Adicionar um serviço de pesquisa a um perímetro de segurança da rede

Um perímetro de segurança de rede é um limite de rede lógica em torno de seus recursos paaS (plataforma como serviço) que você implanta fora de uma rede virtual. Ele estabelece um perímetro para controlar o acesso à rede pública a recursos como Pesquisa de IA do Azure , Armazenamento do Azure e Azure OpenAI em Microsoft Foundry Models.

Este artigo explica como associar um serviço do Pesquisa de IA do Azure  a um perímetro de segurança da rede para controlar o acesso à rede ao seu serviço de pesquisa. Ao ingressar em um perímetro de segurança da rede, é possível:

• Registrar todo o acesso ao serviço de pesquisa em contexto com outros recursos do Azure no mesmo perímetro.
• Bloquear qualquer exfiltração dos dados de um serviço de pesquisa para outros serviços fora do perímetro.
• Permita o acesso ao serviço de pesquisa usando os recursos de acesso de entrada e saída do perímetro de segurança de rede.

É possível adicionar um serviço de pesquisa a um perímetro de segurança da rede no portal do Azure, conforme descrito neste artigo. Como alternativa, use as APIs REST do Gerenciamento de Pesquisa para exibir e sincronizar as configurações.

Pré-requisitos

• Um perímetro de segurança da rede existente. É possível criar um para associar ao seu serviço de pesquisa.

• Pesquisa de IA do Azure, qualquer camada faturável em qualquer região.

• Atribuições de função do Azure: Colaborador de Perímetro de Segurança de Rede no perímetro (ou no grupo de recursos ou na assinatura dele) para criar e gerenciar o perímetro, os perfis, as regras de acesso e as associações. Colaborador do serviço Pesquisa (ou Colaborador) no serviço Pesquisa para vinculá-lo a um perímetro. Para obter mais informações, consulte o que é um perímetro de segurança de rede?.

• Se você planeja usar indexadores, configure o serviço de pesquisa com uma identidade gerenciada atribuída pelo sistema ou pelo usuário e atribua à identidade uma função de plano de dados apropriada em cada fonte de dados.

Limitações

• Atualmente, as fontes de dados do indexador com suporte estão limitadas ao Armazenamento de Blobs do Azure, ao Azure Cosmos DB for NoSQL e ao Banco de Dados SQL do Azure.

• As conexões do indexador com Azure PaaS para recuperação de dados são o principal caso de uso intra-perímetro. Para outro tráfego, configure regras de entrada e saída. Para chamadas de saída para recursos do Microsoft Foundry, consulte Acesso de saída aos recursos do Microsoft Foundry. O link privado compartilhado é uma alternativa para tipos de recursos específicos.

Acesso de saída aos recursos do Microsoft Foundry

Um perímetro de segurança de rede que inclui o serviço de pesquisa e um recurso Microsoft Foundry fornece um canal privado para chamadas de saída entre eles. Como o perímetro opera nas camadas de recurso e de rede, cada funcionalidade do serviço de pesquisa que chama o recurso do Foundry usa o mesmo caminho permitido, incluindo:

• Todas as habilidades que chamam um recurso do Foundry, como a habilidade de incorporações do OpenAI do Azure, habilidade de prompt do GenAI, habilidade de Compreensão de Conteúdo e outras habilidades de recurso do Foundry para enriquecimento de IA e cobrança.

• O vetorizador do Azure OpenAI em tempo de consulta durante a vetorização integrada.

• Chamadas de recuperação por meio de agentes de um agente de conhecimento para uma implantação de um modelo do Foundry.

Para habilitar o canal privado:

1. Adicione seu serviço de pesquisa e o recurso Foundry ao mesmo perímetro de segurança de rede ou a perímetros que permitem a comunicação entre eles.

2. Se ambos os recursos estiverem no mesmo perímetro e o serviço Pesquisa se autenticar no recurso do Foundry usando uma identidade gerenciada, você não precisará adicionar uma regra de saída. O tráfego intra-perímetro é permitido implicitamente. Se os recursos estiverem em perímetros diferentes, ou se o serviço de pesquisa usar autenticação com chaves de API, adicione uma regra de acesso de saída por FQDN no perímetro associado ao serviço de pesquisa, direcionada ao nome do host do recurso Foundry. Para obter orientações sobre a parte do Foundry na configuração, consulte Adicionar o Microsoft Foundry a um perímetro de segurança de rede.

