Referenz zu gehosteten Agent-Berechtigungen

Beim Arbeiten mit Hosted-Agents in Microsoft Foundry ist es wichtig, die verschiedenen berechtigungen zu verstehen. Es gibt mehrere Klassen von Berechtigungen für die Entwicklung gehosteter Agents, die die Azure Resource Manager Steuerungsebene und die Gießereidatenebene umfassen:

• Berechtigungen, die Benutzern oder Prinzipale gewährt werden, die mit Foundry-Ressourcen arbeiten
• Berechtigungen, die dem Foundry-Projekt erteilt wurden
• Berechtigungen, die dem Agent gewährt werden

Dieser Artikel ist ein Begleiter für die Role-basierte Zugriffssteuerung für Microsoft Foundry, in dem rollenbasierte Zugriffssteuerungskonzepte und die integrierten Rollen eingeführt werden, die in Microsoft Foundry verfügbar sind. Bevor Sie fortfahren, sollten Sie sich mit diesem Artikel vertraut machen. In diesem Artikel werden die Vorgänge behandelt, die in der Entwicklung und Bereitstellung gehosteter Agent involviert sind, die berechtigungen, die zum Ausführen dieser Vorgänge erforderlich sind und welche integrierten Rollen diese Berechtigungen abdecken.

Informationen zu End-to-End-Bereitstellungs- und Lebenszyklusaufgaben finden Sie unter Bereitstellen eines gehosteten Agents und Verwalten des Lebenszyklus des gehosteten Agents. Informationen zum identitätsspezifischen Verhalten finden Sie unter Agent-Identität.

Wenn Sie einen Codierungs-Agent wie GitHub Copilot verwenden, kann die Microsoft Foundry Skill erforderliche Rollen und Berechtigungen zu Bereitstellungs- und Verwaltungsaufgaben in Ihrem eigenen Foundry-Projekt zuordnen.

Rollen in diesem Artikel

Azure AI Foundry Berechtigungen umfassen zwei Ebenen: die steuerebene Azure Resource Manager (ARM) und die Gießereidatenebene. Besitzer - und Mitwirkenderrollen verfügen über umfassende Berechtigungen für die ARM-Steuerungsebene, enthalten jedoch keine Berechtigungen für die Datenebene. Datenebenenvorgänge wie das Erstellen von Agents oder die Interaktion mit ihnen erfordern bestimmte Azure AI Foundry Rollen wie Foundry User, Foundry Project Manager oder Foundry Owner.

In diesem Artikel werden auf die folgenden integrierten Rollen verwiesen. Informationen zu benutzerdefinierten Rollendefinitionen finden Sie unter Azure benutzerdefinierte Rollen.

Schnelle Diagnose durch Symptom

Verwenden Sie diese Links, um direkt zu Abschnitten zu springen, die allgemeine Berechtigungsprobleme beheben:

• Agent kann nicht erstellt werden: Anzeigen der Agenterstellung
• Agent kann nicht auf Modelle zugreifen: Anzeigen des Agentzugriffs über die Standardeinstellungen hinaus
• Deployment schlägt fehl: Siehe Hosted-Agentbereitstellung und Azure Container Registry Setup
• Agent kann zur Laufzeit keine Bilder abrufen: Siehe Azure Container Registry Setup
• Agentinteraktion schlägt fehl: Anzeigen der Agent-Interaktion
• Fehler bei der Rollenzuweisung: Siehe Erstellen dieser Rollenzuweisung erfordert Abschnitte und Das Setup von Connections
• Kann agent nicht in Teams oder Microsoft 365 Copilot: Siehe Azure Bot Service Setup

Architektur der gehosteten Agent-Lösung

Eine abgeschlossene Einrichtung des gehosteten Agents umfasst mehrere Azure Ressourcen, Identitätszuweisungen und Verbindungen, die zusammenarbeiten. Das folgende Diagramm zeigt die wichtigsten Komponenten und deren Beziehungen:

Foundry Account
├── Model Deployment
└── Foundry Project (has managed identity)
    ├── Hosted Agent
    │   └── Agent Version → references container image
    ├── Connection to Azure Container Registry
    └── Connection to Application Insights

