Controle de acesso baseado em funções para Microsoft Foundry

Neste artigo, aprende conceitos centrais de controlo de acesso baseado em papéis (RBAC) para o Microsoft Foundry, incluindo escopos, funções incorporadas e padrões comuns de atribuição empresarial.

Para mais informações sobre autenticação e autorização no Microsoft Foundry, consulte Autenticação e Autorização.

Atribuições mínimas de funções para começar

Para novos utilizadores no Azure e no Microsoft Foundry, comece com estas atribuições mínimas para que tanto o seu principal utilizador como a identidade gerida pelo projeto possam aceder às funcionalidades do Foundry.

Pode verificar as atribuições atuais usando Verifique o acesso de um utilizador a um único recurso Azure.

• Atribua o papel de Utilizador Foundry no seu recurso Foundry ao seu principal utilizador.

  Importante

  As funções RBAC do Foundry foram recentemente renomeadas. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager foram anteriormente nomeados Azure AI User, Azure AI Owner, Azure AI Account Owner e Azure AI Project Manager. Poderá ainda ver os nomes anteriores em alguns locais enquanto esta alteração de nome está a ser implementada. Os IDs das funções e as permissões principais não são alterados por esta mudança de nome.

• Atribua a função Utilizador Foundry no seu recurso Foundry à identidade gerida do seu projeto.

Se o utilizador que criou o projeto puder atribuir funções (por exemplo, tendo o papel de Proprietário do Azure no âmbito da subscrição ou do grupo de recursos), ambas as atribuições são adicionadas automaticamente quando o projeto é criado através da interface do portal Microsoft Foundry.

Para atribuir estes papéis manualmente, use os seguintes passos rápidos.

Atribui um papel ao teu utilizador principal

No portal Azure, abra o seu recurso Foundry e vá a Controlo de acesso (IAM). Crie uma atribuição de função para Foundry User, defina Membros como Utilizador, grupo ou principal de serviço, selecione o seu principal de utilizador e, em seguida, selecione Rever + atribuir.

Atribua um papel à identidade gerida do teu projeto

No portal Azure, abra o seu projeto Foundry e vá a Controlo de Acesso (IAM). Crie uma atribuição de função para Foundry User, defina Membros como identidade gerida, selecione a identidade gerida do seu projeto e, em seguida, selecione Rever + atribuir.

Terminologia para controlo de acesso baseado em funções na Foundry

Para compreender o controlo de acesso baseado em papéis no Microsoft Foundry, considere duas perguntas para a sua empresa.

• Que permissões quero que a minha equipa tenha ao construir no Microsoft Foundry?
• Em que âmbito quero atribuir permissões à minha equipa?

Para ajudar a responder a estas questões, aqui estão descrições de alguma terminologia utilizada ao longo deste artigo.

• Permissões: Ações permitidas ou recusadas que uma identidade pode realizar num recurso, como ler, escrever, eliminar ou gerir operações tanto no plano de controlo como nas operações do plano de dados.
• Scope: O conjunto de recursos Azure a que se aplica uma atribuição de funções. Os âmbitos típicos incluem subscrição, grupo de recursos, recurso do Foundry, projeto do Foundry ou um agente individual.
• Role: Um conjunto nomeado de permissões que define quais as ações que podem ser realizadas sobre Azure recursos num determinado âmbito.

Uma identidade recebe um papel com permissões específicas num âmbito selecionado, consoante os requisitos da sua empresa.

No Microsoft Foundry, tenha em consideração os seguintes âmbitos ao concluir as atribuições de funções.

• Foundry resource: O âmbito de topo que define o limite administrativo, de segurança e de monitorização para um ambiente Microsoft Foundry.
• Projeto Foundry: Um subâmbito dentro de um recurso Foundry usado para organizar o trabalho e impor controlo de acesso para APIs, ferramentas e fluxos de trabalho de programadores Foundry.
• Agente: Um âmbito mais restrito dentro de um projeto Foundry que se aplica a um agente individual. As atribuições de funções neste âmbito são atualmente avaliadas apenas para acesso ao endpoint do agente, pelo que use este âmbito para conceder acesso aos endpoints de um agente específico sem conceder acesso a todos os agentes do projeto. Para mais informações, consulte atribuições de funções ao nível do agente.

Funções incorporadas

Um papel incorporado no Foundry é um papel criado por Microsoft que cobre cenários de acesso comum que podes atribuir aos teus membros da equipa. Os principais papéis incorporados usados no Azure incluem Proprietário, Contribuidor e Leitor. Estas funções não são específicas das permissões de recursos da Foundry.

Para os recursos da Foundry, utilize funcionalidades incorporadas adicionais para seguir os princípios de acesso de privilégios mínimos. A tabela seguinte lista as principais funções incorporadas na Foundry e ligações para as definições exatas de funções em funções incorporadas de AI + Machine Learning.

