Sichere Verwendung Ihrer Daten mit dem Playground des Azure KI Foundry-Portals

In diesem Artikel erfahren Sie, wie Sie den Chat-Playground in Azure KI Foundry sicher für Ihre Daten verwenden. In den folgenden Abschnitten wird die empfohlene Konfiguration zum Schützen Ihrer Daten und Ressourcen mit der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) von Microsoft Entra ID, einem verwalteten Netzwerk und privaten Endpunkten beschrieben. Es wird empfohlen, den öffentlichen Netzwerkzugriff für Azure OpenAI-Ressourcen, Azure KI-Suche-Ressourcen und Speicherkonten zu deaktivieren. Die Verwendung ausgewählter Netzwerke mit IP-Regeln wird nicht unterstützt, da die IP-Adressen der Dienste dynamisch sind.

Die folgende Tabelle enthält eine Zusammenfassung der Änderungen, die in diesem Artikel vorgenommen werden:

Voraussetzungen

Stellen Sie sicher, dass der Azure KI Foundry-Hub mit der Einstellung Identitätsbasierter Zugriff für das Storage-Konto bereitgestellt wird. Diese Konfiguration ist für die korrekte Zugriffssteuerung und die Sicherheit Ihres Azure KI Foundry-Hubs erforderlich. Sie können diese Konfiguration mit einer der folgenden Methoden überprüfen:

• Wählen Sie im Azure-Portal den Hub und dann Einstellungen, Eigenschaften und Optionen aus. Überprüfen Sie unten auf der Seite, ob Speicherkonto-Zugriffstyp auf Identitätsbasierter Zugriff festgelegt ist.
• Wenn Sie die Bereitstellung mit Azure Resource Manager (ARM)- oder Bicep-Vorlagen vornehmen, fügen Sie die systemDatastoresAuthMode: 'identity'-Eigenschaft in Ihre Bereitstellungsvorlage ein.
• Sie müssen mit der rollenbasierten Zugriffssteuerung von Microsoft Entra ID vertraut sein, um Ressourcen und Benutzern Rollen zuzuweisen. Weitere Informationen finden Sie in dem Artikel Rollenbasierte Zugriffssteuerung.

Konfigurieren des Azure KI Foundry-Hubs mit Netzwerkisolation

Wenn Sie einen neuen Azure KI Foundry-Hub erstellen, gehen Sie wie in einem der folgenden Dokumente beschrieben vor, um einen Hub mit Netzwerkisolation zu erstellen:

• Erstellen eines sicheren Azure KI Foundry-Hubs im Azure-Portal
• Erstellen eines sicheren Azure KI Foundry-Hubs mit dem Python SDK oder der Azure CLI

Wenn Sie über einen vorhandenen Azure KI Foundry-Hub verfügen, der nicht für die Verwendung eines verwalteten Netzwerks konfiguriert ist, führen Sie die folgenden Schritte aus, um ihn zur Verwendung eines verwalteten Netzwerks zu konfigurieren:

1. Wählen Sie im Azure-Portal den Hub und dann Einstellungen, Netzwerk und Öffentlicher Zugriff aus.

2. Legen Sie zum Deaktivieren des öffentlichen Netzwerkzugriffs die Option Öffentlicher Netzwerkzugriff auf Deaktiviert fest. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

   

3. Wählen Sie Vom Arbeitsbereich verwalteter ausgehender Zugriff und dann den Netzwerkisolationsmodus Ausgehenden Internetdatenverkehr zulassen oder Nur genehmigten ausgehenden Datenverkehr zulassen aus. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

   

Konfigurieren der Azure KI Services-Ressource

Je nach Konfiguration können Sie eine Azure KI Services-Ressource, die auch Azure OpenAI enthält, oder eine eigenständige Azure OpenAI-Ressource verwenden. Mit den Schritten in diesem Abschnitt wird eine KI Services-Ressource konfiguriert. Die gleichen Schritte gelten für eine Azure OpenAI-Ressource.

1. Falls Sie nicht über eine vorhandene Azure KI Services-Ressource für Ihren Azure KI Foundry-Hub verfügen, erstellen Sie eine.

2. Wählen Sie im Azure-Portal die KI Services-Ressource und dann „Ressourcenverwaltung“, Identität und Systemseitig zugewiesen aus.