Separate Azure Resources:
├── Azure Container Registry → contains container image
├── Application Insights → logs to Log Analytics Workspace
└── Log Analytics Workspace

Role assignments:
• Foundry Project → Foundry User role on Foundry Account
• Foundry Project → Container Registry Repository Reader role on Azure Container Registry
• Foundry Project → Log Analytics Data Reader role on Log Analytics Workspace

Optional (Teams / M365 Copilot publishing):
└── Azure Bot Service → connected to agent application (Channels auth mode)

Das obige Diagramm zeigt, wie Ressourcen hierarchisch organisiert werden und welche Rollenzuweisungen die Kommunikation zwischen ihnen ermöglichen. Die folgenden Abschnitte enthalten detaillierte Konfigurationsanforderungen für jede Komponente.

Erforderliche Azure-Ressourcen

Für jede Bereitstellung des gehosteten Agents müssen diese Azure Ressourcen ordnungsgemäß konfiguriert werden:

• Ein Foundry-Konto
  • Mit einer Rollenzuweisung kann die vom Projekt verwaltete Identität auf das Konto für den Modellzugriff zugreifen. Foundry User ist die empfohlene integrierte Rolle für die verwaltete Identität des Projekts.
• Eine Modellbereitstellung (im Konto)
• Ein Foundry-Projekt (im Konto)
  • Das Projekt verfügt über eine verwaltete Identität. Das Projekt erhält auch eine Agent-Blueprint- und Agent-Identität, wenn der erste Agent erstellt wird.
  • Rollenzuweisungen ermöglichen Es Clientbenutzern oder Prinzipale, zur Laufzeit mit Agents im Projekt zu interagieren. Foundry Agent Consumer ist die empfohlene integrierte Rolle für Verbraucher, die nur mit Agents interagieren müssen.
  • Einige erweiterte Szenarien erfordern möglicherweise explizite Rollenzuweisungen für die Agentidentität im Projekt. Weitere Informationen finden Sie unter Expliziter Zugriff auf Projektebene.
• Ein gehosteter Agent (im Projekt)
  • Der Agent ruft automatisch einen Agent-Blueprint und eine Agentidentität ab.
• Eine Agentversion (im Objekt des gehosteten Agents)
• Ein Azure Container Registry (ACR)
  • Mit einer Rollenzuweisung kann die verwaltete Identität des Projekts Bilder aus der Registrierung abrufen. Containerregistrierungs-Repositoryleser ist die empfohlene integrierte Rolle.
  • Eine Rollenzuweisung ermöglicht einem Benutzer oder Dienstprinzipal, der den Agent zum Übertragen von Images in die Registrierung bereitstellt. Container Registry Repository Writer ist die empfohlene integrierte Rolle.
• Eine Application Insights-Komponente
• A Log Analytics Arbeitsbereich (verknüpft mit der Application Insights-Komponente)
  • Eine Rollenzuweisung ermöglicht es der verwalteten Identität des Projekts, Telemetrie für Auswertungen zu lesen. Log Analytics Data Reader ist die empfohlene integrierte Rolle.
• Mehrere Verbindungsressourcen (im Projekt):
  • Für die Azure Container Registry wird eine Verbindung erstellt, die das Projekt für das Ziehen von Bildern verwendet.
  • Für Application Insights wird eine Verbindung erstellt, mit der das Projekt Telemetriedaten für seine Agents ausgibt. Diese Verbindung verwendet standardmäßig keine Identität.

Einige Benutzer oder Prinzipale benötigen die Berechtigung zum Erstellen und Verwalten dieser Ressourcen. In diesem Artikel wird eine Konfiguration vorausgesetzt, bei der sich die Azure Ressourcen in derselben Ressourcengruppe befinden, und zeigt an, dass Schreibzugriff auf diese Ressourcengruppe gewährt wird. Dieser Ressourcengruppenansatz ist eine häufige Konfiguration für viele Teams, ihre spezifische Einrichtung kann jedoch variieren. Wenn Sie über eine andere Ressourcenorganisationsstrategie verfügen, müssen Sie möglicherweise Berechtigungen für die von Ihnen verwendeten Ressourcengruppen aufteilen.

