Attività con privilegi elevati in Microsoft Foundry

Gli sviluppatori che dispongono del ruolo Utente Foundry nella risorsa Foundry o nell'ambito del progetto possono compilare agenti, eseguire inferenze e usare la maggior parte delle funzionalità foundry. Tuttavia, molte attività amministrative richiedono ruoli con privilegi elevati, ad esempio Owner, Contributor, Foundry Account Owner, o altri ruoli specializzati.

Questo articolo illustra quali ruoli elevati sono necessari per ogni area di amministrazione di Foundry, perché questi ruoli sono necessari e collegamenti alle procedure dettagliate. Usarlo come riferimento quando gli sviluppatori riscontrano errori di autorizzazione o quando si pianificano le assegnazioni di ruolo per un nuovo ambiente.

Per informazioni generali sulle definizioni dei ruoli Foundry, vedere Controllo degli accessi in base al ruolo per Microsoft Foundry.

Concetti chiave

• Piano di controllo : operazioni che gestiscono Azure risorse (creare, eliminare, configurare). Regolato da ruoli di Azure RBAC come Owner e Contributor.
• Piano dati : operazioni che usano le funzionalità di runtime di una risorsa (blob di lettura, indici di query). Disciplinato da ruoli dati come Collaboratore ai dati dei BLOB di archiviazione.
• Identità gestita: identità Microsoft Entra gestita automaticamente che esegue l'autenticazione alle risorse di backup senza credenziali archiviate. In Foundry l'identità gestita del progetto è l'identità usata dal progetto in fase di esecuzione. Alcune configurazioni si basano anche sull'identità condivisa a livello di account per l'accesso alle risorse. Usare il nome di identità corrispondente allo scenario invece di considerare i due termini intercambiabili.
• Risorsa Foundry — La risorsa di Azure (di tipo Microsoft.CognitiveServices/accounts) che ospita i progetti Foundry.
• Ambito : livello a cui si applica un'assegnazione di ruolo: sottoscrizione, gruppo di risorse, risorsa o progetto. I ruoli assegnati a un ambito superiore si applicano anche ai livelli inferiori.

Panoramica della configurazione dell'ambiente

Quando si effettua il provisioning di un nuovo ambiente Foundry, le attività seguono questo ordine generale:

1. Creare una risorsa Foundry : obbligatoria prima di tutte le altre attività.
2. Creare uno o più progetti : agenti, modelli e connessioni dinamiche all'interno dei progetti.
3. Assegnare ruoli agli sviluppatori : gli sviluppatori necessitano dell'utente Foundry per l'accesso generale. La distribuzione del modello richiede un ruolo separato.
4. Distribuire modelli : richiede il proprietario dell'account Foundry.
5. Configurare l'infrastruttura dell'agente (se necessario).
6. Configurare la rete (se necessario).
7. Configurare misure di salvaguardia e criteri.
8. Abilitare il monitoraggio.

Le sezioni rimanenti illustrano i requisiti dei ruoli per ogni area. Per un riepilogo di tutti i ruoli con privilegi elevati, vedere Riferimento rapido: riepilogo dei ruoli.

Creare e configurare le risorse foundry

La creazione di risorse e progetti Foundry richiede autorizzazioni del piano di controllo che gli sviluppatori in genere non hanno. Queste operazioni modificano gli oggetti di Azure Resource Manager, quindi richiedono ruoli come Contributor o Foundry Account Owner a livello di sottoscrizione o di gruppo di risorse.

Per istruzioni dettagliate sull'uso di interfaccia della riga di comando di Azure, Bicep o del portale, vedere Creare la prima risorsa e Creare e gestire progetti.

Assegnare ruoli ai membri del team

Per assegnare qualsiasi ruolo a un utente, è necessario il ruolo Proprietario o Amministratore accesso utenti nell'ambito di destinazione. I ruoli Foundry Account Owner e Foundry Project Manager possono assegnare in modo condizionale solo il ruolo Utente Foundry.

Considerazioni sull'ambito

• Assegna il ruolo Utente Foundry nell'ambito della risorsa Foundry per concedere l'accesso a tutti i progetti all'interno della risorsa.
• Assegna nell'ambito del progetto per limitare l'accesso a un singolo progetto.
• Per le organizzazioni che usano Microsoft Entra Privileged Identity Management (PIM), è consigliabile rendere idonee le assegnazioni di ruolo elevate anziché permanenti. Le assegnazioni idonee richiedono l'attivazione just-in-time, che riduce l'esposizione ai privilegi permanenti.

