Wbudowane zasady wdrażania modelu w portalu Microsoft Foundry

Użyj Azure CLI, aby znaleźć wbudowaną definicję zasad i przypisać ją do określonego zakresu.

1. Zaloguj się i wybierz subskrypcję, w której chcesz pracować:

   az login
   az account set --subscription "<subscription-id>"
   

2. Znajdź identyfikator definicji zasad dla wbudowanej definicji:

   az policy definition list \
      --query "[?displayName=='Foundry model deployments should only use approved models'].{name:name, id:id}" \
      --output table
   

   Oczekiwany wynik: wiersz zawierający zasady id.

3. Utwórz plik parametrów (przykład):

   {
      "effect": {
         "value": "Deny"
      },
      "allowedPublishers": {
         "value": ["OpenAI"]
      },
      "allowedAssetIds": {
         "value": [
            "azureml://registries/azure-openai/models/gpt-5/",
            "azureml://registries/azure-openai/models/gpt-5.2/versions/1"
         ]
      }
   }
   

   Oczekiwany wynik: plik JSON zgodny z zatwierdzonymi nazwami wydawców i identyfikatorami modeli.

   Ważne

   Każdy identyfikator zasobu jest dopasowywany na podstawie prefiksu. Identyfikator bez ukośnika końcowego jest również zgodny z innymi modelami, azureml://registries/azure-openai/models/gpt-5 których nazwy zaczynają się od tych samych znaków — na przykład pasuje do GPT-5, a także GPT-5.2 i GPT-5.4. Dodaj ukośnik końcowy (/), aby ograniczyć dopasowanie tylko do tego konkretnego modelu — na przykład azureml://registries/azure-openai/models/gpt-5/ pasuje tylko do GPT-5 (wszystkie jego wersje) i wyklucza GPT-5.2 i GPT-5.4. Aby zezwolić tylko na jedną wersję, użyj pełnego identyfikatora zasobu, w tym wersji (na przykład azureml://registries/azure-openai/models/gpt-5.2/versions/1).

   Ważne

   Nazwy parametrów w tym przykładzie muszą być zgodne z przypisaną definicją zasad. Jeśli różnią się one w Twojej dzierżawie, zaktualizuj klucze JSON, aby były zgodne z parametrami definicji zasad.

4. Przypisz zasady w zakresie (na przykład: zakres subskrypcji):

   az policy assignment create \
      --name "allow-only-approved-models" \
      --display-name "Allow only approved models" \
      --scope "/subscriptions/<subscription-id>" \
      --policy "<policy-definition-id>" \
      --params @params.json
   

   Oczekiwany wynik: polecenie zwraca ładunek JSON zawierający przypisanie id.

Referencja:

• az lista definicji polityki
• az policy assignment create
• Przypisania Azure Policy

1. W portalu Azure wybierz pozycję Policy po lewej stronie. Możesz również wyszukać Zasady na pasku wyszukiwania w górnej części strony.

2. Z lewej strony pulpitu nawigacyjnego Azure Policy wybierz pozycję Authoring>Definitions. Następnie wyszukaj ciąg Foundry model deployments should only use approved models.

3. Wybierz Przypisz, aby przypisać politykę:

   • Zakres: wybierz zakres, w którym chcesz przypisać zasady. Zakres może obejmować grupę administracyjną, subskrypcję lub grupę zasobów.
   • Definicja zasad: ta sekcja ma już wartość Foundry model deployments should only use approved models.
   • Nazwa przypisania: wprowadź unikatową nazwę przypisania.

   Możesz zachować wartości domyślne pozostałych pól lub dostosować je zgodnie z potrzebami dla organizacji.

4. Wybierz pozycję Dalej w dolnej części strony lub kartę Parametry w górnej części strony.

5. Na karcie Parametry wyczyść pole Pokaż tylko parametry, które wymagają wprowadzenia lub przejrzenia , aby wyświetlić wszystkie pola:

   • Efekt: ustaw wartość Odmów.

     Uwaga

     Korzystając z opcji audytu, można skonfigurować zasady tak, aby rejestrowała informacje we własnym pulpicie zgodności przed jej wymuszeniem.

