Foundry ポータルでのモデルデプロイの組み込みポリシー Microsoft

Azure CLIを使用して組み込みのポリシー定義を検索し、スコープで割り当てます。

1. サインインして、作業するサブスクリプションを選択します。

   az login
   az account set --subscription "<subscription-id>"
   

2. 組み込み定義のポリシー定義 ID を見つけます:

   az policy definition list \
      --query "[?displayName=='Foundry model deployments should only use approved models'].{name:name, id:id}" \
      --output table
   

   予期される結果: ポリシー idを含む行。

3. パラメーター ファイルを作成します (例:

   {
      "effect": {
         "value": "Deny"
      },
      "allowedPublishers": {
         "value": ["OpenAI"]
      },
      "allowedAssetIds": {
         "value": [
            "azureml://registries/azure-openai/models/gpt-5/",
            "azureml://registries/azure-openai/models/gpt-5.2/versions/1"
         ]
      }
   }
   

   予想される結果: 承認された発行元名とモデル ID と一致する JSON ファイル。

   重要

   各資産 ID はプレフィックスとして照合されます。 末尾のスラッシュのない ID は、名前が同じ文字で始まる他のモデルとも一致します。たとえば、 azureml://registries/azure-openai/models/gpt-5 は GPT-5 と GPT-5.2 と GPT-5.4 に一致します。 末尾にスラッシュ (/) を追加して、特定のモデルのみに一致を制限します。たとえば、 azureml://registries/azure-openai/models/gpt-5/ は GPT-5 (そのすべてのバージョン) にのみ一致し、GPT-5.2 と GPT-5.4 は除外されます。 1 つのバージョンのみを許可するには、バージョン (たとえば、 azureml://registries/azure-openai/models/gpt-5.2/versions/1) を含む完全な資産 ID を使用します。

   重要

   この例のパラメーター名は、割り当てるポリシー定義と一致している必要があります。 テナントで異なる場合は、ポリシー定義パラメーターと一致するように JSON キーを更新します。

4. スコープでポリシーを割り当てます (例: サブスクリプション スコープ):

   az policy assignment create \
      --name "allow-only-approved-models" \
      --display-name "Allow only approved models" \
      --scope "/subscriptions/<subscription-id>" \
      --policy "<policy-definition-id>" \
      --params @params.json
   

   予想される結果:コマンドは、割り当て idを含む JSON ペイロードを返します。

参照：

• az policy definition list （ポリシー定義の一覧を表示）
• az policy assignment create
• Azure Policy割り当て

1. Azure ポータルで、ページの左側から Policy を選択します。 ページの上部にある検索バーで ポリシー を検索することもできます。

2. Azure Policy ダッシュボードの左側で、Authoring>Definitions を選択します。 次に、 Foundry model deployments should only use approved modelsを検索します。

3. [ 割り当て] を選択してポリシーを割り当てます。

   • スコープ: ポリシーを割り当てるスコープを選択します。 スコープには、管理グループ、サブスクリプション、またはリソース グループを指定できます。
   • ポリシー定義: このセクションには既に Foundry model deployments should only use approved models の値があります。
   • 割り当て名: 割り当ての一意の名前を入力します。

   残りのフィールドの既定値をそのまま使用することも、組織で必要に応じてカスタマイズすることもできます。

4. ページの下部にある [ 次へ ] を選択するか、ページの上部にある [ パラメーター ] タブを選択します。

5. [ パラメーター ] タブで、[すべてのフィールドを 表示するには、入力またはレビューが必要なパラメーターのみを表示 する] をオフにしてください。

   • 効果: [拒否] に設定します。

     メモ

     監査オプションを使用すると、ポリシーを適用する前に、独自のコンプライアンス ダッシュボードに情報を記録するようにポリシーを構成できます。

   • 許可されるモデルの発行元: コンマで区切って、引用符で囲まれた発行元名の一覧を入力します。 発行元名を検索する場所を示す例を次に示します。

     1. Foundry ポータルで モデル カタログ に移動します。

     2. モデル (GPT-5 など) を選択します。

     3. 次のスクリーンショットに示すように、モデル カードに発行元名が表示されます。 たとえば、この場合は OpenAI。

        

   • 許可される資産 ID: モデル資産 ID の一覧をコンマで区切って引用符で囲んで入力します。

     モデル資産 ID 文字列とモデル発行者名を取得するには、次の手順を使用します。

     1. モデル カタログに移動します。

     2. 許可するモデルごとに、モデルを選択して詳細を表示します。 モデルの詳細情報で、 モデル ID 値をコピーします。 たとえば、この値は GPT-5.2 モデルの azureml://registries/azure-openai/models/gpt-5.2/versions/1 のようになります。

        重要

        各資産 ID はプレフィックスとして照合されます。 末尾のスラッシュのない ID は、名前が同じ文字で始まる他のモデルとも一致します。たとえば、 azureml://registries/azure-openai/models/gpt-5 は GPT-5 と GPT-5.2 と GPT-5.4 に一致します。 末尾にスラッシュ（/）を追加すると、その特定のモデルにのみ一致するように制限できます。たとえば、azureml://registries/azure-openai/models/gpt-5/ は GPT-5（そのすべてのバージョン）にのみ一致します。 1 つのバージョンのみを許可するには、バージョンを含む完全な資産 ID を使用します。

     3. [ 確認と作成 ] タブを選択し、ポリシーの割り当てが正しいことを確認します。 準備ができたら、[ 作成 ] を選択してポリシーを割り当てます。

     4. ポリシーが適用されていることを開発者に通知します。 許可されているモデルの一覧にないモデルをデプロイしようとすると、エラー メッセージが表示されます。

1. サインインして、作業するサブスクリプションを選択します。

   az login
   az account set --subscription "<subscription-id>"
   

2. ポリシー定義 ID を見つけます。

   az policy definition list \
      --query "[?displayName=='Foundry model deployments should meet eligibility requirements'].{name:name, id:id}" \
      --output table
   

3. パラメーター ファイルを作成します (例 : プレビュー モデルをブロックし、任意のソースを許可します)。

   {
      "effect": {
         "value": "Deny"
      },
      "onlyAllowDirectFromAzure": {
         "value": false
      },
      "denyPreviewModels": {
         "value": true
      }
   }
   

4. ポリシーを割り当てます。

   az policy assignment create \
      --name "foundry-model-eligibility" \
      --display-name "Foundry model eligibility" \
      --scope "/subscriptions/<subscription-id>" \
      --policy "<policy-definition-id>" \
      --params @params.json
   

1. Azure ポータルから、Policy を選択します。

2. [作成]>[定義] を選択し、Foundry model deployments should meet eligibility requirements を検索します。

3. [割り当て]を選択します。

4. [ 基本 ] タブで、 スコープ (管理グループ、サブスクリプション、またはリソース グループ) と 割り当て名を設定します。

5. [ パラメーター ] タブで、[すべてのフィールドを 表示するには、入力または確認が必要なパラメーターのみを表示 する] をオフにしてください。

   • 効果: 非準拠のデプロイをブロックするには [拒否 ] に設定し、ブロックせずにログに記録する 場合は [監査 ] に設定します。
   • [Direct From Azure のみを許可する]: Azureから直接ではないモデルのデプロイを拒否するには、trueに設定します。 既定値は false です。
   • プレビュー モデルの拒否: ライフサイクルの状態が [プレビュー] であるモデルのデプロイを拒否するには、 true に設定します。 既定値は false です。

6. [ 確認と作成 ] を選択し、[ 作成 ] を選択してポリシーを割り当てます。