搭配 Azure AI Foundry 入口網站遊樂場安全地使用您的數據

使用本文來瞭解如何安全地使用 Azure AI Foundry 的數據遊樂場聊天。 下列各節提供了我們建議的組態，以透過使用 Microsoft Entra ID 角色型存取控制、受控網路和私人端點來保護您的資料和資源。 建議停用 Azure OpenAI 資源、Azure AI 搜尋服務資源和儲存體帳戶的公用網路存取。 不支援使用具有 IP 規則的選定網路，因為服務的 IP 位址是動態的。

下表總結了本文中所做的變更：

必要條件

確定已使用 記憶體帳戶的身分識別型存取 設定來部署 Azure AI Foundry 中樞。 此設定是 Azure AI Foundry Hub 的正確存取控制和安全性的必要設定。 您可以使用下列其中一種方法來驗證此組態：

• 在 Azure 入口網站中，選取中樞，然後選取 [設定]、[屬性] 和 [選項]。 在頁面底部，驗證儲存體帳戶存取類型是否設定為身分識別型存取。
• 如果使用 Azure Resource Manager 或 Bicep 範本進行部署，請在部署範本中包含 systemDatastoresAuthMode: 'identity' 屬性。
• 您必須熟悉使用 Microsoft Entra ID 角色型訪問控制，將角色指派給資源和使用者。 如需詳細資訊，請流覽 角色型訪問控制 一文。

設定網路隔離的 Azure AI Foundry 中樞

如果您要 建立新的 Azure AI Foundry 中樞，請使用下列其中一份檔來建立具有網路隔離的中樞：

• 在 Azure 入口網站 中建立安全的 Azure AI Foundry 中樞
• 使用 Python SDK 或 Azure CLI 建立安全的 Azure AI Foundry 中樞

如果您有 未設定為使用受控網路的現有 Azure AI Foundry 中樞 ，請使用下列步驟將它設定為使用一個：

1. 從 Azure 入口網站中，選取中樞，然後選取 [設定]、[網路]、[公用存取]。

2. 若要停用中樞的公用網路存取，請將 [公用網路存取] 設定為 [停用]。 選取儲存以套用變更。

   

3. 選取 [工作區受控輸出存取]，然後選取 [允許網際網路輸出] 或 [僅允許核准的輸出] 網路隔離模式。 選取儲存以套用變更。

   

設定 Azure AI 服務資源

視您的組態而定，您可以使用還包含 Azure OpenAI 的 Azure AI 服務資源或獨立的 Azure OpenAI 資源。 本節中的步驟會設定 AI 服務資源。 相同的步驟適用於 Azure OpenAI 資源。

1. 如果您沒有適用於 Azure AI Foundry 中樞的現有 Azure AI 服務資源， 請建立一個。

2. 從 Azure 入口網站中，選取 AI 服務資源，然後選取 [__資源管理]、[身分識別] 和 [系統指派]。

3. 若要建立 AI 服務資源的受控識別，請將 [狀態] 設定為 [開啟]。 選取儲存以套用變更。

   

4. 若要停用公用網路存取，請選取 [網路]、[防火牆和虛擬網路]，然後將 [允許下列存取] 設定為 [停用]。 在 [例外狀況] 底下，確定已啟用 [允許受信任服務清單上的 Azure 服務]。 選取儲存以套用變更。

   

5. 若要為 AI 服務資源建立私人端點，請選取 [網路]、[私人端點連線]，然後選取 [+ 私人端點]。 此私人端點可用來允許 Azure 虛擬網路中的用戶端安全地與 AI 服務資源通訊。 如需搭配 Azure AI 服務使用私人端點的詳細資訊，請瀏覽使用私人端點一文。

   

   1. 從 [基本] 索引標籤中，輸入私人端點、網路介面的唯一名稱，然後選取要在其中建立私人端點的區域。
   2. 從 [資源] 索引標籤中，接受帳戶的目標子資源。
   3. 從 [虛擬網路] 索引標籤中，選取私人端點所連線的 Azure 虛擬網路。 此網路應與您的用戶端連線的相同網路，且 Azure AI Foundry 中樞具有私人端點連線。
   4. 從 [DNS] 索引標籤中，選取 DNS 設定的預設值。
   5. 繼續前往 [檢閱 + 建立] 索引標籤，然後選取 [建立] 以建立私人端點。

