Desabilitar recursos de visualização no Microsoft Foundry

Restrinja os recursos de visualização no Microsoft Foundry para manter os ambientes de produção focados em recursos disponíveis em geral. Este artigo aborda duas abordagens:

• Azure etiquetas ocultam superfícies de visualização no portal do Foundry (portais atuais e clássicos).
• As funções RBAC personalizadas bloqueiam operações de visualização específicas no nível da API.

Use tags para supressão no nível do portal e use funções RBAC personalizadas quando precisar bloquear operações ou permissões específicas.

Pré-requisitos

• Um recurso e um projeto da Foundry.
• Permissão para adicionar ou editar tags no escopo de destino no Azure. Por exemplo, Colaborador ou Colaborador de Tag.
• Uma assinatura Azure com permissões para criar funções personalizadas no escopo em que você deseja que a função seja atribuível (por exemplo, a função Proprietário ou a função administrador de acesso do usuário).
• Permissões para atribuir funções no escopo onde você concede acesso (por exemplo, a função Administrador de Controle de Acesso Baseado em Função ou a função Administrador de Acesso do Usuário).
• CLI do Azure instalado e autenticado, caso você crie papéis a partir da linha de comando. Para obter mais informações, consulte Instale o CLI do Azure.
• Acesso ao Azure portal.

Aplicar a etiqueta

Aplique o tag de supressão de recurso de pré-visualização no escopo que sua organização governa.

Aplique o tag no escopo que corresponde às suas necessidades de governança.

• Assinatura para governança em toda a organização.
• Grupo de recursos para cobrir todos os recursos em um grupo.
• Recurso de fundição para controle granular.

az tag update --resource-id <resource-id> --operation merge --tags AZML_DISABLE_PREVIEW_FEATURE=true

az resource show --name <resource-name> --resource-group <resource-group> --resource-type "Microsoft.CognitiveServices/accounts" --query id --output tsv

Remover a tag para reativar os recursos de visualização

Para restaurar recursos de pré-visualização, remova a tag AZML_DISABLE_PREVIEW_FEATURE.

az tag update --resource-id <resource-id> --operation delete --tags AZML_DISABLE_PREVIEW_FEATURE=true

Depois de remover a etiqueta, atualize a página do portal do Foundry ou saia e entre novamente. Os recursos de pré-visualização reaparecem em poucos minutos.

Verificar a supressão em ambas as experiências do portal

Depois que a tag for salva, permita alguns minutos para propagação e, em seguida, verifique o comportamento em ambos os ambientes.

1. Abra Microsoft Foundry.
2. Abra o projeto marcado.
3. Valide se os recursos de interface do usuário apenas para visualização estão ocultos.
   • No portal clássico, a ferramenta de funcionalidades de pré-visualização no canto superior direito está desabilitada.
   • No novo portal, você não verá rótulos PREVIEW , pois os recursos na visualização não estarão mais visíveis.
4. Alterne entre experiências novas e clássicas usando o New Foundry e valide o mesmo comportamento.

Resultado esperado: os recursos de visualização estão ocultos em experiências novas e clássicas do portal do Foundry.

Solucionar problemas de supressão

Use a tabela a seguir quando a supressão não se comportar conforme o esperado.

Bloquear funcionalidades de pré-visualização com funções RBAC personalizadas

Você pode bloquear o acesso a recursos de visualização específicos criando uma função de Azure personalizada que exclui as permissões correspondentes e atribuindo essa função aos usuários.

Como não é possível modificar funções internas, você cria uma função personalizada que usa notDataActions (ou notActions para recursos do plano de controle, como o Rastreamento) para excluir as permissões que deseja bloquear.

A tabela a seguir resume os recursos de visualização que você pode bloquear e o tipo de permissões a serem excluídas.

Criar uma função personalizada que bloqueia um recurso de visualização

Esta seção explica como criar uma definição de função personalizada e atribuí-la a um usuário. O exemplo bloqueia o Serviço de Agente, mas você pode substituir as ações relacionadas a dados das seções de funcionalidades neste artigo.

Etapa 1: Definir a função JSON

Crie um arquivo JSON nomeado custom-role.json com o conteúdo a seguir. Substitua <subscription-id> pela ID da assinatura Azure e adicione as ações de dados que você deseja bloquear para notDataActions.