Per le procedure dettagliate di assegnazione dei ruoli, vedere Controllo degli accessi in base al ruolo per Microsoft Foundry e Assegnare ruoli Azure.

Configurare l'infrastruttura dell'agente

La configurazione dell'agente è l'area che richiede il maggior numero di autorizzazioni in Foundry. I ruoli necessari dipendono dall'opzione di configurazione scelta.

Esaminare la sottosezione corrispondente all'opzione di configurazione. Ignorare gli altri. Se i requisiti cambiano, è possibile tornare a loro in un secondo momento.

Configurazione dell'agente standard

La configurazione standard dell'agente richiede di eseguire il provisioning e la gestione delle proprie risorse di Azure Cosmos DB, Azure AI Search e Archiviazione di Azure. Questo approccio offre il controllo completo sulla residenza dei dati, ma richiede l'assegnazione di ruoli del piano dati all'identità gestita del progetto in ogni risorsa di backup.

Assegnare i seguenti ruoli del piano dati all'identità gestita del progetto Foundry nelle risorse sottostanti:

Per la procedura di provisioning completa e i template Bicep, vedere Configurazione dell'agente standard.

Configurazione dell'agente ospitato

La configurazione dell'agente ospitato è ancora il modo più rapido per predisporre l'infrastruttura di runtime degli agenti, ma richiede prerequisiti espliciti in termini di risorse e RBAC. Oltre all'account e al progetto Foundry, pianificare Registro Azure Container (ACR), Application Insights e un'area di lavoro Log Analytics collegata.

Per istruzioni dettagliate sulle autorizzazioni dell'agente ospitato, vedere Riferimento alle autorizzazioni dell'agente ospitato.

Per istruzioni dettagliate, vedere Distribuire un agente ospitato.

Porta le tue risorse

Usare questa opzione quando sono già presenti Azure Cosmos DB, ricerca di intelligenza artificiale o risorse di archiviazione con requisiti di conformità specifici. Alleghi le risorse esistenti a un progetto Foundry e assegni i ruoli del piano dati necessari all'identità gestita del progetto.

Per istruzioni dettagliate, vedere Usare le proprie risorse Azure.

Strumenti dell'agente con requisiti elevati

Diversi strumenti dell'agente richiedono il ruolo Contributor o superiore per effettuare il provisioning o configurare le risorse sottostanti.

Strumenti dell'infrastruttura

Strumenti di integrazione

Agenti di pubblicazione

La pubblicazione promuove un agente da una risorsa di sviluppo all'interno di un progetto Foundry a una risorsa gestita di tipo Applicazione agente con un endpoint stabile. Per pubblicare un agente, è necessario il ruolo Foundry Project Manager nell'ambito della risorsa Foundry.

Distribuire e gestire modelli

Per distribuire un modello, è necessario il ruolo Proprietario dell'account Foundry sulla risorsa Foundry. Alcuni scenari, ad esempio i modelli di marketplace o il throughput con provisioning, richiedono ruoli più elevati. Nella tabella seguente sono elencate tutte le attività correlate al modello e i relativi requisiti di ruolo.

Le distribuzioni di modelli del Marketplace richiedono l'accesso a livello di sottoscrizione perché creano contratti di fatturazione. Il fine-tuning richiede Foundry Owner perché crea processi di addestramento che consumano risorse di calcolo e di archiviazione. Prima di distribuire un modello, verificare che la sottoscrizione disponga di una quota sufficiente per il modello di destinazione e l'area. Vedere Gestire le quote.

Per istruzioni dettagliate sulla distribuzione, vedere Creare distribuzioni di modelli.

Configurare la sicurezza e la rete

Le configurazioni di rete e crittografia richiedono ruoli elevati in più risorse. Queste configurazioni riguardano la risorsa Foundry, le reti virtuali, le zone DNS e Key Vault, quindi in genere sono necessari più ruoli.

Gli endpoint privati

Gli endpoint privati limitano l'accesso alla risorsa Foundry al traffico da reti virtuali specifiche. La configurazione di un endpoint privato richiede ruoli in tre risorse diverse.

Per istruzioni dettagliate, vedere Configurare un collegamento privato.

Reti virtuali gestite

Una rete virtuale gestita isola le risorse Foundry dietro una rete gestita da Foundry. Questa configurazione semplifica la configurazione di rete rispetto all'uso della propria rete virtuale.