3. Um eine verwaltete Identität für die KI Services-Ressource zu erstellen, legen Sie den Status auf Ein fest. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

   

4. Um den öffentlichen Netzwerkzugriff zu deaktivieren, wählen Sie Netzwerk und dann Firewalls und virtuelle Netzwerke aus, und legen Sie Zugriff zulassen über auf Deaktiviert fest. Vergewissern Sie sich, dass unter Ausnahmen die Option Azure-Diensten in der Liste vertrauenswürdiger Dienste den Zugriff auf dieses Cognitive Services-Konto erlauben ausgewählt ist. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

   

5. Um einen privaten Endpunkt für die KI -Services-Ressource zu erstellen, wählen Sie Netzwerk, Verbindungen mit privatem Endpunkt und dann + Privater Endpunkt aus. Dieser private Endpunkt wird verwendet, um Clients in Ihrem virtuellen Azure-Netzwerk die sichere Kommunikation mit der KI Services-Ressource zu ermöglichen. Weitere Informationen zur Verwendung von privaten Endpunkten mit Azure KI Services finden Sie im Artikel Verwenden privater Endpunkte.

   

   1. Geben Sie auf der Registerkarte Grundlagen einen eindeutigen Namen für den privaten Endpunkt und die Netzwerkschnittstelle ein, und wählen Sie die Region aus, in der der private Endpunkt erstellt werden soll.
   2. Übernehmen Sie auf der Registerkarte Ressource die untergeordnete Zielressource account.
   3. Wählen Sie auf der Registerkarte Virtuelles Netzwerk die Azure Virtual Network-Instanz aus, mit der der private Endpunkt eine Verbindung herstellt. Hierbei sollte es sich um das Netzwerk handeln, mit dem Ihre Clients eine Verbindung herstellen und für das der Azure KI Foundry-Hub über eine private Endpunktverbindung verfügt.
   4. Wählen Sie auf der Registerkarte DNS die Standardwerte für die DNS-Einstellungen aus.
   5. Wählen Sie anschließend auf der Registerkarte Überprüfen + Erstellen die Option Erstellen aus, um den privaten Endpunkt zu erstellen.

6. Derzeit ist es nicht möglich, die lokale Authentifizierung (gemeinsam verwendeter Schlüssel) bei Azure KI Services über das Azure-Portal zu deaktivieren. Stattdessen können Sie das folgende Azure PowerShell-Cmdlet verwenden:

   Set-AzCognitiveServicesAccount -resourceGroupName "resourceGroupName" -name "AIServicesAccountName" -disableLocalAuth $true
   

   Weitere Informationen finden Sie im Artikel Deaktivieren der lokalen Authentifizierung in Azure KI Services.

Konfigurieren von Azure KI-Suche

Sie sollten die Verwendung eines Azure KI-Suche-Index in Betracht ziehen, wenn Sie eine der folgenden Aktionen ausführen möchten:

• Passen Sie den Indexerstellungsprozess an.
• Verwenden Sie einen Index wieder, der vor dem Erfassen von Daten aus anderen Datenquellen erstellt wurde.

Um einen vorhandenen Index zu verwenden, muss er mindestens ein durchsuchbares Feld aufweisen. Stellen Sie sicher, dass mindestens eine gültige Vektorspalte zugeordnet ist, wenn Sie die Vektorsuche verwenden. 

1. Falls Sie nicht über eine vorhandene Azure KI-Suche-Ressource für Ihren Azure KI Foundry-Hub verfügen, erstellen Sie eine.

2. Wählen Sie im Azure-Portal die Azure KI-Suche-Ressource und dann Einstellungen, Identität und Systemseitig zugewiesen aus.

3. Um eine verwaltete Identität für die Azure KI-Suche-Ressource zu erstellen, legen Sie den Status auf Ein fest. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

   

4. Um den öffentlichen Netzwerkzugriff zu deaktivieren, wählen Sie Einstellungen, Netzwerk und dann Firewalls und virtuelle Netzwerke aus. Legen Sie Öffentlicher Netzwerkzugriff auf Deaktiviert fest. Vergewissern Sie sich, dass unter Ausnahmen die Option Azure-Diensten in der Liste vertrauenswürdiger Dienste den Zugriff auf dieses Cognitive Services-Konto erlauben ausgewählt ist. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

   

5. Um einen privaten Endpunkt für die Azure KI-Suche-Ressource zu erstellen, wählen Sie Netzwerk, Verbindungen mit privatem Endpunkt und dann + Privaten Endpunkt erstellen aus.

   

   1. Geben Sie auf der Registerkarte Grundlagen einen eindeutigen Namen für den privaten Endpunkt und die Netzwerkschnittstelle ein, und wählen Sie die Region aus, in der der private Endpunkt erstellt werden soll.
   2. Wählen Sie auf der Registerkarte Ressource das Abonnement aus, das die Ressource enthält, legen Sie Ressourcentyp auf Microsoft.Search/searchServices fest, und wählen Sie die Azure KI-Suche-Ressource aus. Die einzige verfügbare untergeordnete Ressource ist searchService.
   3. Wählen Sie auf der Registerkarte Virtuelles Netzwerk die Azure Virtual Network-Instanz aus, mit der der private Endpunkt eine Verbindung herstellt. Hierbei sollte es sich um das Netzwerk handeln, mit dem Ihre Clients eine Verbindung herstellen und für das der Azure KI Foundry-Hub über eine private Endpunktverbindung verfügt.
   4. Wählen Sie auf der Registerkarte DNS die Standardwerte für die DNS-Einstellungen aus.
   5. Wählen Sie anschließend auf der Registerkarte Überprüfen + Erstellen die Option Erstellen aus, um den privaten Endpunkt zu erstellen.

