロールの割り当て」を参照してください。

エージェント インフラストラクチャの構成

エージェントのセットアップは、Foundry で最もアクセス許可が集中する領域です。 必要なロールは、選択したセットアップ オプションによって異なります。

セットアップ オプションに一致するサブセクションを確認します。 その他はスキップします。 要件が変更された場合は、後でそれらに戻ることができます。

標準エージェントのセットアップ

Standard エージェントのセットアップでは、独自のAzure Cosmos DB、Azure AI 検索、およびAzure Storageリソースをプロビジョニングして管理する必要があります。 この方法では、データ所在地を完全に制御できますが、各バッキング リソースのプロジェクト マネージド ID にデータ プレーン ロールを割り当てる必要があります。

次のデータ プレーン ロールを、バッキング リソースの Foundry プロジェクトマネージド ID に割り当てます。

完全なプロビジョニング手順とBicep テンプレートについては、Standard エージェントのセットアップに関するページを参照してください。

ホステッド エージェントのセットアップ

ホストされるエージェントのセットアップは、エージェント ランタイム インフラストラクチャの最速のパスですが、明示的なリソースと RBAC の前提条件があります。 Foundry アカウントとプロジェクトに加えて、Azure Container Registry (ACR)、Application Insights、およびリンクされた Log Analytics ワークスペースを計画します。

ホストされるエージェントのアクセス許可の詳細な手順については、「 ホストされたエージェントのアクセス許可のリファレンス」を参照してください。

詳細な手順については、「 ホストされたエージェントをデプロイする」を参照してください。

独自のリソースを持ち込む

このオプションは、特定のコンプライアンス要件を持つ Azure Cosmos DB、AI Search、または Storage リソースが既にある場合に使用します。 Foundry プロジェクトに既存のリソースをアタッチし、必要なデータ プレーン ロールをプロジェクトのマネージド ID に割り当てます。

詳細な手順については、「独自のAzure リソースを使用する」を参照してください。

要件が厳しいエージェント ツール

いくつかのエージェント ツールでは、 共同作成者 以上がバッキング リソースをプロビジョニングまたは構成する必要があります。

インフラストラクチャ ツール

統合ツール

エージェントを公開する

発行すると、Foundry プロジェクト内の開発資産から、安定したエンドポイントを持つマネージド エージェント アプリケーション リソースにエージェントが昇格されます。 エージェントを公開するには、Foundry リソース スコープで Foundry Project Manager ロールが必要です。

エージェントの公開エクスペリエンスが変わりつつあります。 このセクションのロール要件は、エージェント アプリケーション発行モデルに適用されます。 新しいエージェント オブジェクト モデルの変更点については、 エージェント アプリケーションから新しいエージェント エンドポイントへの移行と発行エクスペリエンスに関するページを参照してください。

モデルのデプロイと管理

モデルをデプロイするには、 Foundry リソースに対する Foundry アカウント所有者 ロールが必要です。 マーケットプレース モデルやプロビジョニング済みスループットなど、一部のシナリオでは、より高いロールが必要です。 次の表に、モデル関連のすべてのタスクとそのロール要件を示します。

Marketplace モデルのデプロイでは、課金契約が作成されるため、サブスクリプション レベルのアクセスが必要です。 微調整には Foundry 所有者 が必要です。これは、コンピューティングとストレージを使用するトレーニング ジョブを作成するためです。 モデルをデプロイする前に、サブスクリプションにターゲット モデルとリージョンに対して十分なクォータがあることを確認します。クォータ の管理に関するページを参照してください。

詳細なデプロイ手順については、「モデル デプロイの 作成」を参照してください。

セキュリティとネットワークを構成する

ネットワークと暗号化の構成には、複数のリソースに対する昇格されたロールが必要です。 これらの構成は Foundry リソース、仮想ネットワーク、DNS ゾーン、Key Vaultにまたがるため、通常は複数のロールが必要です。

プライベート エンドポイント

プライベート エンドポイントは、Foundry リソースへのアクセスを特定の仮想ネットワークからのトラフィックに制限します。 プライベート エンドポイントを構成するには、3 つの異なるリソースに対するロールが必要です。

詳細な手順については、「 プライベート リンクの構成」を参照してください。

管理対象仮想ネットワーク

マネージド仮想ネットワークは、Foundry マネージド ネットワークの背後にある Foundry リソースを分離します。 このセットアップにより、独自の VNet を導入する場合と比較して、ネットワーク構成が簡略化されます。

