Preview-functies uitschakelen in Microsoft Foundry

Beperk preview-functies in Microsoft Foundry om productieomgevingen gericht te houden op algemeen beschikbare mogelijkheden. In dit artikel worden twee benaderingen behandeld:

• Azure tags preview-oppervlakken verbergen in de Foundry-portal (huidige en klassieke portals).
• Aangepaste RBAC-rollen blokkeren specifieke preview-bewerkingen op API-niveau.

Gebruik tags voor onderdrukking op portalniveau en gebruik aangepaste RBAC-rollen wanneer u specifieke bewerkingen of machtigingen moet blokkeren.

Voorwaarden

• Een Foundry-resource en -project.
• Machtiging om tags toe te voegen aan of te bewerken in uw doelbereik in Azure. Bijvoorbeeld Inzender of Tagbijdrager.
• Een Azure-abonnement met machtigingen voor het maken van aangepaste rollen in het bereik waar u de rol wilt toewijzen (bijvoorbeeld de rol Eigenaar of de rol Beheerder voor gebruikerstoegang).
• Machtigingen voor het toewijzen van rollen aan het bereik waar u toegang toewijst (bijvoorbeeld de rol Role Based Access Control-beheerder of de rol Gebruikerstoegangsbeheerder).
• Azure CLI moet geïnstalleerd en aangemeld zijn wanneer u rollen vanaf de opdrachtregel maakt. Zie Install the Azure CLI voor meer informatie.
• Toegang tot Azure portal.

De tag toepassen

Pas de tag voor onderdrukking van de previewfunctie toe op het bereik dat uw organisatie beheert.

Pas de tag toe op het bereik dat overeenkomt met uw governancebehoeften:

• Abonnement voor governance voor de hele organisatie.
• Resourcegroep voor alle resources in een groep.
• Foundry-resource voor gedetailleerde controle.

az tag update --resource-id <resource-id> --operation merge --tags AZML_DISABLE_PREVIEW_FEATURE=true

az resource show --name <resource-name> --resource-group <resource-group> --resource-type "Microsoft.CognitiveServices/accounts" --query id --output tsv

De tag verwijderen om preview-functies opnieuw in te schakelen

Om voorbeeldfuncties te herstellen, verwijdert u het AZML_DISABLE_PREVIEW_FEATURE-label.

az tag update --resource-id <resource-id> --operation delete --tags AZML_DISABLE_PREVIEW_FEATURE=true

Nadat u de tag hebt verwijderd, vernieuwt u de Foundry-portal of meldt u zich opnieuw aan en uit. Preview-functies worden binnen een paar minuten opnieuw weergegeven.

Onderdrukking controleren in beide portalervaringen

Nadat de tag is opgeslagen, wacht enkele minuten tot de doorgifte is voltooid en controleer vervolgens het gedrag in beide omgevingen.

1. Open Microsoft Foundry.
2. Open het gelabelde project.
3. Controleer of UI-functies die alleen als voorbeeld dienen, zijn verborgen.
   • In de klassieke portal is het hulpmiddel Preview-functies in de rechterbovenhoek uitgeschakeld.
   • In de nieuwe portal ziet u geen PREVIEW-labels , omdat de functies in de preview-versie niet meer zichtbaar zijn.
4. Schakelen tussen nieuwe en klassieke ervaringen met behulp van New Foundry en hetzelfde gedrag valideren.

Verwacht resultaat: preview-functies zijn verborgen in zowel nieuwe als klassieke Foundry-portalervaringen.

Onderdrukkingsproblemen oplossen

Gebruik de volgende tabel wanneer onderdrukking niet werkt zoals verwacht.

Preview-functies met aangepaste RBAC-rollen blokkeren

U kunt de toegang tot specifieke preview-functies blokkeren door een aangepaste Azure rol te maken die de bijbehorende machtigingen uitsluit en die rol vervolgens toewijst aan gebruikers.

Omdat u ingebouwde rollen niet kunt wijzigen, maakt u een aangepaste rol die gebruikmaakt notDataActions van (of notActions voor besturingsvlakfuncties zoals Tracering) om de machtigingen die u wilt blokkeren uit te sluiten.

De volgende tabel bevat een overzicht van de preview-functies die u kunt blokkeren en het type machtigingen dat u wilt uitsluiten.

Een aangepaste rol maken waarmee een preview-functie wordt geblokkeerd

In deze sectie wordt uitgelegd hoe u een aangepaste roldefinitie maakt en deze toewijst aan een gebruiker. In het voorbeeld wordt Agent Service geblokkeerd, maar u kunt gegevensacties uit de functiesecties in dit artikel vervangen.

Stap 1: De rol JSON definiëren

Maak een JSON-bestand met de naam custom-role.json met de volgende inhoud. Vervang <subscription-id> door de id van uw Azure-abonnement en voeg de gegevensacties toe die u wilt blokkeren voor notDataActions.