   • Dozwolone modele Wydawcy: wprowadź listę nazw wydawców w cudzysłowie rozdzielonych przecinkami. Oto przykład pokazujący, gdzie znaleźć nazwę wydawcy:

     1. Przejdź do katalogu modeli w portalu Foundry.

     2. Wybierz model (na przykład GPT-5).

     3. Nazwa wydawcy znajduje się na karcie modelu, jak pokazano na poniższym zrzucie ekranu. Na przykład w tym przypadku to OpenAI.

        

   • Dozwolone identyfikatory zasobów: wprowadź listę identyfikatorów zasobów modelu w cudzysłowie, rozdzielonych przecinkami.

     Aby uzyskać ciągi identyfikatora zasobu modelu i nazwy wydawców modelu, wykonaj następujące kroki:

     1. Przejdź do katalogu modeli.

     2. Aby zezwolić na każdy model, wybierz go, by zobaczyć szczegóły. W szczegółach modelu skopiuj wartość Identyfikator modelu . Na przykład wartość może wyglądać tak: azureml://registries/azure-openai/models/gpt-5.2/versions/1 dla modelu GPT-5.2.

        Ważne

        Każdy identyfikator zasobu jest dopasowywany na podstawie prefiksu. Identyfikator bez ukośnika końcowego jest również zgodny z innymi modelami, azureml://registries/azure-openai/models/gpt-5 których nazwy zaczynają się od tych samych znaków — na przykład pasuje do GPT-5, a także GPT-5.2 i GPT-5.4. Dodaj ukośnik końcowy (/), aby ograniczyć dopasowanie tylko do tego konkretnego modelu — na przykład azureml://registries/azure-openai/models/gpt-5/ pasuje tylko do GPT-5 (wszystkie jego wersje). Aby zezwolić tylko na jedną wersję, użyj pełnego identyfikatora zasobu, w tym wersji.

     3. Wybierz kartę Przeglądanie + tworzenie i sprawdź, czy przypisanie zasad jest poprawne. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz , aby przypisać zasady.

     4. Powiadom deweloperów, że polityka jest wprowadzona. Jeśli spróbują wdrożyć model, który nie znajduje się na liście dozwolonych modeli, zostanie wyświetlony komunikat o błędzie.

1. Zaloguj się i wybierz subskrypcję, w której chcesz pracować:

   az login
   az account set --subscription "<subscription-id>"
   

2. Znajdź identyfikator definicji zasad:

   az policy definition list \
      --query "[?displayName=='Foundry model deployments should meet eligibility requirements'].{name:name, id:id}" \
      --output table
   

3. Utwórz plik parametrów (na przykład — blokuj modele w wersji zapoznawczej, zezwalaj na dowolne źródło):

   {
      "effect": {
         "value": "Deny"
      },
      "onlyAllowDirectFromAzure": {
         "value": false
      },
      "denyPreviewModels": {
         "value": true
      }
   }
   

4. Przypisz zasady:

   az policy assignment create \
      --name "foundry-model-eligibility" \
      --display-name "Foundry model eligibility" \
      --scope "/subscriptions/<subscription-id>" \
      --policy "<policy-definition-id>" \
      --params @params.json
   

1. W portalu Azure wybierz pozycję Policy.

2. Wybierz pozycje Tworzenie>Definicje i wyszukaj Foundry model deployments should meet eligibility requirements.

3. Wybierz Przypisz.

4. Na karcie Podstawy ustaw Zakres (grupę zarządzania, subskrypcję lub grupę zasobów) oraz nazwę przypisania.

5. Na karcie Parametry wyczyść pole Pokaż tylko parametry, które wymagają wprowadzenia lub przejrzenia , aby wyświetlić wszystkie pola:

   • Efekt: ustaw na Odmowa, aby blokować niezgodne wdrożenia, lub Audyt, aby je rejestrować bez blokowania.
   • Zezwalaj tylko na modele bezpośrednio z platformy Azure: Ustaw na true, aby zablokować wdrażanie modeli, które nie pochodzą bezpośrednio z platformy Azure. Wartość domyślna to false.
   • Odmów wdrażania modeli w wersji zapoznawczej: Ustaw na true, aby odmówić wdrażania modeli, których status cyklu życia to wersja zapoznawcza. Wartość domyślna to false.

6. Wybierz pozycję Przejrzyj i utwórz, a następnie pozycję Utwórz, aby przypisać zasadę.