Control de acceso basado en rol para Microsoft Foundry (enfocado en el concentrador) (clásico)

Solo se aplica a:portal Foundry (clásico). Este artículo no está disponible para el nuevo portal de Foundry. Obtenga más información sobre el nuevo portal.

En este artículo, aprenderá a administrar el acceso en los niveles de centro y proyecto de Foundry. Utiliza Azure control de acceso basado en roles (Azure RBAC) para administrar el acceso a los recursos de Azure. Azure proporciona roles integrados y le permite crear roles personalizados.

Centro de plataforma versus proyecto

En el portal de Foundry, el acceso tiene dos niveles: el centro y el proyecto. El centro aloja infraestructura (incluyendo la configuración de red virtual, las claves administradas por el cliente, las identidades gestionadas y las directivas). Es donde se configuran las herramientas de Foundry. El acceso al centro le permite modificar la infraestructura, crear centros y crear proyectos. Los proyectos son un subconjunto del centro y actúan como áreas de trabajo para compilar e implementar sistemas de inteligencia artificial. En un proyecto, desarrolle flujos, implemente modelos y administre recursos del proyecto. El acceso al proyecto le permite construir e implementar inteligencia artificial de extremo a extremo mientras utiliza la infraestructura del hub.

Una ventaja clave de la relación entre el centro y el proyecto es que los desarrolladores pueden crear proyectos que hereden la configuración de seguridad del centro. Algunos desarrolladores son colaboradores de un proyecto y no pueden crear nuevos proyectos.

Roles predeterminados para el centro

El centro de Foundry tiene roles integrados que están disponibles de forma predeterminada.

La diferencia clave entre colaborador y Azure desarrollador de IA es la capacidad de crear nuevos centros. Solo los roles Propietario y Colaborador le permiten crear un centro. Los roles personalizados no pueden conceder la creación de hubs.

rol de administrador de IA de Azure

Los centros creados después del 19/11/2024 se les asigna la identidad administrada del sistema al rol de Azure AI Administrator en lugar del rol de Colaborador.

{
  "permissions": [
    {
      "actions": [
        "Microsoft.Authorization/*/read",
        "Microsoft.CognitiveServices/*",
        "Microsoft.ContainerRegistry/registries/*",
        "Microsoft.DocumentDb/databaseAccounts/*",
        "Microsoft.Features/features/read",
        "Microsoft.Features/providers/features/read",
        "Microsoft.Features/providers/features/register/action",
        "Microsoft.Insights/alertRules/*",
        "Microsoft.Insights/components/*",
        "Microsoft.Insights/diagnosticSettings/*",
        "Microsoft.Insights/generateLiveToken/read",
        "Microsoft.Insights/logDefinitions/read",
        "Microsoft.Insights/metricAlerts/*",
        "Microsoft.Insights/metricdefinitions/read",
        "Microsoft.Insights/metrics/read",
        "Microsoft.Insights/scheduledqueryrules/*",
        "Microsoft.Insights/topology/read",
        "Microsoft.Insights/transactions/read",
        "Microsoft.Insights/webtests/*",
        "Microsoft.KeyVault/*",
        "Microsoft.MachineLearningServices/workspaces/*",
        "Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action",
        "Microsoft.ResourceHealth/availabilityStatuses/read",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/deployments/operations/read",
        "Microsoft.Resources/subscriptions/operationresults/read",
        "Microsoft.Resources/subscriptions/read",
        "Microsoft.Resources/subscriptions/resourcegroups/deployments/*",
        "Microsoft.Resources/subscriptions/resourceGroups/read",
        "Microsoft.Resources/subscriptions/resourceGroups/write",
        "Microsoft.Storage/storageAccounts/*",
        "Microsoft.Support/*",
        "Microsoft.Search/searchServices/write",
        "Microsoft.Search/searchServices/read",
        "Microsoft.Search/searchServices/delete",
        "Microsoft.Search/searchServices/indexes/*",
        "Microsoft.DataFactory/factories/*"
      ],
      "notActions": [],
      "dataActions": [],
      "notDataActions": []
    }
  ]
}