Diese Liste enthält keine Netzwerkressourcen. Der Benutzer oder Dienstprinzipal, der die Azure Ressourcen bereitstellt, benötigt jedoch möglicherweise auch die Berechtigung zum Erstellen und Verwalten virtueller Netzwerke, Subnetze und privater Endpunkte, um die Ressourcen zu sichern.

Agentanwendungen

Wenn Sie Agent-Anwendungen verwenden, enthält die Liste auch Folgendes:

• Eine Agentanwendung (im Projekt)
  • Die Agentanwendung ruft automatisch einen Agent-Blueprint und eine Agentidentität ab. Wenn Sie explizite Rollenzuweisungen für die Agentidentität des gehosteten Agents konfigurieren (z. B. für erweiterte Szenarien), wiederholen Sie diese Zuweisungen für die Agentidentität der Agentanwendung.
• Eine Agentbereitstellung (in der Agentanwendung)

Azure Ressourcensetup

Setup des Foundry-Kontos

Das Erstellen eines Foundry-Kontos erfordert die Berechtigung Microsoft.CognitiveServices/accounts/write im Bereich der Ressourcengruppe.

Die verwaltete Identität des Projekts benötigt Zugriff auf das Foundry-Konto, um Modelleinschluss über den Projektendpunkt durchzuführen. Der Zugriff des Projekts wird durch die Rolle Foundry User im Bereich des Foundry-Kontos abgedeckt. Diese Rollenzuweisung kann automatisch erstellt werden, wenn das Projekt erstellt wird, abhängig von den Berechtigungen des Benutzers oder des Dienstprinzipals, der das Projekt erstellt.

Möglicherweise sind weitere Rollenzuweisungen erforderlich, wenn Ihr Agentcode direkt auf den OpenAI-Endpunkt auf Kontoebene zugreift oder andere Funktionen auf Kontoebene, die nicht vom Projektendpunkt bereitgestellt werden. Weitere Informationen finden Sie unter Zugriff auf Kontoebene.

Modellbereitstellung

Zum Erstellen einer Modellbereitstellung ist die Berechtigung Microsoft.CognitiveServices/accounts/deployments/write im Bereich des Foundry-Kontos erforderlich.

Projektkonfiguration

Das Erstellen eines Foundry-Projekts erfordert die Berechtigung Microsoft.CognitiveServices/accounts/projects/write im Bereich des Foundry-Kontos.

Wenn der Ersteller des Projekts die Möglichkeit hat, die rolle Foundry User im Bereich des Kontos zuzuweisen, erstellt das System automatisch zwei Rollenzuweisungen:

• Dem Projektersteller wird die Rolle "Foundry User" im Bereich des Foundry-Kontos gewährt.
• Die verwaltete Identität des Projekts wird der Rolle "Foundry User" im Bereich des Foundry-Kontos gewährt.

Azure Container Registry-Setup

Das Erstellen eines Azure Container Registry erfordert die Berechtigung Microsoft.ContainerRegistry/registries/write im Bereich der Ressourcengruppe.

Die verwaltete Identität des Projekts benötigt Berechtigungen, um das Bild von ACR abzurufen. Für diesen Vorgang sind zwei integrierte Rollen geeignet, die dem ACR-Registrierungsressourcenbereich zugewiesen werden sollten:

• Containerregistrierungs-Repository-Reader (bevorzugt, da er den Pull als Datenaktion modelliert)
• AcrPull

Zum Erstellen dieser Rollenzuweisung ist die berechtigung Microsoft.Authorization/roleAssignments/write im Bereich der ACR-Registrierung erforderlich.

Ausführliche Informationen zum Zuweisen von Rollen in Azure finden Sie unter Create Azure rollen assignments.

¹ Diese Rollen verfügen über roleAssignments/write, sind jedoch darauf beschränkt, nur die rolle Foundry User zuzuweisen, was keine ACR-Berechtigungen abdeckt.

Der Benutzer- oder Dienstprinzipal, der Bilder in die Registrierung überträgt, benötigt auch eine Rollenzuweisung. Weitere Informationen finden Sie im Abschnitt zur Bereitstellung des gehosteten Agents .