6. 目前您無法透過 Azure 入口網站停用對 Azure AI 服務的本機 (共用金鑰) 驗證。 您可以改為使用以下 Azure PowerShell Cmdlet：

   Set-AzCognitiveServicesAccount -resourceGroupName "resourceGroupName" -name "AIServicesAccountName" -disableLocalAuth $true
   

   如需詳細資訊，請參閱在 Azure AI 服務中停用本機驗證一文。

設定 Azure AI 搜尋服務

當您需要進行下列其中一項時，建議您考慮使用 Azure AI 搜尋服務索引：

• 自訂索引建立程序。
• 從其他資料來源擷取資料，重複使用之前建立的索引。

若要使用現有的索引，其必須至少有一個可搜尋的欄位。 使用向量搜尋時，請確定至少有一個有效的向量資料行被對應。 

1. 如果您沒有 Azure AI Foundry 中樞的現有 Azure AI 搜尋資源， 請建立一個。

2. 從 Azure 入口網站中，選取 AI 搜尋資源，然後選取 [設定]、[身分識別] 和 [系統指派]。

3. 若要建立 AI 搜尋資源的受控識別，請將 [狀態] 設定為 [開啟]。 選取儲存以套用變更。

   

4. 若要停用公用網路存取，請選取 [設定]、[網路 和 [防火牆和虛擬網路]。 將 [公用網路存取] 設定為 [停用]。 在 [例外狀況] 底下，確定已啟用 [允許受信任服務清單上的 Azure 服務]。 選取儲存以套用變更。

   

5. 若要建立 AI 搜尋資源的私人端點，請選取 [網路]、[私人端點連線]，然後選取 [+ 建立私人端點]。

   

   1. 從 [基本] 索引標籤中，輸入私人端點、網路介面的唯一名稱，然後選取要在其中建立私人端點的區域。
   2. 從 [資源] 索引標籤中，選取包含資源的 [訂用帳戶]、將 [資源類型] 設定為 [Microsoft.Search/searchServices]，然後選取 Azure AI 搜尋服務資源。 唯一可用的子資源是 searchService。
   3. 從 [虛擬網路] 索引標籤中，選取私人端點所連線的 Azure 虛擬網路。 此網路應與您的用戶端連線的相同網路，且 Azure AI Foundry 中樞具有私人端點連線。
   4. 從 [DNS] 索引標籤中，選取 DNS 設定的預設值。
   5. 繼續前往 [檢閱 + 建立] 索引標籤，然後選取 [建立] 以建立私人端點。

6. 若要根據角色型存取控制啟用 API 存取，請選取 [設定]、[金鑰]，然後將 [API 存取控制] 設定為 [角色型存取控制] 或 [兩者]。 選取 _[是] 以套用變更。

   注意

   如果您有其他使用金鑰存取 Azure AI 搜尋服務的服務，請選取 [兩者]。 選取 [角色型存取控制] 以停用金鑰型存取。

   

設定 Azure 儲存體 (僅限擷取)

如果您使用 Azure 儲存體 搭配 Azure AI Foundry 入口網站遊樂場進行擷取案例，則必須設定您的 Azure 儲存體 帳戶。

1. 建立儲存體帳戶資源

2. 從 Azure 入口網站中，選取 [儲存體帳戶] 資源，然後選取 [安全性 + 網路]、[網路] 和 [防火牆和虛擬網路]。

3. 若要停用公用網路存取並允許從受信任的服務存取，請將 [公用網路存取] 設定為 [從選取的虛擬網路和 IP 位址啟用]。 在 [例外狀況] 底下，確定已啟用 [允許受信任服務清單上的 Azure 服務]。

   

4. 將 [公用網路存取】 設定為 [停用]，然後選取 [儲存] 以套用變更。 允許從受信任服務進行存取的組態仍處於啟用狀態。

5. 若要為 Azure 儲存體建立私人端點，請選取 [網路]、[私人端點連線]，然後選取 [+ 私人端點]。

   

