Kimenő kapcsolatok létrehozása megosztott privát kapcsolaton keresztül

Ez a cikk bemutatja, hogyan konfigurálhat privát, kimenő hívásokat az Azure AI Searchből egy Azure-beli virtuális hálózaton futó Azure-erőforrásba.

A privát kapcsolat beállítása lehetővé teszi, hogy a keresőszolgáltatás az internetre nyitott port helyett egy virtuális hálózati IP-címhez csatlakozzon. A kapcsolathoz létrehozott objektumot megosztott privát hivatkozásnak nevezzük. A kapcsolaton a keresési szolgáltatás a megosztott privát kapcsolat belső használatával éri el az Azure-erőforrást a hálózat határán belül.

A megosztott privát kapcsolat egy prémium szintű szolgáltatás, amelyet a használat számláz. Megosztott privát kapcsolat beállításakor a rendszer hozzáadja a privát végpont díjait az Azure-számlához. A megosztott privát kapcsolat használata során a rendszer a bejövő és kimenő hozzáférés adatátviteli díjait is számlázni fogja. További részletekért tekintse meg az Azure Private Link díjszabását.

Mikor érdemes megosztott privát hivatkozást használni?

Az Azure AI Search a következő esetekben indít kimenő hívásokat más Azure-erőforrásokhoz:

• Indexelő vagy lekérdezési kapcsolatok az Azure OpenAI-hoz, az Azure AI Visionhez vagy az Azure AI Foundry modellkatalógusához vektorizáláshoz
• Indexelőkapcsolatok támogatott adatforrásokhoz
• Indexelői (készségeket tartalmazó) kapcsolatok az Azure Storage-hoz a bővítések gyorsítótárazásához, a munkamenet-tartalom hibakereséséhez vagy egy tudástárba való íráshoz
• Indexelői (készségkészlet) kapcsolatok az Azure AI-szolgáltatásokhoz számlázási célokra
• Titkosítási kulcskérelmek az Azure Key Vaultba
• Egyéni képességkérések az Azure Functions-hez vagy hasonló erőforráshoz

A megosztott privát kapcsolatok csak Az Azure-ból Az Azure-ba irányuló kapcsolatokhoz működnek. Ha OpenAI-hoz vagy más külső modellhez csatlakozik, a kapcsolatnak a nyilvános interneten keresztül kell lennie.

A megosztott privát hivatkozások az Azure-beli virtuális hálózaton futó Azure-erőforrások vagy ügyfelek privát végpontja által elért műveletekhez és adatokhoz használhatók.

A megosztott privát hivatkozás a következő:

• Azure AI Search-eszközökkel, API-kkal vagy SDK-kkal létrehozva
• Az Azure-erőforrás tulajdonosa jóváhagyta
• Az Azure AI Search belsőleg egy adott Azure-erőforráshoz való privát kapcsolaton használja

Csak a keresési szolgáltatás használhatja az általa létrehozott privát hivatkozásokat, és csak egy megosztott privát hivatkozás hozható létre a szolgáltatásban az egyes erőforrások és alforrás-kombinációk esetében.

A privát hivatkozás beállítása után a rendszer automatikusan használja, amikor a keresési szolgáltatás csatlakozik az erőforráshoz. Nem kell módosítania a kapcsolati sztring vagy módosítania a kérések kiadásához használt ügyfelet, bár a kapcsolathoz használt eszköznek egy engedélyezett IP-címmel kell csatlakoznia az Azure-erőforrás tűzfalában.

Az Azure Private Link és az Azure AI Search együttes használatára két forgatókönyv létezik.

• Első forgatókönyv: megosztott privát kapcsolat létrehozása, ha az Azure-ba irányuló kimenő (indexelő) kapcsolat privát kapcsolatot igényel.

• Második forgatókönyv: konfigurálja a virtuális hálózaton futó ügyfelek privát bejövő kapcsolatának keresését.

Az első forgatókönyvet ebben a cikkben találja.

Bár mindkét forgatókönyv függ az Azure Private Link-hez, függetlenek. Megosztott privát hivatkozást anélkül hozhat létre, hogy saját keresési szolgáltatást kellene konfigurálnia egy privát végponthoz.

Korlátozások

A forgatókönyv megosztott privát hivatkozásainak kiértékelésekor jegyezze fel ezeket a korlátozásokat.