6. Um den API-Zugriff basierend auf rollenbasierten Zugriffssteuerungen zu aktivieren, wählen Sie Einstellungen und dann Schlüssel aus, und legen Sie API-Zugriffssteuerung auf Rollenbasierte Zugriffssteuerung oder Beides fest. Wählen Sie Ja aus, um die Änderungen zu übernehmen.

   Hinweis

   Wählen Sie Beides aus, wenn Sie über andere Dienste verfügen, die einen Schlüssel für den Zugriff auf Azure KI-Suche verwenden. Wählen Sie Rollenbasierte Zugriffssteuerung aus, um den schlüsselbasierten Zugriff zu deaktivieren.

   

Konfigurieren von Azure Storage (nur Datenerfassung)

Wenn Sie Azure Storage für das Datenerfassungsszenario mit dem Azure KI Foundry-Playground verwenden, müssen Sie Ihr Azure Storage-Konto konfigurieren.

1. Erstellen einer Speicherkontoressource

2. Wählen Sie im Azure-Portal die Azure Storage-Kontoressource und dann Sicherheit und Netzwerk, Netzwerk und Firewalls und virtuelle Netzwerke aus.

3. Um den öffentlichen Netzwerkzugriff zu deaktivieren und den Zugriff von vertrauenswürdigen Diensten zuzulassen, legen Sie Öffentlicher Netzwerkzugriff auf Aktiviert von ausgewählten virtuellen Netzwerken und IP-Adressen fest. Vergewissern Sie sich, dass unter Ausnahmen die Option Azure-Diensten in der Liste vertrauenswürdiger Dienste den Zugriff auf dieses Cognitive Services-Konto erlauben ausgewählt ist.

   

4. Legen Sie Öffentlicher Netzwerkzugriff auf Deaktiviert fest, und wählen Sie dann Speichern aus, um die Änderungen zu übernehmen. Die Konfiguration zum Zulassen des Zugriffs von vertrauenswürdigen Diensten ist weiterhin aktiviert.

5. Um einen privaten Endpunkt für Azure Storage zu erstellen, wählen Sie Netzwerk, Verbindungen mit privatem Endpunkt und dann + Privater Endpunkt aus.

   

   1. Geben Sie auf der Registerkarte Grundlagen einen eindeutigen Namen für den privaten Endpunkt und die Netzwerkschnittstelle ein, und wählen Sie die Region aus, in der der private Endpunkt erstellt werden soll.
   2. Legen Sie auf der Registerkarte Ressource die Option Untergeordnete Zielressource auf blob fest.
   3. Wählen Sie auf der Registerkarte Virtuelles Netzwerk die Azure Virtual Network-Instanz aus, mit der der private Endpunkt eine Verbindung herstellt. Hierbei sollte es sich um das Netzwerk handeln, mit dem Ihre Clients eine Verbindung herstellen und für das der Azure KI Foundry-Hub über eine private Endpunktverbindung verfügt.
   4. Wählen Sie auf der Registerkarte DNS die Standardwerte für die DNS-Einstellungen aus.
   5. Wählen Sie anschließend auf der Registerkarte Überprüfen + Erstellen die Option Erstellen aus, um den privaten Endpunkt zu erstellen.

6. Wiederholen Sie den vorherigen Schritt, um einen privaten Endpunkt zu erstellen, legen Sie Untergeordnete Zielressource diesmal jedoch auf file fest. Der vorherige private Endpunkt ermöglicht die sichere Kommunikation mit Blobspeicher und dieser private Endpunkt die sichere Kommunikation mit Dateispeicher.

7. Um die lokale Authentifizierung (gemeinsam verwendeter Schlüssel) für Speicher zu deaktivieren, wählen Sie unter Einstellungen die Option Konfiguration aus. Legen Sie Zugriff auf Speicherkontoschlüssel erlauben auf Deaktiviert fest, und wählen Sie dann Speichern aus, um die Änderungen zu übernehmen. Weitere Informationen finden Sie im Artikel Verhindern der Autorisierung mit gemeinsam verwendetem Schlüssel.

