Uppgifter med förhöjd roll i Microsoft Foundry

Utvecklare som har rollen Foundry-användare i Foundry-resursen eller projektomfånget kan skapa agenter, köra slutsatsdragningar och använda de flesta Foundry-funktioner. Många administrativa uppgifter kräver dock utökade roller, till exempel Ägare, Deltagare, Foundry-kontoägare eller andra specialiserade roller.

Den här artikeln förklarar vilka upphöjda roller som behövs för varje område för Foundry-administration, varför dessa roller krävs och länkar till de detaljerade procedurerna. Använd det som referens när utvecklare får behörighetsfel eller när du planerar rolltilldelningar för en ny miljö.

Bakgrund om rolldefinitioner för Foundry finns i Rollbaserad åtkomstkontroll för Microsoft Foundry.

Viktiga begrepp

• Kontrollplan – Åtgärder som hanterar Azure resurser (skapa, ta bort, konfigurera). Styrs av Azure RBAC-roller som Ägare och Deltagare.
• Dataplan – åtgärder som använder en resurss körningsfunktioner (läsblobar, frågeindex). Styrs av dataroller som Storage Blob Data Contributor.
• Hanterad identitet – en automatiskt hanterad Microsoft Entra identitet som autentiserar till att säkerhetskopiera resurser utan lagrade autentiseringsuppgifter. I Foundry är den projekthanterade identiteten den identitet som ditt projekt använder vid körning. Vissa installationer förlitar sig också på den delade identiteten på kontonivå för resursåtkomst. Använd identitetsnamnet som matchar ditt scenario i stället för att behandla de två termerna som utbytbara.
• Foundry-resurs – den Azure resurs (av typen Microsoft.CognitiveServices/accounts) som är värd för dina Foundry-projekt.
• Omfång – den nivå där en rolltilldelning gäller: prenumeration, resursgrupp, resurs eller projekt. Roller som tilldelats på en högre omfattning ärvs nedåt.

Översikt över miljökonfiguration

När du etablerar en ny Foundry-miljö följer uppgifterna den här allmänna ordningen:

1. Skapa en Foundry-resurs – krävs före alla andra aktiviteter.
2. Skapa ett eller flera projekt – Agenter, modeller och anslutningar finns i projekt.
3. Tilldela roller till utvecklare – Utvecklare behöver Foundry-användare för allmän åtkomst. Modelldistribution kräver en separat roll.
4. Driftsätt modeller — Kräver Foundry-kontoägare.
5. Konfigurera agentinfrastruktur (om det behövs).
6. Konfigurera nätverk (om det behövs).
7. Konfigurera skyddsräcken och principer.
8. Aktivera övervakning.

I de återstående avsnitten förklaras rollkraven för varje område. En sammanfattning av alla upphöjda roller finns i Snabbreferens: rollsammanfattning.

Skapa och konfigurera Foundry-resurser

För att skapa Foundry-resurser och -projekt krävs behörigheter på kontrollplan som utvecklare vanligtvis inte har. Dessa åtgärder ändrar Azure Resource Manager objekt, så de behöver roller som Deltagare eller Foundry-kontoägare på prenumerations- eller resursgruppsnivå.

Stegvisa instruktioner med hjälp av Azure CLI, Bicep eller portalen finns i Skapa din första resurs och Skapa och hantera projekt.

Tilldela roller till gruppmedlemmar

Om du vill tilldela valfri roll till en användare behöver du rollen Ägare eller Administratör för användaråtkomst i målomfånget. Rollerna Foundry-kontoägare och Foundry-projektledare kan endast tilldela rollen Foundry-användare under vissa villkor.

Omfångsöverväganden

• Tilldela rollen Foundry-användare i resursomfånget Foundry för att bevilja åtkomst till alla projekt i resursen.
• Tilldela på projektnivå för att begränsa åtkomsten till ett enskilt projekt.
• För organisationer som använder Microsoft Entra Privileged Identity Management (PIM) bör du överväga att göra utökade rolltilldelningar berättigade i stället för permanenta. Berättigade tilldelningar kräver just-in-time-aktivering, vilket minskar exponeringen av stående privilegier.

Stegvisa rolltilldelningsprocedurer finns i Rollbaserad åtkomstkontroll för Microsoft Foundry och Tilldela Azure roller.