• A megosztott privát hivatkozásokban használt erőforrástípusok közül több is előzetes verzióban érhető el. Ha előzetes verziójú erőforráshoz (Azure Database for MySQL-hez vagy felügyelt Azure SQL-példányhoz) csatlakozik, használja a Felügyeleti REST API előzetes verzióját a megosztott privát hivatkozás létrehozásához. Ezek a verziók a következők: 2020-08-01-preview, 2021-04-01-preview, 2024-03-01-previewés 2024-06-01-preview. Javasoljuk, hogy a legújabb előzetes verziójú API-t használja.

• Az indexelő végrehajtásának a keresési szolgáltatásra jellemző privát végrehajtási környezetet kell használnia. A privát végpontkapcsolatok nem támogatottak a több-bérlős tartalomfeldolgozó környezetből. A követelmény konfigurációs beállítását ez a cikk ismerteti.

• Tekintse át az egyes szintek megosztott privát kapcsolati erőforráskorlátait.

Előfeltételek

• Egy támogatott Azure-erőforrás, amely virtuális hálózaton való futtatásra van konfigurálva.

• Azure AI-Search szolgáltatás réteg- és régiókövetelményekkel, számítási feladatok szerint:

  Számítási feladat	Rétegkövetelmények	Régióra vonatkozó követelmények	Szolgáltatáslétrehozás követelményei
  Indexelők készségkészletek nélkül	Alapszintű és magasabb szintű	Egyik sem	Egyik sem
  Képességkészletek beágyazási készségekkel (integrált vektorizálás)	Alapszintű és magasabb szintű	Nagy kapacitású régiók	2024. április 3. után
  Egyéb beépített vagy egyéni készségeket használó készségkészletek	Standard 2 (S2) és újabb	Egyik sem	2024. április 3. után

• Az Azure AI Search és az Azure-erőforrás engedélyei:

  Erőforrás	Engedélyek
  Azure AI Keresés	Microsoft.Search/searchServices/sharedPrivateLinkResources/write Microsoft.Search/searchServices/sharedPrivateLinkResources/read Microsoft.Search/searchServices/sharedPrivateLinkResources/operationStatuses/read
  Egyéb Azure-erőforrás	Privát végpontkapcsolatok jóváhagyásának engedélye. Az Azure Storage-ban például szükség van Microsoft.Storage/storageAccounts/privateEndpointConnectionsApproval/actionrá.

Támogatott erőforrástípusok

A következő erőforrásokhoz létrehozhat megosztott privát hivatkozást.

¹ Ha az Azure Storage és az Azure AI Search ugyanabban a régióban található, a tárolóhoz való kapcsolat a Microsoft gerinchálózatán keresztül jön létre, ami azt jelenti, hogy egy megosztott privát kapcsolat redundáns ehhez a konfigurációhoz. Ha azonban már beállított egy privát végpontot az Azure Storage-hoz, akkor egy megosztott privát kapcsolatot is be kell állítania, vagy a kapcsolat a tárolási oldalon elutasításra kerül. Ha több tárolási formátumot is használ a keresés különböző forgatókönyveihez, mindenképpen hozzon létre külön megosztott privát hivatkozást minden alforráshoz.

² Az Microsoft.DocumentDB/databaseAccounts erőforrástípust az Indexelők az Azure Cosmos DB for NoSQL-hez való kapcsolataihoz használják. A szolgáltató neve és csoportazonosítója megkülönbözteti a kis- és nagybetűket.

³ Az Microsoft.Sql/servers erőforrástípus az Azure SQL-adatbázissal való kapcsolatokhoz használatos. Az Azure Synapse SQL-hez való megosztott privát kapcsolat jelenleg nem támogatott.

⁴ Az Microsoft.Web/sites erőforrástípus az App Service-hez és az Azure-függvényekhez használatos. Az Azure AI Search kontextusában egy Azure-függvény a valószínűbb forgatókönyv. Az Azure-függvényeket gyakran használják az egyéni képességek logikájának üzemeltetésére. Az Azure-függvény használati, prémium és dedikált App Service-üzemeltetési csomagokkal rendelkezik. Az App Service Environment (ASE), az Azure Kubernetes Service (AKS) és az Azure API Management jelenleg nem támogatott.

⁵ Útmutatásért lásd : Megosztott privát hivatkozás létrehozása felügyelt SQL-példányhoz .

