Deaktivieren von Vorschaufeatures in Microsoft Foundry

Beschränken Sie die Vorschaufeatures in Microsoft Foundry, um Produktionsumgebungen auf allgemein verfügbare Funktionen zu konzentrieren. In diesem Artikel werden zwei Ansätze behandelt:

• Azure Tags verbergen Vorschauoberflächen im Foundry-Portal (aktuelles und klassisches Portal).
• Benutzerdefinierte RBAC-Rollen blockieren bestimmte Vorschauvorgänge auf API-Ebene.

Verwenden Sie Tags für die Unterdrückung auf Portalebene, und verwenden Sie benutzerdefinierte RBAC-Rollen, wenn Sie bestimmte Vorgänge oder Berechtigungen blockieren müssen.

Voraussetzungen

• Eine Foundry-Ressource und ein Projekt.
• Berechtigung zum Hinzufügen oder Bearbeiten von Tags im Zielbereich in Azure. Beispiel: Mitwirkender oder Tagmitwirkender.
• Ein Azure-Abonnement mit Berechtigungen zum Erstellen benutzerdefinierter Rollen im Bereich, in dem die Rolle zugewiesen werden soll (z. B. die Rolle "Besitzer" oder die Rolle "Benutzerzugriffsadministrator").
• Berechtigungen zum Zuweisen von Rollen im Bereich, in dem Sie Zugriff zuweisen (z. B. die Rollenbasierte Access Control Administratorrolle oder die Rolle des Benutzerzugriffsadministrators).
• Azure CLI installiert und angemeldet, wenn Sie Rollen über die Befehlszeile erstellen. Weitere Informationen finden Sie unter Install the Azure CLI.
• Zugriff auf Azure Portal.

Anwenden des Tags

Wenden Sie das Tag zur Deaktivierung der Vorschaufunktion auf den von Ihrer Organisation verwalteten Bereich an.

Wenden Sie die Kennzeichnung auf den Bereich an, der Ihren Governance-Anforderungen entspricht.

• Abonnement für organisationsweite Governance.
• Ressourcengruppe , um alle Ressourcen in einer Gruppe abzudecken.
• Gießereiressource für fein abgestimmte Kontrolle.

az tag update --resource-id <resource-id> --operation merge --tags AZML_DISABLE_PREVIEW_FEATURE=true

az resource show --name <resource-name> --resource-group <resource-group> --resource-type "Microsoft.CognitiveServices/accounts" --query id --output tsv

Entfernen des Tags zum erneuten Aktivieren von Vorschaufeatures

Um Vorschaufeatures wiederherzustellen, entfernen Sie das AZML_DISABLE_PREVIEW_FEATURE Tag.

az tag update --resource-id <resource-id> --operation delete --tags AZML_DISABLE_PREVIEW_FEATURE=true

Nachdem Sie das Tag entfernt haben, aktualisieren Sie das Foundry-Portal oder melden Sie sich ab und wieder an. Vorschau-Features erscheinen nach wenigen Minuten erneut.

Überprüfen Sie die Unterdrückung in beiden Portalerfahrungen

Lassen Sie nach dem Speichern des Tags ein paar Minuten für die Verteilung zu und verifizieren Sie dann das Verhalten in beiden Anwendungsfällen.

1. Öffnen Sie Microsoft Foundry.
2. Öffnen Sie Das markierte Projekt.
3. Überprüfen Sie, dass Vorschau-UI-Funktionen ausgeblendet sind.
   • Im klassischen Portal ist das Tool "Vorschaufeatures" oben rechts deaktiviert.
   • Im neuen Portal werden keine VORSCHAU-Bezeichnungen angezeigt; da die Features in der Vorschau nicht mehr sichtbar sein werden.
4. Wechseln Sie mithilfe von New Foundry zwischen neuen und klassischen Oberflächen, und überprüfen Sie dasselbe Verhalten.

Erwartetes Ergebnis: Vorschaufeatures werden sowohl in neuen als auch in klassischen Foundry-Portalumgebungen ausgeblendet.

Behandeln von Unterdrückungsproblemen

Verwenden Sie die folgende Tabelle, wenn sich die Unterdrückung nicht wie erwartet verhält.

Blockieren von Vorschaufunktionen mit benutzerdefinierten RBAC-Rollen

Sie können den Zugriff auf bestimmte Vorschaufeatures blockieren, indem Sie eine benutzerdefinierte Azure Rolle erstellen, die die entsprechenden Berechtigungen ausschließt, und diese Rolle dann Benutzern zuweisen.

Da Sie integrierte Rollen nicht ändern können, erstellen Sie eine benutzerdefinierte Rolle, die notDataActions (oder notActions für Kontrollebene-Features wie Ablaufverfolgung) verwendet, um die Berechtigungen auszuschließen, die Sie blockieren möchten.

In der folgenden Tabelle sind die Vorschaufeatures zusammengefasst, die Sie blockieren können, und den Typ der auszuschließenden Berechtigungen.

Erstellen einer benutzerdefinierten Rolle, die ein Vorschaufeature blockiert

In diesem Abschnitt wird das Erstellen einer benutzerdefinierten Rollendefinition und das Zuweisen einer Rollendefinition zu einem Benutzer erläutert. Im Beispiel wird der Agentdienst blockiert, Sie können jedoch alle Datenaktionen aus den Featureabschnitten in diesem Artikel ersetzen.

Schritt 1: Definieren der Rollen-JSON

Erstellen Sie eine JSON-Datei custom-role.json mit dem folgenden Inhalt. Ersetzen Sie <subscription-id> durch Ihre Azure-Abonnement-ID und fügen Sie die Datenaktionen hinzu, die Sie blockieren möchten, zu notDataActions.