Para mais informações sobre a atribuição de um papel a um agente individual, consulte Atribuições de funções com âmbito de agente.

Permissões para cada função incorporada

Use a tabela seguinte para ver as permissões permitidas para cada função incorporada no Microsoft Foundry.

Use a tabela seguinte para ver as permissões permitidas para cada função-chave incorporada no Azure (Proprietário, Contribuidor, Leitor).

Para publicar agentes, é necessária a função Foundry Project Manager (no mínimo) no âmbito do recurso Foundry. Para mais informações, consulte Aplicações de agentes na Microsoft Foundry.

Use estas abas para explorar as diferenças entre as funções incorporadas, atribuídas ao nível do recurso da Foundry (exceto o Proprietário, que é atribuído ao nível da assinatura)

Exemplos de mapeamentos RBAC corporativos para projetos

Aqui está um exemplo de como implementar controle de acesso baseado em funções (RBAC) para um recurso Foundry empresarial.

Gerir atribuições de funções

Para gerir funções no Foundry, deve ter permissão para atribuir e remover funções no Azure. A função incorporada do Azure Proprietário inclui essa permissão. Pode atribuir funções através do portal Foundry (painel de gestão), portal Azure IAM ou CLI do Azure. Pode remover funções usando o portal Azure IAM ou CLI do Azure.

az role assignment create --role "53ca6127-db72-4b80-b1b0-d745d6d5456d" --assignee "joe@contoso.com" --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/this-rg 

PROJECT_SCOPE="/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.CognitiveServices/accounts/<accountName>/projects/<projectName>"

az role assignment create \
    --assignee-object-id "<principalId>" \
    --assignee-principal-type ServicePrincipal \
    --role "eed3b665-ab3a-47b6-8f48-c9382fb1dad6" \
    --scope "$PROJECT_SCOPE"

Atribuições de funções ao nível do agente

Atribuir funções ao âmbito de um agente específico em vez de todo o projeto. Esta abordagem permite conceder acesso ao endpoint a um agente sem conceder acesso ao endpoint a todos os agentes do projeto. O URI de âmbito de um agente segue este padrão:

/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.CognitiveServices/accounts/<accountName>/projects/<projectName>/agents/<agentName>

Por exemplo, o comando seguinte atribui a função Foundry Agent Consumer (ID da definição da função eed3b665-ab3a-47b6-8f48-c9382fb1dad6) a um principal de serviço no âmbito de um agente específico.

AGENT_SCOPE="/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.CognitiveServices/accounts/<accountName>/projects/<projectName>/agents/<agentName>"

az role assignment create \
    --assignee-object-id "<principalId>" \
    --assignee-principal-type ServicePrincipal \
    --role "eed3b665-ab3a-47b6-8f48-c9382fb1dad6" \
    --scope "$AGENT_SCOPE"

Os mecanismos de atribuição de papéis para os escopos dos agentes seguem o mesmo modelo RBAC do Azure que as atribuições no escopo do projeto. Qualquer função que possa ser atribuída no âmbito do projeto também pode ser atribuída no âmbito do agente. No entanto, ao nível do agente, as atribuições de funções são atualmente avaliadas apenas para o acesso ao endpoint do agente e não concedem permissões mais amplas no plano de controlo ou de gestão.

Criar funções personalizadas para projetos

Se os papéis incorporados não cumprirem os requisitos da sua empresa, crie um papel personalizado que permita controlo preciso sobre as ações e os âmbitos permitidos. Aqui está um exemplo de definição de função personalizada ao nível de subscrição:

{
  "properties": {
    "roleName": "My Enterprise Foundry User",
    "description": "Custom role for Foundry at my enterprise to only allow building Agents. Assign at subscription level.",
    "assignableScopes": ["/subscriptions/<your-subscription-id>"],
    "permissions": [ { 
        "actions": ["Microsoft.CognitiveServices/*/read", "Microsoft.Authorization/*/read", "Microsoft.CognitiveServices/accounts/listkeys/action","Microsoft.Resources/deployments/*"], 
        "notActions": [], 
        "dataActions": ["Microsoft.CognitiveServices/accounts/AIServices/agents/*"], 
        "notDataActions": []     
    } ]
  }
}

Para mais informações sobre como criar um papel personalizado, consulte os seguintes artigos.

• Portal do Azure
• CLI do Azure
• Azure PowerShell
• Desativar as funcionalidades de pré-visualização no Microsoft Foundry. Este artigo fornece mais detalhes sobre permissões específicas no Foundry através do plano de controlo e de dados, que pode utilizar ao criar funções personalizadas.

Notas e limitações

• Para ver e eliminar contas Foundry eliminadas, precisa ter a função de Contribuidor atribuída no âmbito da subscrição.

• Utilizadores com o papel de Contribuinte podem implementar modelos no Foundry.