⁶ Az Microsoft.CognitiveServices/accounts erőforrástípust az Azure OpenAI-beágyazási modellek vektorizáló és indexelő kapcsolataihoz használják az integrált vektorizáció megvalósításakor. 2024. november 19-étől már támogatott a megosztott privát kapcsolat az Azure AI Foundry modellkatalógusában vagy az Azure AI Vision multimodális API-jában található modellek beágyazásához.

⁷ Az Azure OpenAI megosztott privát hivatkozása csak a nyilvános felhőben és a Microsoft Azure Governmentben támogatott. Más felhőajánlatok nem támogatják a csoportazonosítóhoz tartozó openai_account megosztott privát hivatkozásokat.

⁸ A megosztott privát hivatkozások mostantól támogatottak (2024 novemberétől) az Azure AI többszolgáltatásos fiókokkal való kapcsolatokhoz. Az Azure AI Search számlázási célból csatlakozik az Azure AI multiservice szolgáltatáshoz. Ezek a kapcsolatok mostantól privátak lehetnek egy megosztott privát kapcsolaton keresztül. A megosztott privát kapcsolat csak akkor támogatott, ha felügyelt identitást (kulcs nélküli konfigurációt) konfigurál a képességkészlet definíciójában.

1 – Megosztott privát hivatkozás létrehozása

Megosztott privát hivatkozás létrehozásához használja az Azure Portalt, a Felügyeleti REST API-t, az Azure CLI-t vagy az Azure PowerShellt.

Íme néhány tipp:

• Adjon értelmes nevet a privát hivatkozásnak. Az Azure PaaS-erőforrásban egy megosztott privát hivatkozás jelenik meg a többi privát végpont mellett. Az olyan nevek, mint a "shared-private-link-for-search" emlékeztethetik a használatukra.

Az ebben a szakaszban ismertetett lépések végrehajtásakor egy megosztott privát hivatkozással rendelkezik, amely függőben lévő állapotban van kiépítve. A hivatkozás létrehozása több percet vesz igénybe. Miután létrejött, az erőforrás tulajdonosának jóvá kell hagynia a kérést a működés előtt.

Get-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name>

New-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name> -Name <spl-name> -PrivateLinkResourceId /subscriptions/<alphanumeric-subscription-ID>/resourceGroups/<storage-resource-group-name>/providers/Microsoft.Storage/storageAccounts/myBlobStorage -GroupId blob -RequestMessage "Please approve"

az search shared-private-link-resource list --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}}

az search shared-private-link-resource create --name {{your-shared-private-link-name}} --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}} --group-id Sql --resource-id "/subscriptions/{{your-subscription-ID}}/{{your-cosmos-db-resource-group}}/providers/Microsoft.DocumentDB/databaseAccounts/{{your-cosmos-db-account-name}}" 

Megosztott privát hivatkozás létrehozási munkafolyamata

A 202 Accepted rendszer sikeres választ ad vissza. A kimenő privát végpont létrehozásának folyamata egy hosszú ideig futó (aszinkron) művelet. A következő erőforrások üzembe helyezését foglalja magában:

• Egy privát végpont, amely egy privát IP-címmel van lefoglalva egy "Pending" állapotban. A privát IP-cím a keresési szolgáltatásspecifikus privát indexelő végrehajtási környezetének virtuális hálózatához lefoglalt címtérből lesz lekérve. A privát végpont jóváhagyása után az Azure AI Search és az Azure-erőforrás közötti kommunikáció a privát IP-címről és egy biztonságos privát kapcsolati csatornáról származik.

• Egy privát DNS-zóna az erőforrás típusához a csoportazonosító alapján. Az erőforrás üzembe helyezésével győződjön meg arról, hogy a magánerőforrás dns-keresései a privát végponthoz társított IP-címet használják.

2 – A privát végpont kapcsolatának jóváhagyása

A privát végpontkapcsolat jóváhagyása az Azure PaaS oldalán történik. Az erőforrás tulajdonosának kifejezett jóváhagyása szükséges. Az alábbi lépések az Azure Portal használatával történő jóváhagyást ismertetik, de az alábbi hivatkozások segítségével programozott módon jóváhagyhatja a kapcsolatot az Azure PaaS-oldalról:

• Az Azure Storage-ban privát végpontkapcsolatok használata – Put
• Az Azure Cosmos DB-ben privát végpontkapcsolatok használata – Létrehozás vagy frissítés
• Az Azure OpenAI-ban privát végpontkapcsolatok használata – Létrehozás vagy frissítés

Az Azure Portal használatával hajtsa végre a következő lépéseket:

1. Nyissa meg az Azure PaaS-erőforrás hálózatkezelési oldalát.SMS

2. Keresse meg a privát végpontkapcsolatokat listázó szakaszt. Az alábbi példa egy tárfiókra mutat.

   

3. Válassza ki a kapcsolatot, majd válassza a Jóváhagyás lehetőséget. Eltarthat néhány percig, amíg az állapot frissül az Azure Portalon.