Konfigurera agentinfrastruktur

Agentkonfiguration är det mest behörighetsintensiva området i Foundry. Vilka roller som krävs beror på vilket konfigurationsalternativ du väljer.

Granska underavsnittet som matchar konfigurationsalternativet. Hoppa över de andra. Du kan gå tillbaka till dem senare om dina krav ändras.

Standardagentkonfiguration

Standardagentkonfiguration kräver att du etablerar och hanterar dina egna Azure Cosmos DB, Azure AI-sökning och Azure Storage resurser. Den här metoden ger dig fullständig kontroll över datahemvist men kräver att du tilldelar dataplansroller till projektets hanterade identitet för varje underliggande resurs.

Tilldela följande dataplansroller till den hanterade identiteten för Foundry-projektet på de underliggande resurserna:

För den fullständiga etableringsprocessen och Bicep-mallar, se Standardkonfiguration av agent.

Konfiguration av värdbaserad agent

Konfiguration av värdagent är fortfarande det snabbaste sättet att få infrastruktur för agentkörning på plats, men det finns uttryckliga krav på resurser och RBAC. Utöver ditt Foundry-konto och projekt planerar du för Azure Container Registry (ACR), Application Insights och en länkad Log Analytics arbetsyta.

Detaljerade anvisningar om värdbaserade agentbehörigheter finns i Referens för värdbaserade agentbehörigheter.

Stegvisa instruktioner finns i Distribuera en värdbaserad agent.

Ta med egna resurser

Använd det här alternativet när du redan har Azure Cosmos DB-, AI-söknings- eller lagringsresurser med specifika efterlevnadskrav. Du kopplar befintliga resurser till ett Foundry-projekt och tilldelar nödvändiga dataplansroller till den projekthanterade identiteten.

Detaljerade anvisningar finns i Använda egna Azure resurser.

Agentverktyg med förhöjda krav

Flera agentverktyg kräver Contributor eller högre för att etablera eller konfigurera sina underliggande resurser.

Infrastrukturverktyg

Integrationsverktyg

Publicera agenter

Publicering befordrar en agent från en utvecklingstillgång i ett Foundry-projekt till en hanterad agentprogramresurs med en stabil slutpunkt. För att publicera en agent behöver du rollen Foundry Project Manager i foundry-resursomfånget.

Agentpubliceringsupplevelsen ändras. Rollkraven i det här avsnittet gäller för publiceringsmodellen för agentprogram. Information om vilka ändringar som gjorts i den nyare agentobjektmodellen finns i Migrera från agentprogram till den nya agentslutpunkten och publiceringsupplevelsen.

Distribuera och hantera modeller

För att distribuera en modell behöver du rollen Foundry-kontoägare på Foundry-resursen. Vissa scenarier, till exempel marketplace-modeller eller etablerat dataflöde, kräver högre roller. I följande tabell visas alla modellrelaterade uppgifter och deras rollkrav.

Distributioner av Marketplace-modell kräver åtkomst på prenumerationsnivå eftersom de skapar faktureringsavtal. Finjustering kräver Foundry Owner eftersom detta skapar träningsjobb som förbrukar beräknings- och lagringsresurser. Innan du distribuerar en modell kontrollerar du att din prenumeration har tillräcklig kvot för målmodellen och regionen – se Hantera kvoter.

Stegvisa distributionsinstruktioner finns i Skapa modelldistributioner.

Konfigurera säkerhet och nätverk

Nätverks- och krypteringskonfigurationer kräver utökade roller på flera resurser. Dessa konfigurationer omfattar Foundry-resursen, virtuella nätverk, DNS-zoner och Key Vault, så du behöver vanligtvis flera roller.

Privata slutpunkter

Privata slutpunkter begränsar åtkomsten till din Foundry-resurs till trafik från specifika virtuella nätverk. För att konfigurera en privat slutpunkt krävs roller på tre olika resurser.

Stegvisa instruktioner finns i Konfigurera privat länk.

Hanterade virtuella nätverk

Ett hanterat virtuellt nätverk isolerar Foundry-resurser bakom ett Foundry-hanterat nätverk. Den här konfigurationen förenklar nätverkskonfigurationen jämfört med att ta med ditt eget virtuella nätverk.