   1. 從 [基本] 索引標籤中，輸入私人端點、網路介面的唯一名稱，然後選取要在其中建立私人端點的區域。
   2. 從 [資源] 索引標籤中，將 [目標子資源] 設定為 [Blob]。
   3. 從 [虛擬網路] 索引標籤中，選取私人端點所連線的 Azure 虛擬網路。 此網路應與您的用戶端連線的相同網路，且 Azure AI Foundry 中樞具有私人端點連線。
   4. 從 [DNS] 索引標籤中，選取 DNS 設定的預設值。
   5. 繼續前往 [檢閱 + 建立] 索引標籤，然後選取 [建立] 以建立私人端點。

6. 重複上一個步驟以建立私人端點，但這次將 [目標子資源] 設定為 [檔案]。 先前的私人端點允許與 Blob 儲存體進行安全通訊，而此私人端點允許與檔案儲存體進行安全通訊。

7. 若要停用對儲存體的本機 (共用金鑰) 驗證，請選取 [設定] 下的 [組態]。 將 [允許儲存體帳戶金鑰存取] 設定為 [停用]，然後選取 [儲存] 以套用變更。 如需詳細資訊，請瀏覽防止使用共用金鑰進行授權一文。

設定 Azure Key Vault

Azure AI Foundry 會使用 Azure 金鑰保存庫 安全地儲存和管理秘密。 若要允許從受信任的服務存取金鑰保存庫，請使用下列步驟。

1. 從 Azure 入口網站中，選取金鑰保存庫資源，然後選取 [設定]、[網路] 和 [防火牆和虛擬網路]。
2. 從頁面的 [例外狀況] 區段中，確保 [允許受信任的 Microsoft 服務繞過防火牆] 已 [啟用]。

設定連線以使用 Microsoft Entra ID

從 Azure AI Foundry 到 Azure AI 服務和 Azure AI 搜尋的連線應該使用 Microsoft Entra ID 進行安全存取。 連線是從 Azure AI Foundry 建立，而不是 Azure 入口網站。

1. 從 Azure AI Foundry，選取 [ 連線]。 如果您有與資源的現有連線，則可以選取該連線，然後選取 [存取詳細資料] 區段中的鉛筆圖示來更新該連線。 將 [驗證] 欄位設定為 [Microsoft Entra ID]，然後選取 [更新]。
2. 若要建立新的連線，請選取 [+ 新增連線]，然後選取資源類型。 瀏覽資源或輸入必要資訊，然後將 [驗證] 設定為 [Microsoft Entra ID]。 選取 [新增連線] 以建立連線。

針對您想要使用 Microsoft Entra ID 連線的每個資源重複這些步驟。

將角色指派給資源和使用者

服務需要相互授權才能存取連線的資源。 執行設定的系統管理員必須擁有這些資源的擁有者角色，才能新增角色指派。 下表列出每個資源的必要角色指派。 [受託人] 資料行是指所列出資源之系統指派的受控識別。 [資源] 資料行是指受託人需要存取的資源。 例如，Azure AI 搜尋服務具有系統指派的受控識別，需要為其指派 Azure 儲存體帳戶的儲存體 Blob 資料參與者角色。

如需指派角色的詳細資訊，請參閱 教學課程：授與使用者對資源的存取權。

將角色指派給開發人員

若要讓您的開發人員使用這些資源來建置應用程式，請在 Microsoft Entra 識別碼中，將下列角色指派給開發人員的身分識別。 例如，將 搜尋服務參與者 角色指派給 Azure AI 搜尋資源的開發人員Microsoft Entra 識別碼。

如需指派角色的詳細資訊，請參閱 教學課程：授與使用者對資源的存取權。

在 Azure AI Foundry 入口網站中使用您的數據

現在，您新增至 Azure AI Foundry 的數據會保護至 Azure AI Foundry 中樞和專案所提供的隔離網路。 如需使用資料的範例，請瀏覽建置問答 Copilot 教學課程。

部署 Web 應用程式

如需設定 Web 應用程式部署的相關資訊，請瀏覽安全地對您的資料使用 Azure OpenAI 一文。

限制

在 Azure AI Foundry 入口網站中使用聊天遊樂場時，請勿流覽至 Studio 內的另一個索引標籤。 如果您確實瀏覽至另一個索引標籤，則當您返回 [聊天] 索引標籤時，您必須移除您的資料，然後再將其新增回來。

相關內容

• 教學課程：部署企業聊天 Web 應用程式
• 如何設定受控網路