Einrichten von Application Insights und Log Analytics

Das Erstellen einer Application Insights-Ressource erfordert die Berechtigung Microsoft.Insights/components/write im Bereich der Ressourcengruppe.

Zum Erstellen eines Log Analytics Arbeitsbereichs ist die Berechtigung Microsoft.OperationalInsights/workspaces/write im Bereich der Ressourcengruppe erforderlich.

Wenn Sie die Auswertungsfunktion verwenden möchten, benötigt die verwaltete Identität des Projekts Berechtigungen zum Lesen aus dem Log Analytics Arbeitsbereich. Sie können diesen Zugriff aktivieren, indem Sie der rolle Log Analytics Data Reader die verwaltete Identität des Projekts im Bereich des Log Analytics Arbeitsbereichs gewähren.

Das Erstellen dieser Rollenzuweisung erfordert die Berechtigung Microsoft.Authorization/roleAssignments/write im Bereich des Log Analytics Arbeitsbereichs.

Ausführliche Informationen zum Zuweisen von Rollen in Azure finden Sie unter Create Azure rollen assignments.

¹ Diese Rollen verfügen über roleAssignments/write, sind jedoch darauf beschränkt, nur die rolle Foundry User zuzuweisen, die nicht Log Analytics Berechtigungen abdeckt.

Setup von Verbindungen

Zum Erstellen einer Verbindung ist die Berechtigung Microsoft.CognitiveServices/accounts/projects/connections/write im Bereich des Foundry-Projekts erforderlich.

Der Benutzer oder Dienstprinzipal, der die Verbindungen erstellt, benötigt auch die Verbindungsinformationen für die Application Insights-Komponente und die Containerregistrierung. Die Verbindungsdetails können vom Benutzer oder Dienstprinzipal bereitgestellt werden, der diese Ressourcen erstellt hat, oder durch Lesezugriff auf diese Ressourcen.

Agentanwendungen

Wenn Sie Agent-Anwendungen verwenden, müssen Sie eine Agentanwendung im Foundry-Projekt erstellen. Zum Erstellen einer Agentanwendung ist die berechtigung Microsoft.CognitiveServices/accounts/projects/applications/write im Bereich des Foundry-Projekts erforderlich.

agentDeployment Objekte sind auch ARM-Ressourcen, aber sie werden als Teil des Bereitstellungsprozesses des gehosteten Agents erstellt. Weitere Informationen finden Sie unter Bereitstellung des gehosteten Agents.

Agent-Erstellung

Agents werden über einen Datenebenenvorgang erstellt. Das Erstellen eines Agents erfordert die Berechtigung Microsoft.CognitiveServices/accounts/AIServices/agents/write im Bereich des Foundry-Projekts.

Der Agent verfügt über impliziten Zugriff auf Kernfunktionen innerhalb eines eigenen Projekts, z. B. modellinterne Ableitungen. Für den Standardfall ist keine explizite Rollenzuweisung erforderlich. Erweiterte Szenarien, die expliziten Zugriff erfordern, finden Sie unter Agentzugriff über die Standardeinstellungen hinaus.

Bereitstellung gehosteter Agent

Gehostete Agent-Bereitstellungsvorgänge sind Steuerungsebenenvorgänge. Schritt-für-Schritt-Bereitstellungsanleitungen finden Sie unter Bereitstellen eines gehosteten Agents.

Übertragen eines Bilds in die Registrierung

Der Benutzer oder Dienstprinzipal, der den Agent bereitstellt, benötigt die Berechtigung, das Image an ACR zu übertragen. Für diesen Vorgang sind zwei integrierte Rollen geeignet, die dem ACR-Registrierungsressourcenbereich zugewiesen werden sollten:

• Containerregistrierungs-Repository Writer (bevorzugt, da sie den Push als Datenaktion modelliert)
• AcrPush

Erstellen einer neuen Agentversion

Das Erstellen eines Agents erfordert die Berechtigung Microsoft.CognitiveServices/accounts/AIServices/agents/write im Bereich des Foundry-Projekts.