3. Validar o acesso em dois estágios:

   1. Com o perímetro em modo de aprendizado, execute um conjunto de habilidades, uma consulta ao vetorizador ou uma chamada de recuperação por meio de agentes que invoque o recurso Foundry. Examine os logs de perímetro para confirmar o caminho de acesso esperado.

   2. Alterne para o modo imposto e execute novamente a mesma operação. Confirme o êxito no histórico de execução do indexador e nos logs de autorização de saída do perímetro.

O suporte de NSP (perímetro de segurança de rede) para recursos de Microsoft.CognitiveServices do tipo AIServices (Microsoft Foundry) está geralmente disponível. O suporte de NSP para recursos do tipo OpenAI (Serviço OpenAI do Azure) está em versão prévia pública. Para obter a lista de suporte atual, consulte Recursos de link privado integrados.

O link privado compartilhado para o recurso Foundry permanece com suporte como alternativa.

Atribuir um serviço de pesquisa a um perímetro de segurança da rede

Associe seu serviço de pesquisa a um perímetro para que todo o tráfego de indexação e consulta seja regido pelas regras de perímetro.

1. No portal do Azure, localize o serviço de perímetro de segurança de rede para sua assinatura.

2. No painel esquerdo, selecione Configurações associadas>aos recursos.

   

3. Selecione Adicionar>Associar recursos a um perfil existente.

   Captura de tela do botão de recurso de associação de perímetro de segurança da rede.

4. Selecione o perfil que você criou ao criar o perímetro de segurança da rede para Perfil.

5. Selecione Adicionar e selecione seu serviço de pesquisa.

   

6. Selecione Associar no canto inferior esquerdo para criar a associação.

Remover um serviço de busca do perímetro de segurança da rede

Para desassociar um serviço de pesquisa de um perímetro:

1. Acesse o recurso de perímetro de segurança de rede no portal do Azure.

2. No painel esquerdo, selecione Configurações associadas>aos recursos.

3. Localize o serviço de pesquisa na tabela, selecione os três pontos no final da linha e selecione Remover associação.

4. Confirme a remoção. Depois que a associação é removida, as regras de perímetro não se aplicam mais ao serviço de pesquisa e a publicNetworkAccess configuração no serviço de pesquisa controla novamente o tráfego de entrada.

Modos de acesso ao perímetro de segurança de rede

O perímetro de segurança da rede dá suporte a dois modos de acesso diferentes para recursos associados:

Configurações de rede de perímetro de segurança da rede e de serviço de pesquisa

A configuração publicNetworkAccess determina a associação do serviço de pesquisa com um perímetro de segurança da rede.

• No modo de aprendizado, a configuração publicNetworkAccess controla o acesso público ao recurso.

• No modo imposto, as regras de perímetro de segurança de rede substituem a definição publicNetworkAccess. Por exemplo, se um serviço de pesquisa com uma configuração publicNetworkAccess estivesse associado a um perímetro de segurança de rede enabled no modo imposto, o acesso ao serviço de pesquisa ainda seria controlado pelas regras de acesso do perímetro de segurança de rede.

Alterar o modo de acesso do perímetro de segurança da rede

1. Acesse o recurso de perímetro de segurança de rede no portal do Azure.

2. No painel esquerdo, selecione Configurações associadas>aos recursos.

   

3. Localize o serviço de pesquisa na tabela.

4. Selecione os três pontos no final da linha e selecione Alterar o modo de acesso.

   

5. Selecione o modo de acesso desejado e selecione Aplicar.

   

Habilitar o registro em log do acesso à rede

1. Acesse o recurso de perímetro de segurança de rede no portal do Azure.

2. No painel esquerdo, selecione Monitoramento>Configurações de Diagnóstico.

   

3. Selecione Adicionar configuração de diagnóstico.

4. Insira qualquer nome, como diagnostic, para o nome da configuração de diagnóstico.

5. Em Logs, selecione allLogs. allLogs garante que todo o acesso de rede de entrada e saída aos recursos em seu perímetro de segurança da rede seja registrado.

6. Em Detalhes de destino, selecione Arquivar em uma conta de armazenamento ou Enviar para o workspace do Log Analytics. A conta de armazenamento deve estar na mesma região que o perímetro de segurança da rede. Você pode usar uma conta de armazenamento existente ou criar uma nova. Um workspace do Log Analytics pode estar em uma região diferente da usada pelo perímetro de segurança da rede. Você também pode selecionar qualquer um dos outros destinos aplicáveis.

