Rollenbasierte Zugriffssteuerung für Microsoft Foundry

In diesem Artikel lernen Sie wichtige rollenbasierte Zugriffssteuerungskonzepte (RBAC) für Microsoft Foundry kennen, einschließlich Bereiche, integrierte Rollen und allgemeine Unternehmenszuweisungsmuster.

Weitere Informationen zur Authentifizierung und Autorisierung in Microsoft Foundry finden Sie unter Authentication and Authorization.

Mindestrollenzuweisungen für die ersten Schritte

Beginnen Sie für neue Benutzer von Azure und Microsoft Foundry mit diesen Mindestzuweisungen, damit sowohl Ihr Benutzerprinzipal als auch die vom Projekt verwaltete Identität auf Foundry-Features zugreifen können.

Sie können aktuelle Zuordnungen mithilfe von Überprüfung des Zugriffs für einen Benutzer auf eine einzelne Azure Ressource überprüfen.

• Weisen Sie Ihrem Benutzerprinzipal auf Ihrer Foundry-Ressource die Rolle „Foundry User“ zu.

  Important

  Die Foundry-RBAC-Rollen wurden kürzlich umbenannt. Foundry User, Foundry Owner, Foundry Account Owner und Foundry Project Manager wurden zuvor Azure KI-Benutzer, Azure KI-Besitzer, Azure KI-Kontobesitzer und Azure AI Project Manager benannt. Möglicherweise werden die vorherigen Namen an einigen Stellen weiterhin angezeigt, während der Umbenennungsrollout ausgeführt wird. Die Rollen-IDs und Kernberechtigungen bleiben durch die Umbenennung unverändert.

• Weisen Sie Ihrer Foundry-Ressource die Rolle "Foundry User" für die verwaltete Identität Ihres Projekts zu.

Wenn der Benutzer, der das Projekt erstellt hat, Rollen zuweisen kann (z. B. durch die Azure Owner Rolle im Abonnement- oder Ressourcengruppenbereich), werden beide Zuordnungen automatisch hinzugefügt.

Wenn Sie diese Rollen manuell zuweisen möchten, führen Sie die folgenden schnellen Schritte aus.

Zuweisen einer Rolle zu Ihrem Benutzerprinzipal

Öffnen Sie im portal Azure Ihre Foundry-Ressource, und wechseln Sie zu Access control (IAM). Erstellen Sie eine Rollenzuweisung für Foundry User, setzen Sie Mitglieder auf Benutzer, Gruppe oder Dienstprinzipal, wählen Sie Ihren Benutzerprinzipal aus, und wählen Sie dann Überprüfen + zuweisen aus.

Zuweisen einer Rolle der verwalteten Identität Ihres Projekts

Öffnen Sie im Azure-Portal Ihr Foundry-Projekt, und wechseln Sie zu Access control (IAM). Erstellen Sie eine Rollenzuweisung für Foundry User, legen Sie Members auf Managed identity fest, wählen Sie die verwaltete Identität Ihres Projekts aus, und wählen Sie dann Überprüfen + zuweisen aus.

Terminologie für rollenbasierte Zugriffssteuerung in Foundry

Um die rollenbasierte Zugriffssteuerung in Microsoft Foundry zu verstehen, sollten Sie zwei Fragen für Ihr Unternehmen in Betracht ziehen.

• Welche Berechtigungen soll mein Team beim Erstellen in Microsoft Foundry haben?
• Zu welchem Bereich möchte ich meinem Team Berechtigungen zuweisen?

Um diese Fragen zu beantworten, finden Sie hier Beschreibungen einiger Terminologie, die in diesem Artikel verwendet werden.

• Berechtigungen: Zulässige oder verweigerte Aktionen, die eine Identität für eine Ressource ausführen kann, z. B. Lesen, Schreiben, Löschen oder Verwalten von Steuerungsebenen- und Datenebenenvorgängen.
• Scope: Die Gruppe der Azure Ressourcen, für die eine Rollenzuweisung gilt. Typische Bereiche sind Abonnement, Ressourcengruppe, Foundry-Ressource oder Foundry-Projekt.
• Role: Eine benannte Sammlung von Berechtigungen, die definiert, welche Aktionen für Azure Ressourcen in einem bestimmten Bereich ausgeführt werden können.

Eine Identität erhält eine Rolle mit bestimmten Berechtigungen in einem ausgewählten Bereich basierend auf Ihren Unternehmensanforderungen.

Berücksichtigen Sie in Microsoft Foundry zwei Umfänge bei der Durchführung von Rollenzuweisungen.