rol de desarrollador de IA de Azure

{
  "permissions": [
    {
      "actions": [
        "Microsoft.MachineLearningServices/workspaces/*/read",
        "Microsoft.MachineLearningServices/workspaces/*/action",
        "Microsoft.MachineLearningServices/workspaces/*/delete",
        "Microsoft.MachineLearningServices/workspaces/*/write",
        "Microsoft.MachineLearningServices/locations/*/read",
        "Microsoft.Authorization/*/read",
        "Microsoft.Resources/deployments/*"
      ],
      "notActions": [
        "Microsoft.MachineLearningServices/workspaces/delete",
        "Microsoft.MachineLearningServices/workspaces/write",
        "Microsoft.MachineLearningServices/workspaces/listKeys/action",
        "Microsoft.MachineLearningServices/workspaces/hubs/write",
        "Microsoft.MachineLearningServices/workspaces/hubs/delete",
        "Microsoft.MachineLearningServices/workspaces/featurestores/write",
        "Microsoft.MachineLearningServices/workspaces/featurestores/delete"
      ],
      "dataActions": [
        "Microsoft.CognitiveServices/accounts/OpenAI/*",
        "Microsoft.CognitiveServices/accounts/SpeechServices/*",
        "Microsoft.CognitiveServices/accounts/ContentSafety/*"
      ],
      "notDataActions": []
    }
  ]
}

Roles predeterminados para proyectos

Al conceder a un usuario acceso a un proyecto, el sistema también asigna el rol de Lector en el hub y el rol de Operador de Implementación de Inferencia para permitir implementaciones en el grupo de recursos.

Para crear un proyecto, un rol debe incluir Microsoft.MachineLearningServices/workspaces/hubs/join en el hub (incluido en Azure AI Developer).

Permisos del servicio de dependencia

Configuración de RBAC empresarial de ejemplo para centros

Acceso a recursos externos

Asegúrese de que a la identidad administrada del centro se le conceden roles necesarios en servicios externos (por ejemplo, almacenamiento, búsqueda) antes de su uso.

Administración del acceso

Use el portal de Foundry (hoja Usuarios) o el portal de Azure IAM/CLI para asignar roles.

CLI de ejemplo:

az role assignment create --role "Azure AI Developer" --assignee "user@contoso.com" --scope /subscriptions/<sub-id>/resourceGroups/<rg-name>

Roles personalizados

Defina roles personalizados cuando los roles integrados no satisfagan las necesidades. Ejemplo de extracto de roles personalizados de nivel de suscripción:

{
  "properties": {
    "roleName": "Foundry Developer",
    "description": "Custom role for Foundry. At subscription level",
    "assignableScopes": ["/subscriptions/<your-subscription-id>"],
    "permissions": [ { "actions": ["Microsoft.MachineLearningServices/workspaces/write", "Microsoft.MachineLearningServices/workspaces/endpoints/write"], "notActions": [], "dataActions": ["Microsoft.CognitiveServices/accounts/OpenAI/*/read"], "notDataActions": [] } ]
  }
}

Asignación de roles en el portal

En el centro de administración, seleccione Usuarios en el nivel de centro o proyecto y, a continuación, Nuevo usuario.

Aspectos destacados del escenario

• Clave administrada por el cliente: conceda al creador del área de trabajo acceso a Key Vault; si usa la identidad asignada por el usuario, conceda los permisos necesarios para el plano de datos.
• Conexiones con Microsoft Entra ID: asigne los roles necesarios de Azure RBAC (por ejemplo, Contribuyente de datos de Blob de almacenamiento, Contribuyente de datos de índice de búsqueda).
• Azure Container Registry: Utilice la identidad administrada asignada por el sistema o asigne ACRPull a la identidad asignada por el usuario.
• Application Insights: requiere Microsoft.Insights/Components/Write y Microsoft.OperationalInsights/workspaces/write durante la creación del hub.

Solución de problemas

Si los nuevos centros que utilizan el rol de identidad de Administrador de IA de Azure encuentran problemas, puede revertir temporalmente al rol de Colaborador (consulte el artículo original para ver los pasos detallados).

Pasos siguientes

• Creación de un centro de foundry
• Creación de un proyecto
• Adición de una conexión