• É necessário ter a função de Proprietário no âmbito de um recurso para criar funções personalizadas no recurso.

• Se tiveres permissões para atribuir funções no Azure (por exemplo, o papel de Proprietário atribuído no âmbito da conta) ao teu utilizador principal, e implementares um recurso Foundry a partir do portal Azure ou da interface do portal Foundry, então o papel de Utilizador Foundry é automaticamente atribuído ao teu user principal. Esta atribuição não se aplica ao implementar o Foundry a partir de SDK ou CLI.

  Importante

  As funções RBAC do Foundry foram recentemente renomeadas. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager foram anteriormente nomeados Azure AI User, Azure AI Owner, Azure AI Account Owner e Azure AI Project Manager. Poderá ainda ver os nomes anteriores em alguns locais enquanto esta alteração de nome está a ser implementada. Os IDs das funções e as permissões principais não são alterados por esta mudança de nome.

• Quando cria um recurso Foundry, as permissões incorporadas de controlo de acesso baseado em funções (RBAC) dão-lhe acesso ao recurso. Para usar recursos criados fora do Foundry, certifique-se de que o recurso tem permissões que lhe permitem aceder a ele. Eis alguns exemplos:

  • Para usar uma nova conta de armazenamento Azure Blob, adicione a identidade gerida do recurso da conta Foundry à função Leitor de Dados Blob de Armazenamento nessa conta.
  • Para usar uma nova fonte do Pesquisa de IA do Azure, adicione o Foundry às atribuições de funções do Pesquisa de IA do Azure.

• Para afinar um modelo no Foundry, precisas de permissões tanto do plano de dados como do plano de controlo. A implementação de um modelo ajustado é uma permissão do plano de controlo. Portanto, a única função incorporada com permissões no plano de dados e no plano de controlo é a função Foundry Owner. Ou, se preferir, também pode atribuir a função Utilizador do Foundry para permissões do plano de dados e a função Proprietário da Conta do Foundry para permissões do plano de controlo.

Permissões específicas do tipo de implementação

As secções seguintes cobrem a superfície de permissões para tipos específicos de implantação. Use-as juntamente com as tabelas de funções incorporadas nas Permissões para cada função incorporada ao planear atribuições de funções para uma determinada carga de trabalho.

Operações gerenciadas no plano de controlo de computação

Implementações de computação gerida (Preview) são governadas pelo seu próprio conjunto de operações de fornecedores de recursos Azure sob o fornecedor Microsoft.CognitiveServices. Estas operações controlam quem pode criar, ler, atualizar e eliminar uma implementação de computação gerida, e quem pode ler a capacidade disponível do acelerador e a utilização de quotas para uma conta Foundry.

Esta secção lista as cinco operações obrigatórias do plano de controlo, as funções incorporadas que as atribuem e como o mapeamento entre funções e permissões difere das implementações padrão (pay-per-token e PTU).

Operações obrigatórias

São necessárias cinco operações para gerir totalmente implementações de computação gerida numa conta Foundry:

Mapeamento de funções para permissões

A tabela seguinte mostra quais as funções incorporadas que concedem cada uma das cinco operações geridas do plano de controlo da computação.

As funções incorporadas do Azure Proprietário e Contribuidor concedem as cinco operações através da respetiva permissão de ação universal na subscrição ou no grupo de recursos.

Comparação: implementações padrão vs implementações de computação gerida

A superfície de permissões do plano de controlo para implementações de computação gerida espelha a superfície para implementações padrão (pay-per-token e PTU); Os nomes das operações diferem apenas pelo segmento de tipo de recurso (deployments vs managedComputeDeployments, e modelCapacities vs managedComputeCapacities).

A tabela seguinte resume como a cobertura CRUD de cada função se compara entre as duas famílias de implantação:

Atribuições de funções recomendadas

Use os seguintes pontos de partida ao atribuir acesso para estas operações com computação gerida:

• Implementar e operar implementações de computação geridas: atribuir o Contribuidor de Serviços Cognitivos no âmbito da conta Foundry.
• Visualizador só de leitura para implementações e quota: atribua Utilizador de Serviços Cognitivos ou Utilizador do Foundry ao nível da conta Foundry.
• Gerir um projeto do Foundry, mas não implementar modelos: atribuir Foundry Project Manager ao nível da conta do Foundry. Project Managers podem ler implementações e quotas, mas não podem criá-las ou eliminá-las.
• Invoque uma implementação de computação gerida com o Microsoft Entra ID no momento da inferência: atribua Foundry User ao nível da conta do Foundry, além de qualquer função do plano de controlo de que o utilizador disponha (ou sem qualquer função do plano de controlo, no caso de utilizadores apenas para inferência).

Para o fluxo de trabalho de implementação de ponta a ponta, consulte Implementar modelos open-source com computação gerida.