• Foundry-Ressource: Der Bereich der obersten Ebene, der die Administrativen, Sicherheits- und Überwachungsgrenzen für eine Microsoft Foundry-Umgebung definiert.
• Foundry-Projekt: Ein Unterbereich innerhalb einer Foundry-Ressource, der zum Organisieren der Arbeit und zum Durchsetzen der Zugriffssteuerung für Foundry-APIs, Tools und Entwicklungsworkflows verwendet wird.

Integrierte Rollen

Eine built-in-Rolle in Foundry ist eine Rolle, die von Microsoft erstellt wird, die allgemeine Zugriffsszenarien abdeckt, die Sie Ihren Teammitgliedern zuweisen können. Wichtige integrierte Rollen, die in Azure verwendet werden, umfassen Besitzer, Mitwirkender und Leser. Diese Rollen sind nicht spezifisch für Foundry-Ressourcenberechtigungen.

Verwenden Sie für Foundry-Ressourcen zusätzliche integrierte Rollen, um den Grundsatz des minimalen Zugriffs zu erfüllen. In der folgenden Tabelle sind wichtige integrierte Rollen für Foundry und Links zu den genauen Rollendefinitionen in AI + Machine Learning integrierten Rollen aufgeführt.

Berechtigungen für jede integrierte Rolle

Verwenden Sie die folgende Tabelle, um die berechtigungen anzuzeigen, die für jede integrierte Rolle in Microsoft Foundry zulässig sind.

Verwenden Sie die folgende Tabelle, um die für jede der Azure-integrierten Rollen (Besitzer, Mitwirkender, Leser) zulässigen Berechtigungen anzuzeigen.

Zum Veröffentlichen von Agenten benötigen Sie im Geltungsbereich der Foundry-Ressource mindestens die Rolle Foundry Project Manager. Weitere Informationen finden Sie unter Agent-Anwendungen in Microsoft Foundry.

Nutzen Sie diese Registerkarten, um die Unterschiede zwischen den integrierten Rollen zu erkunden, die auf Foundry-Ressourcenebene zugewiesen werden (mit Ausnahme der Rolle Eigentümer, die auf Abonnementebene zugewiesen wird).

Beispiele für die Zuordnungen von Enterprise RBAC zu Projekten

Hier ist ein Beispiel für die Implementierung der rollenbasierten Zugriffssteuerung (RBAC) für eine Enterprise Foundry-Ressource.

Verwalten von Rollenzuweisungen

Um Rollen in Foundry zu verwalten, müssen Sie über die Berechtigung zum Zuweisen und Entfernen von Rollen in Azure verfügen. Die integrierte Azure Owner Rolle enthält diese Berechtigung. Sie können Rollen über das Findry-Portal (Administratorseite), Azure Portal IAM oder Azure CLI zuweisen. Sie können Rollen mithilfe von Azure Portal IAM oder Azure CLI entfernen.

Verwalten Sie im Gießereiportal Die Berechtigungen wie folgt:

1. Öffnen Sie die Admin-Seite in Foundry und wählen Sie dann Betreiben> bei Admin aus.
2. Wählen Sie ihren Projektnamen aus.
3. Wählen Sie "Benutzer hinzufügen" aus, um den Projektzugriff zu verwalten. Diese Aktion ist nur verfügbar, wenn Sie über Rollenzuweisungsberechtigungen verfügen.
4. Wenden Sie denselben Vorgang für den Zugriff auf die Ressourcenebene von Foundry an.

Sie können Berechtigungen im Azure-Portal unter Access Control (IAM) oder mithilfe von Azure CLI verwalten.

Beispielsweise weist der folgende Befehl joe@contoso.com die Rolle Foundry User für die Ressourcengruppe this-rg im Abonnement 00000000-0000-0000-0000-000000000000 zu:

az role assignment create --role "53ca6127-db72-4b80-b1b0-d745d6d5456d" --assignee "joe@contoso.com" --scope /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/this-rg 

Erstellen benutzerdefinierter Rollen für Projekte

Wenn die integrierten Rollen ihre Unternehmensanforderungen nicht erfüllen, erstellen Sie eine benutzerdefinierte Rolle, die eine präzise Kontrolle über zulässige Aktionen und Bereiche ermöglicht. Hier ist ein Beispiel für eine benutzerdefinierte Rollendefinition auf Abonnementebene:

{
  "properties": {
    "roleName": "My Enterprise Foundry User",
    "description": "Custom role for Foundry at my enterprise to only allow building Agents. Assign at subscription level.",
    "assignableScopes": ["/subscriptions/<your-subscription-id>"],
    "permissions": [ { 
        "actions": ["Microsoft.CognitiveServices/*/read", "Microsoft.Authorization/*/read", "Microsoft.CognitiveServices/accounts/listkeys/action","Microsoft.Resources/deployments/*"], 
        "notActions": [], 
        "dataActions": ["Microsoft.CognitiveServices/accounts/AIServices/agents/*"], 
        "notDataActions": []     
    } ]
  }
}

Weitere Informationen zum Erstellen einer benutzerdefinierten Rolle finden Sie in den folgenden Artikeln.

