Inaktivera förhandsgranskningsfunktioner i Microsoft Foundry

Begränsa förhandsgranskningsfunktioner i Microsoft Foundry för att hålla produktionsmiljöerna fokuserade på allmänt tillgängliga funktioner. Den här artikeln beskriver två metoder:

• Azure taggar döljer förhandsgranskningsytor i portalen Foundry (aktuella och klassiska portaler).
• Anpassade RBAC-roller blockerar specifika förhandsgranskningsåtgärder på API-nivå.

Använd taggar för undertryckning på portalnivå och använd anpassade RBAC-roller när du behöver blockera specifika åtgärder eller behörigheter.

Förutsättningar

• En Foundry-resurs och ett projekt.
• Behörighet att lägga till eller redigera taggar i målomfånget i Azure. Till exempel Medverkare eller Taggmedverkare.
• En Azure prenumeration med behörighet att skapa anpassade roller i omfånget där du vill att rollen ska kunna tilldelas (till exempel rollen Ägare eller Administratör för användaråtkomst).
• Behörigheter för att tilldela roller i omfånget där du tilldelar åtkomst (till exempel administratörsroll för Rollbaserad Åtkomstkontroll eller administratör för användaråtkomst).
• Azure CLI installerat och inloggat, om du skapar roller från kommandoraden. Mer information finns i Installera Azure CLI.
• Åtkomst till Azure-portalen.

Använd taggen

Använd taggen för funktionens förhandsversionsundertryckning inom det omfång som din organisation har tillsyn över.

Använd taggen i det omfång som matchar dina styrningsbehov:

• Prenumeration för organisationsomfattande styrning.
• Resursgrupp för att täcka alla resurser i en grupp.
• Foundry-resurs för detaljerad kontroll.

az tag update --resource-id <resource-id> --operation merge --tags AZML_DISABLE_PREVIEW_FEATURE=true

az resource show --name <resource-name> --resource-group <resource-group> --resource-type "Microsoft.CognitiveServices/accounts" --query id --output tsv

Ta bort taggen för att återaktivera förhandsgranskningsfunktioner

Om du vill återställa förhandsgranskningsfunktioner tar du bort taggen AZML_DISABLE_PREVIEW_FEATURE .

az tag update --resource-id <resource-id> --operation delete --tags AZML_DISABLE_PREVIEW_FEATURE=true

När du har ta bort taggen uppdaterar du Foundry-portalen eller loggar ut och in igen. Förhandsversionsfunktionerna visas igen inom några minuter.

Verifiera undertryckning i båda portalupplevelserna

När taggen har sparats kan du tillåta några minuter för spridning och sedan verifiera beteendet i båda funktionerna.

1. Öppna Microsoft Foundry.
2. Öppna ditt taggade projekt.
3. Kontrollera att funktionerna i användargränssnittet endast för förhandsversion är dolda.
   • I den klassiska portalen är verktyget Förhandsgranskningsfunktioner i det övre högra hörnet inaktiverat.
   • I den nya portalen visas inga förhandsversionsetiketter eftersom funktionerna i förhandsversionen inte längre visas.
4. Växla mellan nya och klassiska upplevelser med hjälp av New Foundry och verifiera samma beteende.

Förväntat resultat: Förhandsgranskningsfunktionerna är dolda i både nya och klassiska Foundry-portalen.

Felsöka problem med undertryckning

Använd följande tabell när undertryckning inte fungerar som förväntat.

Blockera förhandsgranskningsfunktioner med anpassade RBAC-roller

Du kan blockera åtkomst till specifika förhandsgranskningsfunktioner genom att skapa en anpassad Azure roll som utesluter motsvarande behörigheter och sedan tilldela rollen till användare.

Eftersom du inte kan ändra inbyggda roller skapar du en anpassad roll som använder notDataActions (eller notActions för kontrollplansfunktioner som Tracing) för att undanta de behörigheter som du vill blockera.

I följande tabell sammanfattas de förhandsgranskningsfunktioner som du kan blockera och vilken typ av behörighet som ska undantas.

Skapa en anpassad roll som blockerar en förhandsgranskningsfunktion

Det här avsnittet beskriver hur du skapar en anpassad rolldefinition och tilldelar den till en användare. Exemplet blockerar Agent Service, men du kan ersätta alla dataåtgärder från funktionsavsnitten i den här artikeln.

Steg 1: Definiera rollen JSON

Skapa en JSON-fil med namnet custom-role.json med följande innehåll. Ersätt <subscription-id> med ditt Azure prenumerations-ID och lägg till de dataåtgärder som du vill blockera i notDataActions.