Conteúdo relacionado

• Tarefas de função elevada no Microsoft Foundry — requisitos de função para todas as tarefas administrativas, incluindo atribuição de funções e infraestrutura de agentes.
• Cria um projeto.
• Verifique o acesso de um utilizador a um único recurso Azure.
• Autenticação e Autorização na Foundry.
• Desativar as funcionalidades de pré-visualização no Microsoft Foundry.
• Referência de permissões do agente hospedado.

Apêndice

Exemplos de Isolamento de Acesso

Cada organização pode ter requisitos diferentes de isolamento de acesso, dependendo das personas de utilizador na sua empresa. O isolamento de acesso refere-se a que utilizadores da sua empresa são atribuídos quais funções, quer para uma separação de permissões usando as nossas funções incorporadas ou para uma função unificada e altamente permissiva. Existem três opções de isolamento de acesso para a Foundry que pode selecionar para a sua organização, dependendo dos seus requisitos de isolamento de acesso.

Sem isolamento de acesso. Isto significa que, na sua empresa, não tem requisitos que separem permissões entre um programador, gestor de projeto ou administrador. As permissões para estes papéis podem ser atribuídas entre equipas.

Por isso, deves...

• Atribua a todos os utilizadores da sua organização a função Foundry Owner ao nível do âmbito do recurso

  Importante

  As funções RBAC do Foundry foram recentemente renomeadas. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager foram anteriormente nomeados Azure AI User, Azure AI Owner, Azure AI Account Owner e Azure AI Project Manager. Poderá ainda ver os nomes anteriores em alguns locais enquanto esta alteração de nome está a ser implementada. Os IDs das funções e as permissões principais não são alterados por esta mudança de nome.

Isolamento parcial de acesso. Isto significa que o gestor de projetos na sua empresa deve ser capaz de desenvolver dentro dos projetos, bem como criar projetos. Mas os teus administradores não deviam conseguir desenvolver dentro do Foundry, apenas criar projetos e contas no Foundry.

Por isso, deves...

• Conceda ao seu administrador o Proprietário da Conta Foundry no âmbito dos recursos
• Atribua ao seu programador e aos gestores de projeto a função de Foundry Project Manager no recurso

Isolamento total de acesso. Isto significa que os seus administradores, gestores de projeto e programadores têm permissões claras atribuídas que não se sobrepõem para as suas diferentes funções dentro de uma empresa.

Portanto, deves...

• Atribua ao seu administrador a função de Foundry Account Owner ao nível do recurso
• Atribua ao seu programador a função Leitor no âmbito do recurso Foundry e a função Utilizador do Foundry ao nível do projeto
• Atribua ao seu gestor de projeto a função de Foundry Project Manager no âmbito dos recursos
• Atribua aos seus agentes consumidores a função Consumidor de Agente do Foundry ao nível do projeto (ou ao nível do agente, para controlo por agente)

Utilize grupos Microsoft Entra com Foundry

O Microsoft Entra ID oferece várias formas de gerir o acesso a recursos, aplicações e tarefas. Ao usar grupos Microsoft Entra, pode conceder acesso e permissões a um grupo de utilizadores em vez de a cada utilizador individualmente. Os administradores de TI empresariais podem criar grupos Microsoft Entra no portal do Azure para simplificar o processo de atribuição de funções aos programadores. Ao criar um grupo Microsoft Entra, pode minimizar o número de atribuições de funções necessárias para novos programadores a trabalhar em projetos Foundry, atribuindo ao grupo a atribuição de funções necessária ao recurso necessário.

Complete os seguintes passos para utilizar grupos Microsoft Entra ID com o Foundry:

1. Crie um grupo Security em Groups no portal Azure.
2. Adicione um proprietário e os principais utilizadores na sua organização que necessitem de acesso partilhado.
3. Abra o recurso alvo e vá ao controlo de acesso (IAM).
4. Atribua o papel necessário a Utilizador, grupo ou principal de serviço, e selecione o novo grupo de segurança.
5. Selecione Revisar + atribuir para que a atribuição de funções se aplique a todos os membros do grupo.

Exemplos comuns:

• Para construir agentes, executar rastreios e usar as capacidades centrais do Foundry, atribui Foundry User ao grupo Microsoft Entra.
• Para permitir interagir com agentes sem acesso mais abrangente ao desenvolvimento, atribua Foundry Agent Consumer ao grupo do Microsoft Entra.
• Para utilizar as funcionalidades de Rastreio e Monitorização, atribua "Reader" no recurso Application Insights ligado ao mesmo grupo.

Para saber mais sobre os grupos, pré-requisitos e limitações do Microsoft Entra ID, consulte:

• Saiba mais sobre grupos, pertença a grupos e acesso em Microsoft Entra.
• Como gerir grupos em Microsoft Entra.