   

A privát végpont jóváhagyása után az Azure AI Search létrehozza a szükséges DNS-zónaleképezéseket a számára létrehozott DNS-zónában.

Bár a hálózatkezelési lapon a privát végpont hivatkozása aktív, az nem oldható fel.

A hivatkozás kiválasztása hibát okoz. Az állapotüzenet "The access token is from the wrong issuer"must match the tenant associated with this subscription azért jelenik meg, mert a háttérbeli privát végpont erőforrását a Microsoft egy Microsoft által felügyelt bérlőben építi ki, míg a csatolt erőforrás (Azure AI Search) a bérlőben van. A magánvégpont-erőforrást a privát végpont kapcsolati hivatkozásának kiválasztásával nem érheti el.

A megosztott privát hivatkozás állapotának ellenőrzéséhez kövesse a következő szakaszban található utasításokat.

3 – Megosztott privát kapcsolat állapotának ellenőrzése

Az Azure AI Search oldalán a keresési szolgáltatás hálózatkezelési oldalának Megosztott privát hozzáférés lapjának újbóli megadásával megerősítheti a jóváhagyást. A kapcsolat állapotát jóvá kell hagyni.

Azt is megteheti, hogy a megosztott privát kapcsolat erőforrásai – Lekérés használatával is lekérheti a kapcsolat állapotát.

az rest --method get --uri https://management.azure.com/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso/providers/Microsoft.Search/searchServices/contoso-search/sharedPrivateLinkResources/blob-pe?api-version=2024-07-01

Ez egy JSON-t ad vissza, ahol a kapcsolat állapota "állapotként" jelenik meg a "tulajdonságok" szakaszban. Az alábbi példa egy tárfiókra mutat be példát.

{
      "name": "blob-pe",
      "properties": {
        "privateLinkResourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso/providers/Microsoft.Storage/storageAccounts/contoso-storage",
        "groupId": "blob",
        "requestMessage": "please approve",
        "status": "Approved",
        "resourceRegion": null,
        "provisioningState": "Succeeded"
      }
}

Ha az erőforrás kiépítési állapota (properties.provisioningState) "Sikeres" és a kapcsolat állapota(properties.status) "Jóváhagyva", az azt jelenti, hogy a megosztott privát kapcsolati erőforrás működőképes, és az indexelő konfigurálható úgy, hogy a privát végponton keresztül kommunikáljon.

4 – Az indexelő konfigurálása privát környezetben való futtatásra

Az indexelő végrehajtása a keresési szolgáltatásra jellemző privát környezetben vagy egy több-bérlős környezetben történik, amely belsőleg a költséges képességkészlet-feldolgozás kiszervezésére szolgál több ügyfél számára.

A végrehajtási környezet transzparens, de miután elkezd tűzfalszabályokat építeni vagy privát kapcsolatokat létesít, figyelembe kell vennie az indexelő végrehajtását. Privát kapcsolat esetén konfigurálja az indexelő végrehajtását úgy, hogy mindig a privát környezetben fusson.

Ez a lépés bemutatja, hogyan konfigurálhatja az indexelőt a privát környezetben való futtatásra a REST API használatával. A végrehajtási környezetet az Azure Portal JSON-szerkesztőjével is beállíthatja.

1. Hozza létre az adatforrásdefiníciót, az indexet és a készségkészletet (ha használ ilyet), ahogyan azt általában tenné. A definíciókban nincsenek olyan tulajdonságok, amelyek a megosztott privát végpontok használatakor eltérőek lehetnek.

2. Hozzon létre egy indexelőt , amely az előző lépésben létrehozott adatforrásra, indexre és képességkészletre mutat. Emellett kényszerítse az indexelőt a privát végrehajtási környezetben való futtatásra az indexelő executionEnvironment konfigurációs tulajdonságának privatebeállításával.