Wenn Sie Agent-Anwendungen verwenden, müssen Sie auch ein agentDeployment Objekt erstellen, das auf eine neu bereitgestellte Agentversion verweist. Dies ist ein Verwaltungsebenenbetrieb. Das Erstellen eines agentDeployment-Objekts erfordert die Berechtigung Microsoft.CognitiveServices/accounts/projects/applications/agentDeployments/write im Bereich der Agentanwendung.

Aktualisieren des Agents für die Verwendung der neuen Version

Wenn Sie den Agentendpunkt verwenden, wird die Versionsauswahl für das Agentobjekt konfiguriert. Das Aktualisieren des Agents für die Verwendung der neuen Version erfordert die Berechtigung Microsoft.CognitiveServices/accounts/AIServices/agents/write im Bereich des Foundry-Projekts.

Wenn Sie stattdessen die Agentanwendung verwenden, wird die Versionsauswahl für das Agentanwendungsobjekt konfiguriert. Das Aktualisieren der Agentanwendung für die Verwendung des neuen agentDeployment-Objekts erfordert die berechtigung Microsoft.CognitiveServices/accounts/projects/applications/write im Bereich der Agentanwendung.

Azure Bot Service Setup

Die Veröffentlichung Ihres Agents auf Microsoft Teams oder Microsoft 365 Copilot ist optional. Wenn Sie dies tun, führt der Veröffentlichungsablauf Steuerungsebenenvorgänge aus, um eine Azure Bot Service Ressource zu erstellen und seine Kanäle zu konfigurieren, aktualisiert dann entweder den Agent oder die Agentanwendung, um Anforderungen von Bot Service zuzulassen.

Erstellen des Botdiensts

Zum Erstellen der Botdienstressource ist die berechtigung Microsoft.BotService/botServices/write im Bereich der Ressourcengruppe erforderlich.

Konfigurieren von Kanälen

Für die Konfiguration der Teams- und Microsoft 365-Erweiterungskanäle im Botdienst ist die Berechtigung Microsoft.BotService/botServices/channels/write im Bereich der Botdienstressource erforderlich.

Aktualisieren der Agent- oder Agentanwendung

Der Veröffentlichungsfluss legt Kanäle (Azure Bot Service) als Authentifizierungsmodus für die Agent- oder Agentanwendung fest. Das objekt, das aktualisiert wird, hängt von Ihrem Szenario ab:

• Agentanwendungsszenario: Das Agentanwendungsobjekt wird aktualisiert. Dies ist ein Steuerungsebenen-Schreibvorgang. Die gleichen Rollenanforderungen gelten wie in Agentanwendungen dokumentiert.
• Agentendpunktszenario: Das Agentobjekt wird aktualisiert. Dies ist ein Datenebenen-Schreibvorgang. Die gleichen Rollenanforderungen gelten wie in "Erstellen einer neuen Agentversion".

Eine schrittweise Anleitung zum Veröffentlichen in Teams oder M365-Copilot finden Sie unter Publish-Agents zum Microsoft 365 Copilot und Microsoft Teams.

Agentinteraktion

Die Interaktion mit dem Agent erfordert, dass der aufrufende Benutzer oder Dienstprinzipal über eine Berechtigung für die Datenebene verfügt:

• Um mit einem Agentendpunkt zu interagieren, benötigen Microsoft.CognitiveServices/accounts/AIServices/endpoints/interact/action sie im Bereich des Foundry-Projekts oder im Bereich des spezifischen Agents. Diese Berechtigung umfasst alle Laufzeitinteraktionen mit dem Agent, einschließlich, aber nicht beschränkt auf Antwort-API-Aufrufe.
• Um mit einer agent-Anwendung zu interagieren benötigen sie Microsoft.CognitiveServices/accounts/AIServices/applications/invoke/action im Bereich der Agentanwendung.

Sie können auch Rollen im Bereich eines bestimmten Agents und nicht im gesamten Projekt zuweisen. Ausführliche Informationen finden Sie unter Rollenzuweisungen im Agentbereich.