Konfigurieren von Azure Key Vault

Azure KI Foundry verwendet Azure Key Vault, um Geheimnisse sicher zu speichern und zu verwalten. Führen Sie die folgenden Schritte aus, um den Zugriff auf den Schlüsseltresor über vertrauenswürdige Dienste zuzulassen.

1. Wählen Sie im Azure-Portal die Key Vault-Ressource und dann Einstellungen, Netzwerk und Firewalls und virtuelle Netzwerke aus.
2. Stellen Sie im Abschnitt Ausnahme der Seite sicher, dass Vertrauenswürdigen Microsoft-Diensten erlauben, diese Firewall zu umgehen aktiviert ist.

Konfigurieren von Verbindungen zur Verwendung von Microsoft Entra ID

Für Verbindungen von Azure KI Foundry mit Azure KI Services und Azure KI-Suche sollte Microsoft Entra ID verwendet werden, um den sicheren Zugriff zu gewährleisten. Verbindungen werden nicht im Azure-Portal, sondern in Azure KI Foundry erstellt.

1. Wählen Sie in Azure KI Foundry die Option Verbindungen aus. Wenn Sie über vorhandene Verbindungen mit den Ressourcen verfügen, können Sie die Verbindung und dann das Bleistiftsymbol im Abschnitt Zugriffsdetails auswählen, um die Verbindung zu aktualisieren. Legen Sie das Feld Authentifizierung auf Microsoft Entra ID fest, und wählen Sie dann Aktualisieren aus.
2. Wählen Sie zum Erstellen einer neuen Verbindung + Neue Verbindung und dann den Ressourcentyp aus. Suchen Sie nach der Ressource, oder geben Sie die erforderlichen Informationen ein, und legen Sie dann Authentifizierung auf Microsoft Entra ID fest. Wählen Sie Verbindung hinzufügen aus, um die Verbindung zu erstellen.

Wiederholen Sie diese Schritte für jede Ressource, mit der Sie über Microsoft Entra ID eine Verbindung herstellen möchten.

Zuweisen von Rollen zu Ressourcen und Benutzern

Die Dienste müssen sich gegenseitig autorisieren, um auf die verbundenen Ressourcen zuzugreifen. Administrator*innen, die die Konfiguration ausführen, benötigen die Rolle Owner für diese Ressourcen, um Rollenzuweisungen hinzuzufügen. In der folgenden Tabelle werden die für jede Ressource erforderlichen Rollenzuweisungen aufgelistet. Die Spalte Zugewiesene Person bezieht sich auf die systemseitig zugewiesene verwaltete Identität der aufgelisteten Ressource. Die Spalte Ressource bezieht sich auf die Ressource, auf die die zugewiesene Person zugreifen muss. Azure KI-Suche verfügt beispielsweise über eine systemseitig zugewiesene verwaltete Identität, die der Rolle Mitwirkender an Storage-Blobdaten für das Azure Storage-Konto zugewiesen werden muss.

Weitere Informationen zum Zuweisen von Rollen finden Sie im Tutorial: Gewähren von Benutzerzugriff auf Ressourcen.

Zuweisen von Rollen an Entwickler

Damit Ihre Entwickler diese Ressourcen zum Erstellen von Anwendungen verwenden können, weisen Sie die folgenden Rollen der Identität Ihres Entwicklers in Microsoft Entra ID zu. Weisen Sie beispielsweise der Microsoft Entra ID des Entwicklers für die Ressource der Azure KI-Suche die Rolle Search Services Contributor zu.

Weitere Informationen zum Zuweisen von Rollen finden Sie im Tutorial: Gewähren von Benutzerzugriff auf Ressourcen.

Verwenden Ihrer Daten im Azure KI Foundry-Portal

Jetzt werden die Daten, die Sie Azure KI Foundry hinzufügen, im isolierten Netzwerk gesichert, das von Ihrem Azure KI Foundry-Hub und -Projekt bereitgestellt wird. Ein Beispiel für die Verwendung von Daten finden Sie im Tutorial Erstellen eines Frage- und Antwort-Copilots.

Bereitstellen von Web-Apps

Informationen zum Konfigurieren von Web-App-Bereitstellungen finden Sie im Artikel Sicheres Verwenden von Azure OpenAI für Ihre Daten.

Begrenzungen

Navigieren Sie nicht zu einer anderen Registerkarte in Studio, wenn Sie den Chat-Playground in Azure KI Foundry verwenden. Wenn Sie zu einer anderen Registerkarte wechseln, müssen Sie Ihre Daten entfernen und dann erneut hinzufügen, wenn Sie zur Registerkarte „Chat“ zurückkehren.

Zugehöriger Inhalt

• Tutorial: Bereitstellen einer Web-App für Unternehmenschats
• Konfigurieren eines verwalteten Netzwerks