Perimetro di sicurezza della rete

Un perimetro di sicurezza di rete offre un modo centralizzato per gestire l'accesso di rete tra più risorse Azure. Aggiungere la risorsa Foundry a un perimetro esistente per applicare regole di rete coerenti.

Chiavi gestite dal cliente

Usando chiavi gestite dal cliente (CMK), è possibile crittografare i dati foundry con le chiavi controllate in Azure Key Vault. La chiave gestita dal cliente (CMK) richiede ruoli sia in Key Vault sia nella risorsa Foundry, perché prima si concede all'identità gestita l'accesso alla chiave e poi si configura la risorsa per utilizzarla.

Per la procedura completa, vedere Configurare le chiavi gestite dal cliente.

Connessioni di Key Vault

Una connessione Key Vault consente ai progetti Foundry di accedere a segreti, certificati e chiavi archiviati in Azure Key Vault senza incorporare le credenziali nel codice. Creare una connessione quando gli agenti o i modelli distribuiti devono recuperare chiavi API o certificati in fase di esecuzione.

Configurare misure di controllo e criteri

Configurare protezioni e assegnazioni di Criteri di Azure per limitare quali modelli, strumenti e configurazioni sono disponibili nell'ambiente Foundry. Per completare queste attività sono necessari ruoli a livello di amministratore perché applicano limiti di governance a tutti gli sviluppatori in una sottoscrizione o in un gruppo di risorse.

Per una procedura dettagliata sulla creazione del primo guardrail, vedere Creare protezioni. Per i criteri di distribuzione dei modelli, vedere Criteri di distribuzione del modello.

Gestire la conformità e il monitoraggio

Le attività di conformità e monitoraggio comprendono i ruoli di Azure RBAC e i ruoli della directory Microsoft Entra. Comprendere la distinzione è importante: assegnare i ruoli della directory nel Interfaccia di amministrazione di Microsoft Entra, non nel pannello Controllo di accesso (IAM) del portale di Azure.

Per la configurazione passo passo del monitoraggio, consulta Monitoraggio dei modelli e Framework dell'agente di tracciamento.

Configurare l'accesso allo spazio di archiviazione e al piano dati

Gli agenti, le valutazioni e diversi strumenti di Foundry richiedono ruoli del piano dati su risorse di archiviazione e di ricerca. Assegnare questi ruoli all'identità gestita del progetto Foundry, non agli utenti umani, in modo che il servizio possa accedere alle risorse di backup in fase di esecuzione.

La tabella seguente include una colonna Assegnata a perché questi ruoli si applicano alle identità gestite anziché agli utenti umani.

Configurare il ripristino di emergenza

Il ripristino di emergenza per Foundry copre due scenari: failover della risorsa Foundry stessa (disponibilità elevata) e failover delle risorse di backup dell'agente. Il DR del servizio Agent richiede particolarmente numerosi ruoli, perché richiede l'accesso a Cosmos DB, AI Search e Storage, oltre alla risorsa Foundry.

Per informazioni dettagliate sulle procedure di disaster recovery, vedi Alta disponibilità e resilienza e disaster recovery del servizio Agent.

Configurare connessioni e integrazioni

Foundry si integra con Gestione API, server MCP e servizi esterni. La maggior parte delle attività di integrazione richiede almeno Collaboratore perché crea o modifica le risorse Azure. Il collegamento di Foundry a un gateway di intelligenza artificiale richiede il ruolo Proprietario dell'account Foundry perché modifica la configurazione dell'account.

Riferimento rapido: riepilogo dei ruoli

La tabella seguente riepiloga i ruoli con privilegi elevati principali e quando gli amministratori ne hanno bisogno. Usarlo per identificare rapidamente il ruolo da assegnare per una determinata categoria di attività.

Risolvere gli errori comuni relativi alle autorizzazioni

Quando gli sviluppatori riscontrano errori di autorizzazione, usare le tabelle delle attività in questo articolo per identificare il ruolo richiesto. La tabella seguente esegue il mapping dei messaggi di errore comuni a possibili cause e risoluzioni.

Contenuti correlati

• Controllo degli accessi in base al ruolo per Microsoft Foundry
• Autenticazione e autorizzazione
• Implementazione del piano
• Assegnare ruoli di Azure
• Gestire la conformità e la sicurezza
• Gestisci l'infrastruttura dell'agente come amministratore di Entra
• Gestire le quote
• Monitorare i modelli
• Configurare le risorse dell'agente
• Configurare il collegamento privato
• Risolvere i problemi di Azure RBAC