Nätverkssäkerhetsperimeter

En nätverkssäkerhetsperimeter ger ett centraliserat sätt att hantera nätverksåtkomst över flera Azure resurser. Lägg till din Foundry-resurs i en befintlig perimeter för att framtvinga konsekventa nätverksregler.

Kundstyrda nycklar

Genom att använda kundhanterade nycklar (CMK) kan du kryptera Foundry-data med nycklar som du styr i Azure Key Vault. CMK kräver roller på både Key Vault och Foundry-resursen eftersom du ger den hanterade identiteten åtkomst till din nyckel och sedan konfigurerar resursen att använda den.

Fullständig procedur finns i Konfigurera kundhanterade nycklar.

Key Vault anslutningar

Med en Key Vault anslutning kan Foundry-projekt komma åt hemligheter, certifikat och nycklar som lagras i Azure Key Vault utan att bädda in autentiseringsuppgifter i kod. Skapa en anslutning när dina agenter eller distribuerade modeller behöver hämta API-nycklar eller certifikat vid körning.

Konfigurera skyddsräcken och principer

Konfigurera skyddsräcken och Azure Policy tilldelningar för att begränsa vilka modeller, verktyg och konfigurationer som är tillgängliga i din Foundry-miljö. Du behöver roller på administratörsnivå för att slutföra dessa uppgifter eftersom de tillämpar styrningsgränser över alla utvecklare i en prenumeration eller resursgrupp.

En genomgång av hur du skapar ditt första skyddsräcke finns i Skapa skyddsräcken. Information om principer för modelldistribution finns i Modelldistributionsprincip.

Hantera efterlevnad och övervakning

Efterlevnads- och övervakningsuppgifter omfattar Azure RBAC-roller och Microsoft Entra katalogroller. Det är viktigt att förstå skillnaden – du tilldelar katalogroller i Microsoft Entra administrationscenter, inte i Azure-portalens blad Åtkomstkontroll (IAM).

Stegvisa övervakningsinställningar finns i Övervaka modeller och Ramverk för spårningsagenter.

Konfigurera lagrings- och dataplansåtkomst

Foundry-agenter, utvärderingar och flera verktyg kräver dataplansroller för lagrings- och sökresurser. Tilldela dessa roller till Foundry-projektets hanterade identitet – inte till mänskliga användare – så att tjänsten kan komma åt underliggande resurser under körning.

Följande tabell innehåller en tilldelad kolumn eftersom dessa roller gäller för hanterade identiteter i stället för för mänskliga användare.

Konfigurera haveriberedskap

Haveriåterställning för Foundry omfattar två scenarier: redundansväxling för själva Foundry-resursen (hög tillgänglighet) och redundansväxling för agentens underliggande resurser. Agenttjänstens DR är särskilt rollintensiv eftersom den kräver åtkomst till Cosmos DB, AI Search och Storage utöver Foundry-resursen.

Detaljerade DR-procedurer finns i Hög tillgänglighet och återhämtning och Haveriberedskap för agenttjänsten.

Konfigurera anslutningar och integreringar

Foundry integreras med API Management, MCP-servrar och externa tjänster. De flesta integreringsuppgifter kräver minst Deltagare eftersom de skapar eller ändrar Azure resurser. För att länka Foundry till en AI-gateway krävs rollen Foundry-kontoägare eftersom det ändrar kontots konfiguration.

Snabbreferens: rollsammanfattning

I följande tabell sammanfattas de primära upphöjda rollerna och när administratörer behöver dem. Använd den för att snabbt identifiera vilken roll som ska tilldelas för en viss aktivitetskategori.

Felsöka vanliga behörighetsfel

När utvecklare får behörighetsfel använder du uppgiftstabellerna i den här artikeln för att identifiera den roll som krävs. I följande tabell mappas vanliga felmeddelanden till sannolika orsaker och lösningar.

Relaterat innehåll

• Rollbaserad åtkomstkontroll för Microsoft Foundry
• Autentisering och auktorisering
• Planera distribution
• Tilldela Azure-roller
• Hantera efterlevnad och säkerhet
• Styra agentinfrastruktur som Entra-administratör
• Hantera kvoter
• Övervaka modeller
• Konfigurera dina agentresurser
• Konfigurera privat länk
• Felsöka Azure RBAC