• Azure Portal
• Azure CLI
• Azure PowerShell
• Disable Preview-Features in Microsoft Foundry. Dieser Artikel enthält weitere Details zu spezifischen Berechtigungen in Foundry über steuerungs- und Datenebene hinweg, die Sie beim Erstellen benutzerdefinierter Rollen verwenden können.

Hinweise und Einschränkungen

• Um gelöschte Foundry-Konten anzuzeigen und zu bereinigen, muss Ihnen im Bereich des Abonnements die Rolle Mitwirkender zugewiesen sein.

• Benutzer mit der Rolle "Mitwirkender" können Modelle in Foundry bereitstellen.

• Sie benötigen die Rolle „Besitzer“ für den Bereich einer Ressource, um benutzerdefinierte Rollen in der Ressource zu erstellen.

• Wenn Ihrem Benutzerprinzipal Berechtigungen zum Zuweisen von Rollen in Azure erteilt wurden (beispielsweise die Rolle „Besitzer“ im Kontobereich) und Sie eine Foundry-Ressource über die Benutzeroberfläche des Azure-Portals oder des Foundry-Portals bereitstellen, wird Ihrem Benutzerprinzipal automatisch die Rolle „Foundry User“ zugewiesen. Diese Zuweisung gilt nicht bei der Bereitstellung von Foundry aus SDK oder CLI.

  Important

  Die Foundry-RBAC-Rollen wurden kürzlich umbenannt. Foundry User, Foundry Owner, Foundry Account Owner und Foundry Project Manager wurden zuvor Azure KI-Benutzer, Azure KI-Besitzer, Azure KI-Kontobesitzer und Azure AI Project Manager benannt. Möglicherweise werden die vorherigen Namen an einigen Stellen weiterhin angezeigt, während der Umbenennungsrollout ausgeführt wird. Die Rollen-IDs und Kernberechtigungen bleiben durch die Umbenennung unverändert.

• Wenn Sie eine Foundry-Ressource erstellen, gewähren Ihnen die integrierten rollenbasierten Zugriffssteuerungsberechtigungen (RBAC) Zugriff auf die Ressource. Um Ressourcen zu verwenden, die außerhalb von Foundry erstellt wurden, stellen Sie sicher, dass die Ressource über Berechtigungen verfügt, mit denen Sie darauf zugreifen können. Im Folgenden finden Sie einige Beispiele:

  • Um ein neues Azure Blob Storage-Konto zu verwenden, fügen Sie die verwaltete Identität der Ressource des Foundry-Kontos der Rolle Storage Blob Data-Leser auf diesem Storage-Konto hinzu.
  • Wenn Sie eine neue Azure KI-Suche Quelle verwenden möchten, fügen Sie "Foundry" zu den Azure KI-Suche Rollenzuweisungen hinzu.

• Um ein Modell in Foundry zu optimieren, benötigen Sie Sowohl Datenebenen- als auch Steuerungsebenenberechtigungen. Der Einsatz eines fein abgestimmten Modells ist eine Berechtigung auf der Steuerungsebene. Daher ist die einzige integrierte Rolle mit sowohl Datenebenen- als auch Steuerebenenberechtigungen die Rolle "Foundry Owner". Wenn Sie es vorziehen, können Sie auch die Rolle " Foundry User " für Datenebenenberechtigungen und die Rolle " Besitzer des Foundry-Kontos " für Berechtigungen der Steuerungsebene zuweisen.

Verwandte Inhalte

• Erstellen Sie ein Projekt.
• Überprüfung des Zugriffs für einen Benutzer auf eine einzelne Azure Ressource.
• Authentifizierung und Autorisierung in Gießerei.
• Disable Preview-Features in Microsoft Foundry.
• Referenz zu gehosteten Agentberechtigungen.

Anhang

Beispiele für Zugriffsisolation

Je nach Benutzerpersonas in ihrem Unternehmen kann jede Organisation unterschiedliche Zugriffsisolationsanforderungen haben. Die Zugriffsisolation bezieht sich darauf, welchen Benutzern in Ihrem Unternehmen welche Rollen für eine Trennung von Berechtigungen mithilfe unserer integrierten Rollen oder einer einheitlichen, sehr freizügigen Rolle zugewiesen werden. Es gibt drei Zugriffsisolationsoptionen für Foundry, die Sie je nach Ihren Zugriffsisolationsanforderungen für Ihre Organisation auswählen können.