{
  "properties": {
    "roleName": "Foundry custom role (preview features blocked)",
    "description": "Custom role that excludes specific Foundry preview features.",
    "assignableScopes": [
      "/subscriptions/<subscription-id>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.CognitiveServices/*/read",
          "Microsoft.Authorization/*/read"
        ],
        "notActions": [],
        "dataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/*"
        ],
        "notDataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/agents/write",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/read",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/delete"
        ]
      }
    ]
  }
}

Stap 2: De rol maken

az role definition create --role-definition custom-role.json

Stap 3: De rol toewijzen

az role assignment create \
    --role "Foundry custom role (preview features blocked)" \
    --assignee "<user-email-or-object-id>" \
    --scope "/subscriptions/<subscription-id>"

Stap 4: De roltoewijzing controleren

Controleer of de aangepaste rol de verwachte machtigingen uitsluit.

az role assignment list --assignee "<user-email-or-object-id>" --output table

az role definition list --name "Foundry custom role (preview features blocked)" --output json

Voorvertonen van functiegegevensacties

Elk van de volgende secties bevat de machtigingen voor een preview-functie. Voeg de gegevensacties die u wilt blokkeren toe aan notDataActions in uw aangepaste roldefinitie, met uitzondering van Tracering, die acties in het besturingsvlak gebruikt in notActions.

Agentservice

Voeg deze gegevensacties toe aan notDataActions in uw aangepaste roldefinitie:

• Microsoft.CognitiveServices/accounts/AIServices/agents/write
• Microsoft.CognitiveServices/accounts/AIServices/agents/read
• Microsoft.CognitiveServices/accounts/AIServices/agents/delete

Als u alle agentservicebewerkingen met één vermelding wilt blokkeren, gebruikt u het jokerteken Microsoft.CognitiveServices/accounts/AIServices/agents/*.

Inhoudskennis

Voeg deze gegevensacties toe aan notDataActions in uw aangepaste roldefinitie:

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/batchAnalysisJobs/*

Als uw team documenten in Foundry labelt, blokkeert u ook de acties voor labelgegevens. Zoek in de aangepaste roleditor van de Azure portal naar labelingProjects onder de Microsoft. CognitiveServices resourceprovider om de beschikbare bewerkingen te vinden, zoals:

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/delete

Fijnregeling

Voor het afstemmen worden verschillende gegevensactiepaden gebruikt onder Microsoft.CognitiveServices/accounts/OpenAI/. Voeg elk pad dat u wilt blokkeren toe aan notDataActions in uw aangepaste roldefinitie.

• Microsoft.CognitiveServices/accounts/OpenAI/fine-tunes/*
• Microsoft.CognitiveServices/accounts/OpenAI/files/*
• Microsoft.CognitiveServices/accounts/OpenAI/uploads/*
• Microsoft.CognitiveServices/accounts/OpenAI/stored-completions/*
• Microsoft.CognitiveServices/accounts/OpenAI/evals/*
• Microsoft.CognitiveServices/accounts/OpenAI/models/*

Als uw team RLHF-taken uitvoert, kunt u desgewenst ook het volgende toevoegen:

• Microsoft.CognitiveServices/accounts/OpenAI/1p-jobs/*

Tracering

Voeg deze acties toe aan notActions de definitie van uw aangepaste rol:

• Microsoft.Insights/alertRules/read
• Microsoft.Insights/diagnosticSettings/read
• Microsoft.Insights/logDefinitions/read
• Microsoft.Insights/metricdefinitions/read
• Microsoft.Insights/metrics/read

Als u deze leesacties blokkeert, kunnen gebruikers het deelvenster Tracering niet bekijken in de Foundry-portal. Gebruikers die toegang tot tracering nodig hebben, hebben een afzonderlijke rol nodig die de leesacties Microsoft.Insights bevat, zoals een lezerrol in de verbonden Application Insights-resource.

Evaluaties

Voeg deze gegevensacties toe aan notDataActions in uw aangepaste roldefinitie:

• Microsoft.CognitiveServices/accounts/AIServices/evaluations/write
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/read
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/delete

Inhoudsveiligheid

Voeg deze gegevensacties toe aan notDataActions in uw aangepaste roldefinitie:

• Microsoft.CognitiveServices/accounts/ContentSafety/*

Als u alleen specifieke inhoudsveiligheidsbewerkingen wilt blokkeren in plaats van alle bewerkingen, zoekt u naar ContentSafety in de aangepaste roleditor van de Azure-portal en selecteert u de afzonderlijke gegevensacties die u wilt uitsluiten.

Problemen met RBAC oplossen

Verwante inhoud

• Toegangscontrole op basis van rollen voor Microsoft Foundry
• Verificatie en autorisatie in Microsoft Foundry
• Azure aangepaste rollen maken of bijwerken met behulp van de Azure-portal
• Azure aangepaste rollen maken of bijwerken met behulp van Azure CLI
• Azure-rollen toewijzen via de Azure-portal