   

7. Selecione Salvar para criar a configuração de diagnóstico e iniciar o registro em log de acesso à rede.

8. Para verificar se o log está ativo, gere tráfego para o serviço de pesquisa (por exemplo, execute uma consulta). Em cerca de 10 minutos, consulte a tabela NSPAccessLogs no Log Analytics ou verifique o contêiner insights-logs-* correspondente na conta de armazenamento.

Ler logs de acesso à rede

Os logs de perímetro de segurança de rede são entregues aos destinos selecionados nas configurações de diagnóstico. Os destinos mais comuns são um workspace do Log Analytics e uma conta de armazenamento.

espaço de trabalho do Log Analytics

A NSPAccessLogs tabela contém todos os logs para cada categoria de log, como NspPublicInboundPerimeterRulesAllowed. Cada log contém um registro do acesso à rede do perímetro de segurança da rede que corresponde à categoria do log.

Aqui está um exemplo do formato de log NspPublicInboundPerimeterRulesAllowed:

Conta de armazenamento

A conta de armazenamento tem contêineres para cada categoria de log, como insights-logs-nsppublicinboundperimeterrulesallowed. A estrutura da pasta dentro do contêiner corresponde à ID do recurso do perímetro de segurança da rede e ao tempo em que os logs foram obtidos. Cada linha no arquivo de log JSON contém um registro do acesso à rede de perímetro de segurança da rede que corresponde à categoria de log.

Por exemplo, as regras de perímetro de entrada permitidas no log de categorias usam o seguinte formato:

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

Adicionar uma regra de acesso ao serviço de pesquisa

Um perfil de perímetro de segurança da rede especifica regras que permitem ou negam acesso por meio do perímetro.

Dentro do perímetro, todos os recursos têm acesso mútuo no nível da rede. Você ainda deve configurar a autenticação e a autorização, mas, no nível da rede, as solicitações de conexão de dentro do perímetro são aceitas.

Para recursos fora do perímetro de segurança da rede, você deve especificar regras de acesso de entrada e saída. As regras de entrada especificam quais conexões permitir e as regras de saída especificam quais solicitações são permitidas.

Um serviço de pesquisa aceita solicitações de entrada de aplicativos como o Microsoft portal do Foundry e qualquer aplicativo que envie solicitações de indexação ou consulta. Um serviço de pesquisa envia solicitações de saída durante a indexação baseada em indexador e a execução do conjunto de habilidades. Esta seção explica como configurar regras de acesso de entrada e saída para cenários da Pesquisa de IA do Azure.

Adicionar uma regra de acesso de entrada

As regras de acesso de entrada podem permitir que a Internet e os recursos fora do perímetro se conectem com recursos dentro do perímetro.

O perímetro de segurança da rede dá suporte a dois tipos de regras de acesso de entrada:

• Intervalos de endereços IP. Intervalos ou endereços IP devem estar no formato CIDR (roteamento entre domínios sem classe). Um exemplo de notação CIDR é 192.0.2.0/24, que representa os IPs que variam de 192.0.2.0 a 192.0.2.255. Esse tipo de regra permite solicitações de entrada de qualquer endereço IP dentro do intervalo.

• Assinaturas. Esse tipo de regra permite o acesso de entrada autenticado usando qualquer identidade gerenciada da assinatura. A regra controla apenas a rota de rede; o chamador ainda precisa de uma atribuição de função do Azure RBAC no serviço de busca.

Para adicionar uma regra de acesso de entrada no portal do Azure:

1. Acesse o recurso de perímetro de segurança de rede no portal do Azure.

2. No painel esquerdo, selecionePerfis de >.

   

3. Selecione o perfil que você está usando com o perímetro de segurança de rede.

   

4. No painel esquerdo, selecione Configurações>Regras de acesso de entrada.

   

5. Selecione Adicionar.

   

6. Digite ou selecione os valores a seguir:

   Configuração	Valor
   Nome da regra	O nome da regra de acesso de entrada, como MyInboundAccessRule.
   Tipo de origem	Os valores válidos são intervalos de endereços IP ou Assinaturas.
   Fontes permitidas	Se você selecionou intervalos de endereços IP, insira o intervalo de endereços IP no formato CIDR do qual deseja permitir o acesso de entrada. Baixe o arquivo de Intervalos de IP e Marcas de Serviço do Azure. Se você selecionou Assinaturas, use a assinatura para a qual deseja permitir o acesso de entrada.