{
  "properties": {
    "roleName": "Foundry custom role (preview features blocked)",
    "description": "Custom role that excludes specific Foundry preview features.",
    "assignableScopes": [
      "/subscriptions/<subscription-id>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.CognitiveServices/*/read",
          "Microsoft.Authorization/*/read"
        ],
        "notActions": [],
        "dataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/*"
        ],
        "notDataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/agents/write",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/read",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/delete"
        ]
      }
    ]
  }
}

Schritt 2: Erstellen der Rolle

az role definition create --role-definition custom-role.json

Schritt 3: Zuweisen der Rolle

az role assignment create \
    --role "Foundry custom role (preview features blocked)" \
    --assignee "<user-email-or-object-id>" \
    --scope "/subscriptions/<subscription-id>"

Schritt 4: Überprüfen der Rollenzuweisung

Vergewissern Sie sich, dass die benutzerdefinierte Rolle die erwarteten Berechtigungen ausschließt.

az role assignment list --assignee "<user-email-or-object-id>" --output table

az role definition list --name "Foundry custom role (preview features blocked)" --output json

Vorschau von Featuredatenaktionen

In jedem der folgenden Abschnitte sind die Berechtigungen für ein Vorschaufeature aufgeführt. Fügen Sie die Datenaktionen, die Sie blockieren möchten, in notDataActions Ihrer benutzerdefinierten Rollendefinition hinzu, mit Ausnahme der Ablaufverfolgung, die Control-Plane-Aktionen in notActions verwendet.

Agentdienst

Fügen Sie diese Datenaktionen zu Ihrer benutzerdefinierten Rollendefinition hinzu notDataActions :

• Microsoft.CognitiveServices/accounts/AIServices/agents/write
• Microsoft.CognitiveServices/accounts/AIServices/agents/read
• Microsoft.CognitiveServices/accounts/AIServices/agents/delete

Um alle Vorgänge des Agentendienstes mit einem einzigen Eintrag zu blockieren, verwenden Sie das Platzhalterzeichen Microsoft.CognitiveServices/accounts/AIServices/agents/*.

Inhaltsverständnis

Fügen Sie diese Datenaktionen zu Ihrer benutzerdefinierten Rollendefinition hinzu notDataActions :

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/batchAnalysisJobs/*

Wenn Ihr Team Dokumente in Foundry beschriftet, sollten Sie auch die Beschriftungsdatenaktionen blockieren. Suchen Sie im benutzerdefinierten Rollen-Editor des Azure-Portals unter dem Ressourcenanbieter Microsoft.CognitiveServices nach labelingProjects, um die verfügbaren Vorgänge zu finden, z. B.:

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/delete

Feinabstimmung

Feinabstimmung verwendet mehrere Datenaktionspfade unter Microsoft.CognitiveServices/accounts/OpenAI/. Fügen Sie jeden Pfad, den Sie blockieren möchten, zu notDataActions in Ihrer benutzerdefinierten Rollendefinition hinzu.

• Microsoft.CognitiveServices/accounts/OpenAI/fine-tunes/*
• Microsoft.CognitiveServices/accounts/OpenAI/files/*
• Microsoft.CognitiveServices/accounts/OpenAI/uploads/*
• Microsoft.CognitiveServices/accounts/OpenAI/stored-completions/*
• Microsoft.CognitiveServices/accounts/OpenAI/evals/*
• Microsoft.CognitiveServices/accounts/OpenAI/models/*

Wenn Ihr Team RLHF-Aufträge ausführt, fügen Sie optional Folgendes hinzu:

• Microsoft.CognitiveServices/accounts/OpenAI/1p-jobs/*

Ablaufverfolgung

Fügen Sie diese Aktionen zu notActions in Ihrer benutzerdefinierten Rollendefinition hinzu.

• Microsoft.Insights/alertRules/read
• Microsoft.Insights/diagnosticSettings/read
• Microsoft.Insights/logDefinitions/read
• Microsoft.Insights/metricdefinitions/read
• Microsoft.Insights/metrics/read

Das Blockieren dieser Leseaktionen verhindert, dass Benutzer den Tracing-Bereich im Foundry-Portal sehen können. Benutzer, die Zugriff auf die Ablaufverfolgung benötigen, brauchen eine separate Rolle, die die Microsoft.Insights Leseaktionen umfasst, wie etwa eine Leserrolle für die verbundene Application Insights-Ressource.

Bewertungen

Fügen Sie diese Datenaktionen zu Ihrer benutzerdefinierten Rollendefinition hinzu notDataActions :

• Microsoft.CognitiveServices/accounts/AIServices/evaluations/write
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/read
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/delete

Inhaltssicherheit

Fügen Sie diese Datenaktionen zu Ihrer benutzerdefinierten Rollendefinition hinzu notDataActions :

• Microsoft.CognitiveServices/accounts/ContentSafety/*

Um nur bestimmte Inhaltssicherheitsvorgänge anstelle aller Vorgänge zu blockieren, suchen Sie im benutzerdefinierten Rollen-Editor des Azure Portals nach ContentSafety, und wählen Sie die einzelnen Datenaktionen aus, die Sie ausschließen möchten.

RBAC-Probleme beheben

Verwandte Inhalte

• Role-basierte Zugriffssteuerung für Microsoft Foundry
• Authentication und Autorisierung in Microsoft Foundry
• Erstellen oder Aktualisieren Azure benutzerdefinierten Rollen mithilfe des Azure Portals
• Erstellen oder Aktualisieren Azure benutzerdefinierten Rollen mithilfe von Azure CLI
• Assignieren Azure Rollen mithilfe des Azure Portals