Delegieren der Endbenutzeridentität

Ein Dienst auf mittlerer Ebene, der seine eigenen Endbenutzer authentifiziert, kann eine Sitzung auf einen bestimmten Endbenutzer beschränken, indem er die x-ms-user-identity Kopfzeile sendet. Um diesen Header zu senden, muss die aufrufende Identität die folgende Berechtigung für die Datenebene für den Agent enthalten:

Microsoft.CognitiveServices/accounts/AIServices/agents/endpoints/UserIdentityImpersonation/action

Diese Datenaktion ist nicht in einer integrierten Rolle enthalten. Rollen, die sie zuvor über die Microsoft.CognitiveServices/* Datenaktion gewährt haben , einschließlich Der Gießereibenutzer und Gießereibesitzer , werden nicht mehr ausgeführt. Um sie zu gewähren, erstellen Sie eine benutzerdefinierte Rolle, die die Datenaktion enthält, und weisen Sie diese Rolle der Identität Ihres Mittleren Diensts im Bereich des Foundry-Projekts oder des bestimmten Agents zu.

Die folgende benutzerdefinierte Rollendefinition gewährt nur die Identitätswechseldatenaktion:

{
  "Name": "Foundry Agent User Identity Impersonation",
  "IsCustom": true,
  "Description": "Lets a trusted middle-tier service delegate the end-user identity to a hosted agent via the x-ms-user-identity header.",
  "Actions": [],
  "NotActions": [],
  "DataActions": [
    "Microsoft.CognitiveServices/accounts/AIServices/agents/endpoints/UserIdentityImpersonation/action"
  ],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.CognitiveServices/accounts/<account-name>"
  ]
}

Erstellen Sie die Rolle, und weisen Sie sie dann der Identität der mittleren Ebene zu:

az role definition create --role-definition custom-impersonation-role.json

az role assignment create \
  --assignee <middle-tier-identity-object-id> \
  --role "Foundry Agent User Identity Impersonation" \
  --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.CognitiveServices/accounts/<account-name>

Ein Aufrufer, der ohne diese Berechtigung gesendet x-ms-user-identity wird, erhält eine 403. Informationen zur Verwendung delegierter Identitäten finden Sie unter Isolieren gehosteter Agentsitzungen pro Benutzer.

Agent-Observabilität

Anzeigen von Telemetriedaten

Für den Zugriff auf Agent-Telemetriedaten sind Leseberechtigungen für die Application Insights-Ressource erforderlich. Dazu gehören das Anzeigen von Ablaufverfolgungen, Protokollen und Metriken über das Azure Portal, das Foundry-Portal, APIs und Überwachungstools.

Weisen Sie den Überwachungsleser im Ressourcenbereich "Application Insights" zu. Die berechtigungen */read in dieser Rolle greifen auf die zugrunde liegenden Log Analytics Arbeitsbereichsdaten zu, ohne dass eine separate Arbeitsbereichszuweisung erforderlich ist.

Wenn Sie direkt mit dem Log Analytics Arbeitsbereich arbeiten müssen, weisen Sie auch Log Analytics Reader im Arbeitsbereichsbereich zu. Wenn die Arbeitsbereichstabellen geschützt sind, weisen Sie auch privileged Monitoring Data Reader zum Lesen der geschützten Tabellen zu.

Kostenanzeige in Abrechnungswährung

Das Anzeigen von Kosten in Abrechnungswährung im Foundry-Portal erfordert die Berechtigung Microsoft.Billing/billingProperty/read. Für diese Berechtigung ist eine Abonnement- oder Abrechnungskontozuweisung erforderlich. Der Ressourcengruppenbereich deckt diese Berechtigung nicht ab.

Diese Berechtigung dient der Benutzerfreundlichkeit des Portals und ist für gehostete Agent-Funktionen nicht erforderlich. Sie können diese Berechtigung für die meisten Benutzer sicher weglassen.

