Microsoft Foundry でプレビュー機能を無効にする

Microsoft Foundry のプレビュー機能を制限して、運用環境を一般公開されている機能に集中させます。 この記事では、次の 2 つの方法について説明します。

• Azure タグ Foundry ポータル (現在およびクラシック ポータル) でプレビュー サーフェスを非表示にします。
• カスタム RBAC ロールは、 API レベルで特定のプレビュー操作をブロックします。

ポータル レベルの抑制にタグを使用し、特定の操作またはアクセス許可をブロックする必要がある場合はカスタム RBAC ロールを使用します。

前提 条件

• Foundry リソースとプロジェクト。
• Azureのターゲット スコープでタグを追加または編集するアクセス許可。 たとえば、 共同作成者 や タグ共同作成者などです。
• ロールを割り当て可能にするスコープ (所有者ロールやユーザー アクセス管理者ロールなど) でカスタム ロールを作成するアクセス許可を持つAzure サブスクリプション。
• スコープで役割を割り当てるための権限（例: ロールベースアクセス制御管理者の役割やユーザーアクセス管理者の役割）。
• Azure CLI がインストールされてサインインされている場合に、コマンド ラインからロールを作成します。 詳細については、「 Azure CLIを参照してください。
• Azure ポータルにアクセスします。

タグを適用する

組織が管理するスコープでプレビュー機能抑制タグを適用します。

ガバナンスのニーズに一致するスコープでタグを適用します。

• 組織全体のガバナンスのサブスクリプション。
• グループ 内のすべてのリソースをカバーするリソース グループ。
• 詳細な制御のための Foundry リソース。

az tag update --resource-id <resource-id> --operation merge --tags AZML_DISABLE_PREVIEW_FEATURE=true

az resource show --name <resource-name> --resource-group <resource-group> --resource-type "Microsoft.CognitiveServices/accounts" --query id --output tsv

タグを削除してプレビュー機能を再度有効にする

プレビュー機能を復元するには、 AZML_DISABLE_PREVIEW_FEATURE タグを削除します。

az tag update --resource-id <resource-id> --operation delete --tags AZML_DISABLE_PREVIEW_FEATURE=true

タグを削除した後、Foundry ポータルを更新するか、サインアウトして再びサインインします。 プレビュー機能は数分以内に再び表示されます。

両方のポータル エクスペリエンスで抑制を確認する

タグが保存されたら、伝達のために数分待ってから、両方のエクスペリエンスで動作を確認します。

1. Microsoft Foundry を開きます。
2. タグ付けされたプロジェクトを開きます。
3. プレビューのみの UI 機能が非表示であることを検証します。
   • クラシック ポータルでは、右上にあるプレビュー機能ツールが無効になっています。
   • 新しいポータルでは、プレビューの機能が表示されなくなっているので、 プレビュー ラベルは表示されません。
4. New Foundry を使用して新しいエクスペリエンスとクラシック エクスペリエンスを切り替え、同じ動作を検証します。

期待される結果: プレビュー機能は、新しい Foundry ポータルエクスペリエンスとクラシック ポータル エクスペリエンスの両方で非表示になります。

抑制問題のトラブルシューティング

抑制が期待どおりに動作しない場合は、次の表を使用します。

カスタム RBAC ロールを使用してプレビュー機能をブロックする

特定のプレビュー機能へのアクセスをブロックするには、対応するアクセス許可を除外するカスタム Azure ロールを作成し、そのロールをユーザーに割り当てます。

組み込みロールは変更できないため、 (またはトレースなどのコントロール プレーン機能のnotDataActions) を使用して、ブロックするアクセス許可を除外するnotActionsを作成します。

次の表は、ブロックできるプレビュー機能と、除外するアクセス許可の種類をまとめたものです。

プレビュー機能をブロックするカスタム ロールを作成する

このセクションでは、カスタム ロール定義を作成し、ユーザーに割り当てる手順について説明します。 この例ではエージェント サービスをブロックしますが、この記事の 機能セクション のデータ アクションを置き換えることができます。

手順 1: ロール JSON を定義する

次の内容を含む custom-role.json という名前の JSON ファイルを作成します。 <subscription-id>をAzure サブスクリプション ID に置き換え、ブロックするデータ アクションを notDataActions に追加します。