Keine Zugriffsisolation. Dies bedeutet, dass Sie in Ihrem Unternehmen keine Anforderungen haben, die Berechtigungen zwischen Entwicklern, Projektmanagern oder Administratoren trennen. Die Berechtigungen für diese Rollen können teamsübergreifend zugewiesen werden.

Daher sollten Sie...

• Gewähren Sie allen Benutzern in Ihrem Unternehmen die Rolle "Foundry Owner" für den Ressourcenbereich

  Important

  Die Foundry-RBAC-Rollen wurden kürzlich umbenannt. Foundry User, Foundry Owner, Foundry Account Owner und Foundry Project Manager wurden zuvor Azure KI-Benutzer, Azure KI-Besitzer, Azure KI-Kontobesitzer und Azure AI Project Manager benannt. Möglicherweise werden die vorherigen Namen an einigen Stellen weiterhin angezeigt, während der Umbenennungsrollout ausgeführt wird. Die Rollen-IDs und Kernberechtigungen bleiben durch die Umbenennung unverändert.

Partielle Zugriffsisolation. Dies bedeutet, dass der Projektmanager in Ihrem Unternehmen in der Lage sein sollte, innerhalb von Projekten zu entwickeln und Projekte zu erstellen. Ihre Administratoren sollten jedoch nicht in der Lage sein, innerhalb von Foundry zu entwickeln, sondern nur Foundry-Projekte und -Konten zu erstellen.

Daher sollten Sie...

• Weisen Sie Ihrem Administrator im Gültigkeitsbereich der Ressource die Rolle Besitzer des Foundry-Kontos zu
• Weisen Sie Ihren Entwicklern und Projektmanagern die Foundry Project Manager-Rolle für die Ressource zu

Vollständige Zugriffsisolation. Dies bedeutet, dass Ihren Administratoren, Projektmanagern und Entwicklern klare Berechtigungen zugewiesen sind, die sich nicht für ihre verschiedenen Funktionen innerhalb eines Unternehmens überlappen.

Daher sollten Sie...

• Weisen Sie Ihrem Administrator auf Ressourcenebene die Rolle Besitzer des Foundry-Kontos zu
• Weisen Sie Ihrem Entwickler im Ressourcenbereich von Foundry die Rolle Reader und auf Projektebene Foundry User zu
• Gewähren Sie Ihrem Projektmanager im Ressourcenbereich die Rolle Foundry Project Manager

Verwenden von Microsoft Entra Gruppen mit Foundry

Microsoft Entra ID bietet verschiedene Möglichkeiten zum Verwalten des Zugriffs auf Ressourcen, Anwendungen und Aufgaben. Mithilfe von Microsoft Entra Gruppen können Sie einer Gruppe von Benutzern statt jedem einzelnen Benutzer Zugriff und Berechtigungen erteilen. IT-Administratoren von Unternehmen können Microsoft Entra Gruppen im Azure-Portal erstellen, um den Rollenzuweisungsprozess für Entwickler zu vereinfachen. Wenn Sie eine Microsoft Entra Gruppe erstellen, können Sie die Anzahl der Rollenzuweisungen minimieren, die für neue Entwickler erforderlich sind, die an Foundry-Projekten arbeiten, indem Sie der Gruppe die erforderliche Rollenzuweisung für die erforderliche Ressource zuweisen.

Führen Sie die folgenden Schritte aus, um Microsoft Entra ID Gruppen mit Foundry zu verwenden:

1. Erstellen Sie eine SecurityGruppe in Groups im Azure-Portal.
2. Fügen Sie einen Eigentümer und die Benutzerkonten in Ihrer Organisation hinzu, die gemeinsamen Zugriff benötigen.
3. Öffnen Sie die Zielressource, und wechseln Sie zu Access Control (IAM).
4. Weisen Sie dem Benutzer, der Gruppe oder dem Dienstprinzipal die erforderliche Rolle zu, und wählen Sie die neue Sicherheitsgruppe aus.
5. Wählen Sie "Überprüfen" und "Zuweisen" aus, damit die Rollenzuweisung für alle Mitglieder der Gruppe gilt.

Häufige Beispiele:

• Um Agents zu erstellen, Ablaufverfolgungen auszuführen und kerne Foundry-Funktionen zu verwenden, weisen Sie Foundry User der gruppe Microsoft Entra zu.
• Um die Ablaufverfolgungs- und Überwachungsfunktionen nutzen zu können, weisen Sie Leser auf der verbundenen Application Insights-Ressource derselben Gruppe zu.

Weitere Informationen zu Microsoft Entra ID Gruppen, Voraussetzungen und Einschränkungen finden Sie unter:

• Weitere Informationen zu Gruppen, Gruppenmitgliedschaften und Zugriff in Microsoft Entra.
• Verwalten von Gruppen in Microsoft Entra