7. Selecione Adicionar para criar a regra de acesso de entrada.

   

8. Para verificar a regra, alterne a associação para o modo imposto em um perfil de teste. Confirme se as solicitações que correspondem aparecem na categoria de log NspPublicInboundPerimeterRulesAllowed e se as solicitações que não correspondem aparecem na categoria NspPublicInboundPerimeterRulesDenied.

Adicionar uma regra de acesso de saída

Um serviço de pesquisa faz chamadas de saída durante a indexação baseada em indexador e a execução do conjunto de habilidades. Se as fontes de dados do indexador, um recurso do Microsoft Foundry anexado para habilidades de cobrança do Foundry Tools ou a lógica de habilidade personalizada estiverem fora do perímetro de segurança da rede, crie uma regra de acesso de saída que permita que seu serviço de busca estabeleça a conexão.

Dentro do perímetro de segurança, os indexadores podem se conectar a Armazenamento de Blobs do Azure, Azure Cosmos DB para NoSQL e Banco de Dados SQL do Azure. Se os indexadores usarem outras fontes de dados, você precisará de uma regra de acesso de saída para dar suporte a essa conexão.

O perímetro de segurança de rede dá suporte a regras de acesso de saída com base no FQDN (Nome de Domínio Totalmente Qualificado) do destino. Por exemplo, você pode permitir o acesso de saída de qualquer serviço associado ao perímetro de segurança da rede para um FQDN, como mystorageaccount.blob.core.windows.net.

Para adicionar uma regra de acesso de saída no portal do Azure:

1. Acesse o recurso de perímetro de segurança de rede no portal do Azure.

2. No painel esquerdo, selecionePerfis de >.

   

3. Selecione o perfil que você está usando com o perímetro de segurança de rede.

   

4. No painel esquerdo, selecione Configurações>regras de acesso de saída.

   

5. Selecione Adicionar.

   

6. Digite ou selecione os valores a seguir:

   Configuração	Valor
   Nome da regra	O nome da regra de acesso de saída, como MyOutboundAccessRule.
   Tipo de destino	Deixe como FQDN.
   Destinos permitidos	Insira uma lista separada por vírgulas de FQDNs aos quais você deseja permitir o acesso de saída.

7. Selecione Adicionar para criar a regra de acesso de saída.

   

8. Para verificar a regra, alterne a associação para o modo imposto em um perfil de teste. Confirme se as solicitações de saída correspondentes aparecem na NspPublicOutboundPerimeterRulesAllowed categoria de log.

Testar sua conexão por meio do perímetro de segurança da rede

Para testar sua conexão por meio do perímetro de segurança de rede, você precisa de acesso a um navegador da Web, em um computador local com uma conexão com a Internet ou uma VM do Azure.

1. Altere sua associação de perímetro de segurança da rede para o modo imposto para começar a impor requisitos de perímetro de segurança da rede para acesso à rede ao serviço de pesquisa.

2. Selecione um cliente:

   1. Para um computador local, obtenha seu endereço IP público.

   2. Para uma VM do Azure, use private link ou localize o endereço IP no portal do Azure.

3. Crie uma regra de acesso de entrada para esse endereço IP para permitir o acesso.

4. No portal Azure, abra o serviço de pesquisa e exiba seus índices.

   • Sucesso esperado: A lista de índices é carregada e você pode executar uma consulta de teste. A regra de IP de entrada está funcionando.

   • Se você vir um erro 403 ou "O acesso à rede pública está desabilitado": o IP do cliente ou o portal de Azure não estiver coberto por uma regra de entrada. Verifique as regras de acesso de entrada.

Solucionar problemas comuns

Exibir e gerenciar a configuração de perímetro de segurança da rede

Use as APIs REST de Configuração de Perímetro de Segurança de Rede para examinar e reconciliar as configurações de perímetro em um serviço Pesquisa.

Por exemplo, liste as configurações de perímetro atuais em um serviço de pesquisa:

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

Se a configuração estiver fora de sincronia com o perímetro, dispare uma reconciliação:

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

Use a versão estável mais recente das APIs REST do Gerenciamento de Pesquisa. Para obter mais informações, consulte Gerenciar seu serviço do Pesquisa de IA do Azure  usando APIs REST.

Conteúdo relacionado

• Conceitos de perímetro de segurança de rede
• Configure um serviço de pesquisa para se conectar usando uma identidade gerenciada
• Faça conexões de saída por meio de um link privado compartilhado
• Adicionar Microsoft Foundry a um perímetro de segurança de rede