Désactiver les fonctionnalités d’aperçu dans Microsoft Foundry

Limitez les fonctionnalités en préversion dans Microsoft Foundry pour maintenir les environnements de production axés sur les fonctionnalités en disponibilité générale. Cet article aborde deux approches :

• Étiquettes Azure masquent les surfaces d’aperçu dans le portail Foundry (portails actuels et classiques).
• Les rôles RBAC personnalisés bloquent des opérations d’aperçu spécifiques au niveau de l’API.

Utilisez des balises pour la suppression au niveau du portail et utilisez des rôles RBAC personnalisés lorsque vous devez bloquer des opérations ou des autorisations spécifiques.

Conditions préalables

• Ressource et projet Foundry.
• Autorisation d’ajouter ou de modifier des balises dans votre étendue cible dans Azure. Par exemple, Contributeur ou Contributeur d’étiquettes.
• Un abonnement Azure disposant d’autorisations pour créer des rôles personnalisés dans l’étendue où vous souhaitez que le rôle soit assignable (par exemple, le rôle Propriétaire ou le rôle Administrateur de l’accès utilisateur).
• Autorisations d’attribution de rôles dans l’étendue où vous attribuez l’accès (par exemple, le rôle d'administrateur du contrôle d'accès basé sur les rôles ou le rôle d'administrateur de l’accès utilisateur).
• Azure CLI installé et connecté, si vous créez des rôles à partir de la ligne de commande. Pour plus d’informations, consultez Installer le Azure CLI.
• Accès au portail Azure.

Appliquer la balise

Appliquez la balise de désactivation de la fonctionnalité en préversion au niveau de l’étendue gérée par votre organisation.

Appliquez la balise à l’étendue qui correspond à vos besoins de gouvernance :

• Abonnement pour la gouvernance à l’échelle de l’organisation.
• Groupe de ressources pour couvrir toutes les ressources d’un groupe.
• Ressource Foundry pour un contrôle granulaire.

az tag update --resource-id <resource-id> --operation merge --tags AZML_DISABLE_PREVIEW_FEATURE=true

az resource show --name <resource-name> --resource-group <resource-group> --resource-type "Microsoft.CognitiveServices/accounts" --query id --output tsv

Supprimer la balise pour réactiver les fonctionnalités d’aperçu

Pour restaurer les fonctionnalités d’aperçu, supprimez la AZML_DISABLE_PREVIEW_FEATURE balise.

az tag update --resource-id <resource-id> --operation delete --tags AZML_DISABLE_PREVIEW_FEATURE=true

Après avoir supprimé la balise, actualisez le portail Foundry ou déconnectez-vous et reconnectez-vous. Les fonctionnalités en préversion réapparaîtnt en quelques minutes.

Vérifier la suppression dans les deux expériences du portail

Une fois la balise enregistrée, laissez quelques minutes pour la propagation, puis vérifiez le comportement dans les deux expériences.

1. Ouvrez Microsoft Foundry.
2. Ouvrez votre projet étiqueté.
3. Vérifiez que les fonctionnalités d’interface utilisateur en préversion uniquement sont masquées.
   • Dans le portail Classic, l’outil fonctionnalités en préversion en haut à droite est désactivé.
   • Dans le nouveau portail, vous ne verrez aucune étiquette PREVIEW , car les fonctionnalités de la préversion ne seront plus visibles.
4. Basculez entre les expériences nouvelles et classiques à l’aide de New Foundry et validez le même comportement.

Résultat attendu : les fonctionnalités en préversion sont masquées dans les expériences du portail Foundry nouvelles et classiques.

Résoudre les problèmes de suppression

Utilisez le tableau suivant lorsque la suppression ne se comporte pas comme prévu.

Bloquer les fonctionnalités de version préliminaire avec des rôles RBAC personnalisés

Vous pouvez bloquer l’accès à des fonctionnalités d’aperçu spécifiques en créant un rôle de Azure personnalisé qui exclut les autorisations correspondantes, puis en affectant ce rôle aux utilisateurs.

Étant donné que vous ne pouvez pas modifier les rôles intégrés, vous créez un rôle personnalisé qui utilise notDataActions (ou notActions pour les fonctionnalités du plan de contrôle comme le suivi) pour exclure les autorisations que vous souhaitez bloquer.

Le tableau suivant récapitule les fonctionnalités d’aperçu que vous pouvez bloquer et le type d’autorisations à exclure.

Créer un rôle personnalisé qui bloque une fonctionnalité d’aperçu

Cette section décrit la création d’une définition de rôle personnalisée et son affectation à un utilisateur. L’exemple bloque le service Agent, mais vous pouvez remplacer toutes les actions de données des sections de fonctionnalités de cet article.

Étape 1 : Définir le rôle JSON

Créez un fichier JSON nommé custom-role.json avec le contenu suivant. Remplacez <subscription-id> par votre ID d’abonnement Azure et ajoutez les actions de données que vous souhaitez bloquer à notDataActions.