ネットワーク セキュリティ境界

ネットワーク セキュリティ境界は、複数のAzure リソースにまたがるネットワーク アクセスを一元的に管理する方法を提供します。 Foundry リソースを既存の境界に追加して、一貫性のあるネットワーク規則を適用します。

カスタマー マネージド キー

カスタマー マネージド キー (CMK) を使用すると、Azure Key Vaultで制御するキーを使用して Foundry データを暗号化できます。 CMK では、マネージド ID にキーへのアクセス権を付与し、それを使用するようにリソースを構成するため、Key Vaultと Foundry リソースの両方にロールが必要です。

完全な手順については、「 カスタマー マネージド キーの構成」を参照してください。

Key Vault接続

Key Vault接続を使用すると、Foundry プロジェクトは、コードに資格情報を埋め込まずに、Azure Key Vaultに格納されているシークレット、証明書、キーにアクセスできます。 エージェントまたはデプロイされたモデルが実行時に API キーまたは証明書を取得する必要がある場合は、接続を作成します。

ガードレールとポリシーを設定する

Foundry 環境で使用できるモデル、ツール、構成を制限するために、ガードレールとAzure Policy割り当てを設定します。 サブスクリプションまたはリソース グループ内のすべての開発者にガバナンス境界が適用されるため、これらのタスクを完了するには管理者レベルのロールが必要です。

最初のガードレールを作成するチュートリアルについては、「ガードレールの 作成」を参照してください。 モデルデプロイポリシーについては、「 モデル展開ポリシー」を参照してください。

コンプライアンスと監視を管理する

コンプライアンスと監視のタスクは、AZURE RBAC ロールとMicrosoft Entraディレクトリ ロールにまたがっています。 違いを理解することは重要です。Azure ポータルの [アクセス制御 (IAM)] ブレードではなく、Microsoft Entra 管理センターでディレクトリ ロールを割り当てます。

ステップごとの監視設定については、「モデルの監視」と「エージェントフレームワークのトレース」を参照してください。

ストレージとデータ プレーンアクセスを構成する

Foundry エージェント、評価、およびいくつかのツールには、ストレージリソースと検索リソースに対するデータプレーンロールが必要です。 これらのロールを、人間のユーザーではなく Foundry プロジェクトのマネージド ID に割り当てて、サービスが実行時にバッキング リソースにアクセスできるようにします。

これらのロールは人間のユーザーではなくマネージド ID に適用されるため、次の表には [割り当て先 ] 列が含まれています。

ディザスター リカバリーを設定する

Foundry のディザスター リカバリーには、Foundry リソース自体のフェールオーバー (高可用性) とエージェント バッキング リソースのフェールオーバーという 2 つのシナリオが含まれます。 エージェント サービス DR は、Foundry リソースに加えて Cosmos DB、AI Search、Storage にアクセスする必要があるため、特にロール集中型です。

DR の詳細な手順については、「高可用性と回復性」および「エージェント サービスのディザスター リカバリー」を参照してください。

接続と統合を構成する

Foundry は、API Management、MCP サーバー、および外部サービスと統合されます。 ほとんどの統合タスクでは、Azureリソースを作成または変更するため、少なくとも共同作成者が必要です。 Foundry を AI ゲートウェイにリンクするには、アカウントの構成が変更されるため、 Foundry アカウント所有者 ロールが必要です。

クイック リファレンス: ロールの概要

次の表は、主な昇格ロールと、管理者がそれらを必要とするタイミングをまとめています。 特定のタスク カテゴリに割り当てるロールをすばやく識別するために使用します。

一般的なアクセス許可エラーのトラブルシューティング

開発者がアクセス許可エラーが発生した場合は、この記事のタスク テーブルを使用して、必要なロールを特定します。 次の表は、一般的なエラー メッセージの原因と解決策を示しています。

関連するコンテンツ

• Microsoft Foundry のロールベースアクセス制御
• 認証と権限承認
• ロールアウトを計画する
• Azureロールの割り当て
• コンプライアンスとセキュリティを管理する
• Entra 管理者としてエージェント インフラストラクチャを管理する
• クォータを管理する
• モデルを監視する
• エージェント リソースを設定する
• プライベート リンクを構成する
• Azure RBAC のトラブルシューティング