   {
       "name": "indexer",
       "dataSourceName": "blob-datasource",
       "targetIndexName": "index",
       "parameters": {
           "configuration": {
               "executionEnvironment": "private"
           }
       },
       "fieldMappings": []
   }
   

Az indexelő sikeres létrehozása után csatlakoznia kell az Azure-erőforráshoz a privát végponti kapcsolaton keresztül. Az indexelő állapotát az Indexelő állapota API használatával figyelheti.

5 – A megosztott privát hivatkozás tesztelése

1. Ha még nem tette meg, ellenőrizze, hogy az Azure PaaS-erőforrás elutasítja-e a nyilvános internetről érkező kapcsolatokat. Ha a kapcsolatok elfogadottak, tekintse át az Azure PaaS-erőforrás hálózatkezelési oldalán található DNS-beállításokat.

2. Olyan eszközt válasszon, amely meghívhat kimenő kérési forgatókönyvet, például indexelő kapcsolatot egy privát végponttal. Egyszerű választás az Adatok importálása varázsló használata, de a pontosság érdekében kipróbálhatja a REST-ügyfelet és a REST API-kat is. Feltételezve, hogy a keresési szolgáltatás nincs privát kapcsolatra konfigurálva, a kereséshez használt REST-ügyfélkapcsolat a nyilvános interneten keresztül is elérhető.

3. Állítsa a kapcsolati sztring a privát Azure PaaS-erőforrásra. A kapcsolati sztring formátuma nem változik a megosztott privát hivatkozás esetében. A keresési szolgáltatás belsőleg meghívja a megosztott privát hivatkozást.

   Az indexelő számítási feladatok esetében a kapcsolati sztring az adatforrás definíciójában található. Az adatforrások például így nézhetnek ki:

    {
      "name": "my-blob-ds",
      "type": "azureblob",
      "subtype": null,
      "credentials": {
        "connectionString": "DefaultEndpointsProtocol=https;AccountName=<YOUR-STORAGE-ACCOUNT>;AccountKey=..."
      }
   

4. Indexelő számítási feladatok esetén ne felejtse el beállítani a végrehajtási környezetet az indexelő definíciójában. Az indexelő definíciója például így nézhet ki:

   "name": "indexer",
   "dataSourceName": "my-blob-ds",
   "targetIndexName": "my-index",
   "parameters": {
      "configuration": {
          "executionEnvironment": "private"
          }
      },
   "fieldMappings": []
   }
   

5. Futtassa az indexelőt. Ha az indexelő végrehajtása sikeres, és a keresési index ki van töltve, a megosztott privát hivatkozás működik.

Hibaelhárítás

• Ha az indexelő létrehozása "Az adatforrás hitelesítő adatai érvénytelenek" hibával meghiúsul, a kapcsolat hibakeresése előtt ellenőrizze a megosztott privát hivatkozás jóváhagyási állapotát. Ha az állapot az Approved, ellenőrizze a tulajdonságot properties.provisioningState . Ha így Incompletevan, előfordulhat, hogy probléma merül fel a mögöttes függőségekkel kapcsolatban. Ebben az esetben újra kiadja a PUT megosztott privát hivatkozás újbóli létrehozására vonatkozó kérést. Előfordulhat, hogy meg kell ismételnie a jóváhagyási lépést is.

• Ha az indexelők folyamatosan vagy időszakosan sikertelenek, ellenőrizze az executionEnvironment indexelő tulajdonságát . Az értéknek a következőre kell állítania: private. Ha nem állította be ezt a tulajdonságot, és az indexelő futtatása a múltban sikeres volt, az azért van, mert a keresési szolgáltatás saját magánkörnyezetet használt. A keresési szolgáltatás áthelyezi a feldolgozást a több-bérlős környezetből, ha a rendszer terhelés alatt áll.

• Ha hibaüzenetet kap egy megosztott privát hivatkozás létrehozásakor, ellenőrizze a szolgáltatási korlátokat , hogy ellenőrizze, hogy a szint kvótája alatt van-e.

Következő lépések

További információ a privát végpontokról és más biztonságos kapcsolati módszerekről:

• Megosztott privát kapcsolat erőforrásaival kapcsolatos problémák elhárítása
• Mik azok a privát végpontok?
• A privát végpontokhoz szükséges DNS-konfigurációk
• Indexelő hozzáférése az Azure hálózati biztonsági funkciói által védett tartalmakhoz