Autenticare e autorizzare il servizio app in Azure OpenAI usando Microsoft Entra e l’SDK Semantic Kernel

Questo articolo illustra come usare le identità gestite da Microsoft Entra per autenticare e autorizzare un'applicazione del servizio app a una risorsa OpenAI di Azure.

Questo articolo illustra anche come usare l’SDK Semantic Kernel per implementare facilmente l'autenticazione di Microsoft Entra nell'applicazione .NET.

Usando un'identità gestita di Microsoft Entra, l'applicazione del servizio app può accedere facilmente alle risorse OpenAI di Azure protette senza dover effettuare manualmente il provisioning o ruotare segreti.

Prerequisiti

• Un account Azure con una sottoscrizione attiva. Creare un account gratuitamente.
• .NET SDK
• Microsoft.SemanticKernelPacchetto NuGet
• Pacchetto NuGet Azure.Identity
• Creare e distribuire una risorsa del Servizio OpenAI di Azure
• Creare e distribuire un'applicazione .NET nel servizio app

Aggiungere un'identità gestita al Servizio app

All'applicazione possono essere concessi due tipi di identità:

• Un'identità assegnata dal sistema viene associata all'applicazione e viene eliminata in caso di eliminazione dell'app. Un'app può avere una sola identità assegnata dal sistema.
• Un'identità assegnata dall'utente è una risorsa di Azure autonoma che può essere assegnata all'app. Un'app può avere più identità assegnate dall'utente.

Aggiungere un'identità assegnata dal sistema

az webapp identity assign --name <appName> --resource-group <groupName>

Aggiungere un'identità assegnata dall'utente

Per aggiungere un'identità assegnata dall'utente all'app, creare l'identità e quindi aggiungerne l'identificatore alla configurazione dell'app.

Aggiungere un ruolo utente OpenAI di Azure all'identità gestita

az role assignment create --assignee "<managedIdentityObjectID>" \
--role "Cognitive Services OpenAI User" \
--scope "/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/<providerName>/<resourceType>/<resourceSubType>/<resourceName>"

az role assignment create --assignee "<managedIdentityObjectID>" \
--role "Cognitive Services OpenAI User" \
--scope "/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>"

az role assignment create --assignee "<managedIdentityObjectID>" \
--role "Cognitive Services OpenAI User" \
--scope "/subscriptions/<subscriptionId>"

az role assignment create --assignee "<managedIdentityObjectID>" \
--role "Cognitive Services OpenAI User" \
--scope "/providers/Microsoft.Management/managementGroups/<managementGroupName>"

Implementare l'autenticazione basata su token usando l’SDK Semantic Kernel

1. Inizializzare un oggetto DefaultAzureCredential per assumere l'identità gestita dell'app:

   // Initialize a DefaultAzureCredential.
   // This credential type will try several authentication flows in order until one is available.
   // Will pickup Visual Studio or Azure CLI credentials in local environments.
   // Will pickup managed identity credentials in production deployments.
   TokenCredential credentials = new DefaultAzureCredential(
       new DefaultAzureCredentialOptions
       {
           // If using a user-assigned identity specify either:
           // ManagedIdentityClientId or ManagedIdentityResourceId.
           // e.g.: ManagedIdentityClientId = "myIdentityClientId".
       }
   );
   

2. Compilare un oggetto Kernel che includa il servizio di completamento di chat OpenAI di Azure e usare le credenziali create in precedenza:

   // Retrieve the endpoint and deployment obtained from the Azure OpenAI deployment.
   // Must use the deployment name not the underlying model name.
   IConfigurationRoot config = new ConfigurationBuilder().AddUserSecrets<Program>().Build();
   string endpoint = config["AZURE_OPENAI_ENDPOINT"]!;
   string deployment = config["AZURE_OPENAI_GPT_NAME"]!;
   
   // Build a Kernel that includes the Azure OpenAI Chat Completion Service.
   // Include the previously created token credential.
   Kernel kernel = Kernel
       .CreateBuilder()
       .AddAzureOpenAIChatCompletion(deployment, endpoint, credentials)
       .Build();
   

3. Usare l'oggetto Kernel per richiamare il completamento della richiesta tramite Azure OpenAI:

   // Use the Kernel to invoke prompt completion through Azure OpenAI.
   // The Kernel response will be null if the model can't be reached.
   string? result = await kernel.InvokePromptAsync<string>("Please list three Azure services");
   Console.WriteLine($"Output: {result}");
   
   // Continue sending and receiving messages between the user and AI.
   // ...
   

Contenuto correlato

• Autenticare e autorizzare il servizio app a un database vettoriale
• Come usare le identità gestite nel servizio app e in Funzioni di Azure
• Controllo degli accessi in base al ruolo per il Servizio OpenAI di Azure