Agentzugriff über Standardeinstellungen hinaus

Standardmäßig verfügt ein Agent über impliziten Zugriff auf Kernfunktionen innerhalb eines eigenen Projekts. Für den Standardfall ist keine explizite Rollenzuweisung oder zusätzliche Konfiguration erforderlich. Impliziter Zugriff umfasst:

• Modellinferencing über den Projektendpunkt
• Lese- und Schreibzugriff auf Sitzungsspeicher

Möglicherweise sind zusätzliche Berechtigungen erforderlich, wenn ein Agent verbundene Tools verwendet, die auf externe Ressourcen zugreifen, Daten außerhalb des eigenen Projekts verweisen oder auf Kontoebene ausgeführt werden.

Expliziter Zugriff auf Projektebene

Einige erweiterte Szenarien erfordern möglicherweise explizite Rollenzuweisungen für die Agentidentität im Foundry-Projekt. In diesem Abschnitt werden die Berechtigungsanforderungen beschrieben, als ob der Agent nicht über seinen impliziten Zugriff auf das Projekt verfügte.

Wenn kein impliziter Zugriff besteht, benötigt die Agentidentität die folgenden Berechtigungen im Bereich des Foundry-Projekts, um Modellableitungen mit dem Projektendpunkt durchzuführen:

• Microsoft.CognitiveServices/accounts/AIServices/responses/*
• Microsoft.CognitiveServices/accounts/AIServices/agents/storage/read (verwenden Sie für benutzerdefinierte Definitionen Microsoft.CognitiveServices/accounts/AIServices/agents/*/read)
• Microsoft.CognitiveServices/accounts/AIServices/agents/storage/write (verwenden Sie für benutzerdefinierte Definitionen Microsoft.CognitiveServices/accounts/AIServices/agents/*/write)

Zum Erstellen dieser Rollenzuweisung ist die Berechtigung Microsoft.Authorization/roleAssignments/write im Bereich des Foundry-Projekts erforderlich.

Ausführliche Informationen zum Zuweisen von Rollen in Azure finden Sie unter Create Azure rollen assignments.

¹ Sowohl Foundry Project Manager als auch Foundry Account Owner weisen nur die Rolle Foundry User zu. Wenn Sie beabsichtigen, eine benutzerdefinierte Rollendefinition für den Agent für den Zugriff auf die project zu verwenden, können Foundry Project Manager und Foundry Account Owner diese benutzerdefinierte Rolle nicht zuweisen.

Zugriff auf Kontoebene

Wenn Sie das Foundry SDK und den Projektendpunkt für modellbasierte Ableitung verwenden, leitet die Projektproxys Aufrufe an die Bereitstellung auf Kontoebene mithilfe ihrer eigenen verwalteten Identität ab. Wenn Ihr Agentcode den Projektendpunkt jedoch umgeht und den OpenAI-Endpunkt auf Kontoebene direkt aufruft (z https://{account}.cognitiveservices.azure.com. B. ), benötigt die Identität des Agents eine der folgenden Rollen im Kontobereich:

• Cognitive Services OpenAI User - deckt nur OpenAI-Datenaktionen ab.
• Foundry User - deckt alle CognitiveServices-Datenaktionen auf dem Konto ab.

Funktionen auf Kontoebene werden nicht vom Projektendpunkt proxiziert. Zu diesen Funktionen gehören Spracherkennung, Inhaltssicherheit, Maschinelles Sehen, Dokumentintelligenz, Sprache und Übersetzer. Sie erfordern eine Rollenzuweisung im Kontobereich, wenn Ihr Agent direkt darauf zugreift. Weisen Sie für diese Funktionen eine der folgenden Rollen im Kontobereich zu:

• Cognitive Services User - behandelt Spracherkennung, Vision, Sprache und andere Nicht-OpenAI-Funktionen.
• Foundry User - umfasst alle CognitiveServices-Datenaktionen, einschließlich OpenAI und der zuvor aufgeführten Funktionen, mit einer einzigen Gewährung.

Verwandte Inhalte

• Gehostete Agents: Lernen Sie die Architektur und den Lebenszyklus des gehosteten Agents kennen.
• Role-basierte Zugriffssteuerung für Microsoft Foundry: Überprüfen sie integrierte Rollen, Bereiche und Zuordnungsmuster.
• Agentidentität: Verstehen, wie sich die vom Agent verwaltete Identität und die vom Projekt verwaltete Identität unterscheiden.