{
  "properties": {
    "roleName": "Foundry custom role (preview features blocked)",
    "description": "Custom role that excludes specific Foundry preview features.",
    "assignableScopes": [
      "/subscriptions/<subscription-id>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.CognitiveServices/*/read",
          "Microsoft.Authorization/*/read"
        ],
        "notActions": [],
        "dataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/*"
        ],
        "notDataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/agents/write",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/read",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/delete"
        ]
      }
    ]
  }
}

手順 2: ロールを作成する

az role definition create --role-definition custom-role.json

手順 3: ロールを割り当てる

az role assignment create \
    --role "Foundry custom role (preview features blocked)" \
    --assignee "<user-email-or-object-id>" \
    --scope "/subscriptions/<subscription-id>"

手順 4: ロールの割り当てを確認する

カスタム ロールが予想されるアクセス許可を除外していることを確認します。

az role assignment list --assignee "<user-email-or-object-id>" --output table

az role definition list --name "Foundry custom role (preview features blocked)" --output json

プレビュー機能データの操作

次の各セクションでは、プレビュー機能のアクセス許可の一覧を示します。 カスタム ロール定義のnotDataActionsにブロックしたいデータ アクションを追加します。ただし、notActionsでコントロール プレーン アクションを使用するトレースは除きます。

エージェント サービス

カスタム ロール定義の notDataActions に、次のデータ アクションを追加します。

• Microsoft.CognitiveServices/accounts/AIServices/agents/write
• Microsoft.CognitiveServices/accounts/AIServices/agents/read
• Microsoft.CognitiveServices/accounts/AIServices/agents/delete

1 つのエントリですべてのエージェント サービス操作をブロックするには、ワイルドカード Microsoft.CognitiveServices/accounts/AIServices/agents/*を使用します。

コンテンツ理解

カスタム ロール定義の notDataActions に、次のデータ アクションを追加します。

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/batchAnalysisJobs/*

チームが Foundry でドキュメントにラベルを付ける場合は、ラベル付けデータ アクションもブロックします。 Azure ポータルのカスタム ロール エディターで、Microsoft.CognitiveServices リソース プロバイダーの下で labelingProjects を検索します。次のような使用可能な操作を見つけることができます。

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/delete

微調整

微調整では、Microsoft.CognitiveServices/accounts/OpenAI/ の下にある複数のデータ アクション パスが使用されます。 ブロックしたい各パスを、カスタム ロール定義のnotDataActionsに追加します。

• Microsoft.CognitiveServices/accounts/OpenAI/fine-tunes/*
• Microsoft.CognitiveServices/accounts/OpenAI/files/*
• Microsoft.CognitiveServices/accounts/OpenAI/uploads/*
• Microsoft.CognitiveServices/accounts/OpenAI/stored-completions/*
• Microsoft.CognitiveServices/accounts/OpenAI/evals/*
• Microsoft.CognitiveServices/accounts/OpenAI/models/*

必要に応じて、チームが RLHF ジョブを実行する場合は、次も追加します。

• Microsoft.CognitiveServices/accounts/OpenAI/1p-jobs/*

トレース

カスタム ロール定義の notActions に次のアクションを追加します。

• Microsoft.Insights/alertRules/read
• Microsoft.Insights/diagnosticSettings/read
• Microsoft.Insights/logDefinitions/read
• Microsoft.Insights/metricdefinitions/read
• Microsoft.Insights/metrics/read

これらの読み取りアクションをブロックすると、ユーザーは Foundry ポータルの [トレース] ウィンドウを表示できなくなります。 トレース アクセスが必要なユーザーには、接続された Application Insights リソースの閲覧者ロールなど、Microsoft.Insights 読み取りアクションを含む別のロールが必要です。

評価

カスタム ロール定義の notDataActions に、次のデータ アクションを追加します。

• Microsoft.CognitiveServices/accounts/AIServices/evaluations/write
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/read
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/delete

コンテンツの安全性

カスタム ロール定義の notDataActions に、次のデータ アクションを追加します。

• Microsoft.CognitiveServices/accounts/ContentSafety/*

すべての操作ではなく、特定の Content Safety 操作のみをブロックするには、Azure ポータルのカスタム ロール エディターで ContentSafety を検索し、除外する個々のデータ アクションを選択します。

RBAC に関する問題のトラブルシューティング

関連コンテンツ

• Microsoft Foundry に対するロールベースのアクセス制御
• Microsoft Foundry
• Azure ポータルを使用して、Azure カスタム ロールを作成または更新します
• Azure CLI を使用して Azure のカスタム ロールを作成または更新する
• Azure ポータルを使用してAzureロールを割り当