{
  "properties": {
    "roleName": "Foundry custom role (preview features blocked)",
    "description": "Custom role that excludes specific Foundry preview features.",
    "assignableScopes": [
      "/subscriptions/<subscription-id>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.CognitiveServices/*/read",
          "Microsoft.Authorization/*/read"
        ],
        "notActions": [],
        "dataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/*"
        ],
        "notDataActions": [
          "Microsoft.CognitiveServices/accounts/AIServices/agents/write",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/read",
          "Microsoft.CognitiveServices/accounts/AIServices/agents/delete"
        ]
      }
    ]
  }
}

Steg 2: Skapa rollen

az role definition create --role-definition custom-role.json

Steg 3: Tilldela rollen

az role assignment create \
    --role "Foundry custom role (preview features blocked)" \
    --assignee "<user-email-or-object-id>" \
    --scope "/subscriptions/<subscription-id>"

Steg 4: Verifiera rolltilldelningen

Bekräfta att den anpassade rollen exkluderar de förväntade behörigheterna.

az role assignment list --assignee "<user-email-or-object-id>" --output table

az role definition list --name "Foundry custom role (preview features blocked)" --output json

Förhandsgranska funktionsdataåtgärder

Vart och ett av följande avsnitt innehåller behörigheter för en förhandsversionsfunktion. Lägg till dataåtgärderna som du vill blockera i din anpassade rolldefinition till notDataActions, förutom Tracing, som använder kontrollplansåtgärder i notActions.

Agenttjänst

Lägg till de här dataåtgärderna i din anpassade rolldefinition: notDataActions

• Microsoft.CognitiveServices/accounts/AIServices/agents/write
• Microsoft.CognitiveServices/accounts/AIServices/agents/read
• Microsoft.CognitiveServices/accounts/AIServices/agents/delete

Om du vill blockera alla agenttjänståtgärder med en enda post använder du jokertecknet Microsoft.CognitiveServices/accounts/AIServices/agents/*.

Innehållstolkning

Lägg till de här dataåtgärderna i din anpassade rolldefinition: notDataActions

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/analyzers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/classifiers/delete
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/batchAnalysisJobs/*

Om ditt team etiketterar dokument i Foundry blockerar du även etiketteringsdataåtgärderna. I Azure portalens anpassade rollredigerare söker du efter labelingProjects under Microsoft. CognitiveServices resursprovider för att hitta tillgängliga åtgärder, till exempel:

• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/read
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/write
• Microsoft.CognitiveServices/accounts/MultiModalIntelligence/labelingProjects/delete

Finjusterande

Finjustering använder flera sökvägar för dataåtgärder under Microsoft.CognitiveServices/accounts/OpenAI/. Lägg till varje sökväg som du vill blockera i notDataActions i din anpassade rolldefinition.

• Microsoft.CognitiveServices/accounts/OpenAI/fine-tunes/*
• Microsoft.CognitiveServices/accounts/OpenAI/files/*
• Microsoft.CognitiveServices/accounts/OpenAI/uploads/*
• Microsoft.CognitiveServices/accounts/OpenAI/stored-completions/*
• Microsoft.CognitiveServices/accounts/OpenAI/evals/*
• Microsoft.CognitiveServices/accounts/OpenAI/models/*

Om ditt team kör RLHF-jobb kan du välja att också lägga till:

• Microsoft.CognitiveServices/accounts/OpenAI/1p-jobs/*

Spårning

Lägg till de här åtgärderna notActions i din anpassade rolldefinition:

• Microsoft.Insights/alertRules/read
• Microsoft.Insights/diagnosticSettings/read
• Microsoft.Insights/logDefinitions/read
• Microsoft.Insights/metricdefinitions/read
• Microsoft.Insights/metrics/read

Om du blockerar dessa läsåtgärder hindras användarna från att visa spårningsfönstret i Foundry-portalen. Användare som behöver spårningsåtkomst kräver en separat roll som innehåller läsåtgärderna Microsoft.Insights, till exempel en läsarroll på den anslutna Application Insights-resursen.

Recensioner

Lägg till de här dataåtgärderna i din anpassade rolldefinition: notDataActions

• Microsoft.CognitiveServices/accounts/AIServices/evaluations/write
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/read
• Microsoft.CognitiveServices/accounts/AIServices/evaluations/delete

Innehållssäkerhet

Lägg till de här dataåtgärderna i din anpassade rolldefinition: notDataActions

• Microsoft.CognitiveServices/accounts/ContentSafety/*

Om du bara vill blockera specifika innehållssäkerhetsåtgärder i stället för alla åtgärder söker du efter ContentSafety i den anpassade rollredigeraren för Azure portalen och väljer de enskilda dataåtgärder som du vill exkludera.

Felsöka RBAC-problem

Relaterat innehåll

• Role-baserad åtkomstkontroll för Microsoft Foundry
• Authentication och auktorisering i Microsoft Foundry
• Skapa eller uppdatera Azure anpassade roller med hjälp av Azure-portalen
• Skapa eller uppdatera Azure anpassade roller med hjälp av Azure CLI
• Tilldela Azure roller med hjälp av Azure-portalen