{
  "properties": {
    "roleName": "Foundry custom role (preview features blocked)",
    "description": "Custom role that excludes specific Foundry preview features.",
    "assignableScopes": [
      "/subscriptions/<subscription-id>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.CognitiveServices/*/read",
          "Microsoft.Authorization/*/read"
        ],
        "notActions": [],
        "dataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/*"
        ],
        "notDataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/agents/write",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/read",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/delete"
        ]
      }
    ]
  }
}

Etapa 2: Criar a função

az role definition create --role-definition custom-role.json

Etapa 3: Atribuir a função

az role assignment create \
    --role "Foundry custom role (preview features blocked)" \
    --assignee "<user-email-or-object-id>" \
    --scope "/subscriptions/<subscription-id>"

Etapa 4: Verificar a atribuição de função

Confirme se a função personalizada exclui as permissões esperadas.

az role assignment list --assignee "<user-email-or-object-id>" --output table

az role definition list --name "Foundry custom role (preview features blocked)" --output json

Pré-visualizar ações de dados de funcionalidades

Cada uma das seções a seguir lista as permissões para um recurso de visualização. Adicione as ações de dados às quais você deseja bloquear notDataActions em sua definição de função personalizada, exceto para Rastreamento, que usa ações do painel de controle em notActions.

Serviço de Agente

Adicione essas ações de dados no notDataActions à sua definição de função personalizada:

• Microsoft.CognitiveServices/accounts/AIServices/agents/write
• Microsoft.CognitiveServices/accounts/AIServices/agents/read
• Microsoft.CognitiveServices/accounts/AIServices/agents/delete

Para bloquear todas as operações do Serviço de Agente com uma única entrada, use o curinga Microsoft.CognitiveServices/accounts/AIServices/agents/*.

Compreensão de conteúdo

Adicione essas ações de dados no notDataActions à sua definição de função personalizada:

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/batchAnalysisJobs/*

Se sua equipe rotula documentos na Foundry, também bloqueie as ações de dados de rotulagem. No editor de funções personalizadas do portal Azure, pesquise labelingProjects no Microsoft. CognitiveServices provedor de recursos para localizar as operações disponíveis, como:

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/delete

Ajuste fino

O ajuste fino usa vários caminhos de ação de dados em Microsoft.CognitiveServices/accounts/OpenAI/. Adicione cada caminho que você deseja bloquear a notDataActions na sua definição de função personalizada.

• Microsoft.CognitiveServices/accounts/OpenAI/fine-tunes/*
• Microsoft.CognitiveServices/accounts/OpenAI/files/*
• Microsoft.CognitiveServices/accounts/OpenAI/uploads/*
• Microsoft.CognitiveServices/accounts/OpenAI/stored-completions/*
• Microsoft.CognitiveServices/accounts/OpenAI/evals/*
• Microsoft.CognitiveServices/accounts/OpenAI/models/*

Opcionalmente, se sua equipe executar tarefas de RLHF, também adicione:

• Microsoft.CognitiveServices/accounts/OpenAI/1p-jobs/*

Rastreamento

Adicione estas ações à definição de função personalizada notActions.

• Microsoft.Insights/alertRules/read
• Microsoft.Insights/diagnosticSettings/read
• Microsoft.Insights/logDefinitions/read
• Microsoft.Insights/metricdefinitions/read
• Microsoft.Insights/metrics/read

Bloquear essas ações de leitura impede que os usuários visualizem o painel Rastreamento no portal do Foundry. Usuários que precisam de acesso a rastreamento exigem um papel separado que inclua as ações de leitura Microsoft.Insights, como um papel de Leitor no recurso do Application Insights conectado.

Avaliações

Adicione essas ações de dados no notDataActions à sua definição de função personalizada:

• Microsoft.CognitiveServices/accounts/AIServices/evaluations/write
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/read
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/delete

Segurança de conteúdo

Adicione essas ações de dados no notDataActions à sua definição de função personalizada:

• Microsoft.CognitiveServices/accounts/ContentSafety/*

Para bloquear apenas operações específicas de Segurança de Conteúdo em vez de todas as operações, pesquise ContentSafety no editor de funções personalizadas do portal Azure e selecione as ações de dados individuais que você deseja excluir.

Solucionar problemas de RBAC

Conteúdo relacionado

• controle de acesso baseado em funções para Microsoft Foundry
• Autenticação e autorização no Microsoft Foundry
• Criar ou atualizar Azure funções personalizadas usando o portal Azure
• Criar ou atualizar funções personalizadas Azure usando CLI do Azure
• Atribuir funções do Azure usando o portal do Azure