{
  "properties": {
    "roleName": "Foundry custom role (preview features blocked)",
    "description": "Custom role that excludes specific Foundry preview features.",
    "assignableScopes": [
      "/subscriptions/<subscription-id>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.CognitiveServices/*/read",
          "Microsoft.Authorization/*/read"
        ],
        "notActions": [],
        "dataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/*"
        ],
        "notDataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/agents/write",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/read",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/delete"
        ]
      }
    ]
  }
}

Étape 2 : Créer le rôle

az role definition create --role-definition custom-role.json

Étape 3 : Attribuer le rôle

az role assignment create \
    --role "Foundry custom role (preview features blocked)" \
    --assignee "<user-email-or-object-id>" \
    --scope "/subscriptions/<subscription-id>"

Étape 4 : Vérifier l’attribution de rôle

Vérifiez que le rôle personnalisé exclut les autorisations attendues.

az role assignment list --assignee "<user-email-or-object-id>" --output table

az role definition list --name "Foundry custom role (preview features blocked)" --output json

Actions de données des fonctionnalités en préversion

Chacune des sections suivantes répertorie les autorisations d’une fonctionnalité d’aperçu. Ajoutez les actions de données que vous souhaitez bloquer à notDataActions dans votre définition de rôle personnalisée, à l’exception du traçage, qui utilise des actions de plan de contrôle dans notActions.

Service d’agent

Ajoutez ces actions de données à votre définition de rôle personnalisée dans notDataActions :

• Microsoft.CognitiveServices/accounts/AIServices/agents/write
• Microsoft.CognitiveServices/accounts/AIServices/agents/read
• Microsoft.CognitiveServices/accounts/AIServices/agents/delete

Pour bloquer toutes les opérations du service d’agent avec une seule entrée, utilisez l’expression générique Microsoft.CognitiveServices/accounts/AIServices/agents/*.

Compréhension du contenu

Ajoutez ces actions de données à votre définition de rôle personnalisée dans notDataActions :

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/batchAnalysisJobs/*

Si votre équipe étiquette des documents dans Foundry, bloquez également les actions d’étiquetage des données. Dans l’éditeur de rôle personnalisé du portail Azure, recherchez labelingProjects sous le Microsoft. CognitiveServices fournisseur de ressources pour rechercher les opérations disponibles, telles que :

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/delete

Réglage précis

Le réglage fin utilise plusieurs trajectoires d'action de données sous Microsoft.CognitiveServices/accounts/OpenAI/. Ajoutez chaque chemin d’accès que vous souhaitez bloquer à notDataActions dans votre définition de rôle personnalisée.

• Microsoft.CognitiveServices/accounts/OpenAI/fine-tunes/*
• Microsoft.CognitiveServices/accounts/OpenAI/files/*
• Microsoft.CognitiveServices/accounts/OpenAI/uploads/*
• Microsoft.CognitiveServices/accounts/OpenAI/stored-completions/*
• Microsoft.CognitiveServices/accounts/OpenAI/evals/*
• Microsoft.CognitiveServices/accounts/OpenAI/models/*

Si votre équipe exécute des travaux RLHF, vous pouvez également ajouter :

• Microsoft.CognitiveServices/accounts/OpenAI/1p-jobs/*

Traçage

Ajoutez ces actions à notActions dans votre définition de rôle personnalisée :

• Microsoft.Insights/alertRules/read
• Microsoft.Insights/diagnosticSettings/read
• Microsoft.Insights/logDefinitions/read
• Microsoft.Insights/metricdefinitions/read
• Microsoft.Insights/metrics/read

Le blocage de ces actions de lecture empêche les utilisateurs d’afficher le volet Suivi dans le portail Foundry. Les utilisateurs qui ont besoin d'un accès Tracing nécessitent un rôle distinct comprenant les actions de lecture Microsoft.Insights, comme le rôle Lecteur sur une ressource Application Insights connectée.

Évaluations

Ajoutez ces actions de données à votre définition de rôle personnalisée dans notDataActions :

• Microsoft.CognitiveServices/accounts/AIServices/evaluations/write
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/read
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/delete

Sécurité du contenu

Ajoutez ces actions de données à votre définition de rôle personnalisée dans notDataActions :

• Microsoft.CognitiveServices/accounts/ContentSafety/*

Pour bloquer uniquement des opérations de sécurité du contenu spécifiques au lieu de toutes les opérations, recherchez ContentSafety dans l’éditeur de rôle personnalisé du portail Azure et sélectionnez les actions de données individuelles que vous souhaitez exclure.

Résoudre les problèmes RBAC

Contenu connexe

• contrôle d’accès basé sur les rôles pour Microsoft Foundry
• Authentication et autorisation dans Microsoft Foundry
• Créer ou mettre à jour des rôles personnalisés Azure à l’aide du portail Azure
• Créer ou mettre à jour des rôles personnalisés Azure à l’aide de Azure CLI
• Assigner des rôles Azure à l’aide du portail Azure