用于文档智能的托管标识

此内容适用于：🟩v4.0 （正式版）🟩v3.1 （正式版）🟥v3.0 （停用）🟥v2.1 （停用）

Azure 资源托管标识是一种服务主体，可为 Azure 托管资源创建 Microsoft Entra 标识和特定权限：

• 托管标识向支持 Microsoft Entra 身份验证的任何资源（包括你自己的应用程序）授予访问权限。 与安全密钥和身份验证令牌不同，托管标识使开发人员无需管理凭据。

• 可以授予对 Azure 资源的访问权限，并使用 Azure 基于角色的访问控制 (Azure RBAC) 为托管标识分配 Azure 角色。 在 Azure 中使用托管标识不会增加成本。

专用存储帐户访问

专用 Azure 存储帐户访问和身份验证支持 Azure 资源托管标识。 如果你的 Azure 存储帐户受虚拟网络 (VNet) 或防火墙保护，则文档智能无法直接访问你的存储帐户数据。 但是，启用托管标识后，文档智能可使用分配的托管标识凭据来访问你的存储帐户。

先决条件

要开始，需要：

• 有效的 Azure 帐户；如果没有帐户，可以创建一个试用帐户 。

• Azure 门户中的 文档智能 资源或 Azure AI 服务 资源。 有关详细步骤，请参阅“创建 Azure AI 服务资源”。

• 与文档智能资源位于同一区域的 Azure Blob 存储帐户。 你还需要创建一个容器，用于存储和组织存储帐户中的 blob 数据。

  • 如果存储帐户位于防火墙后面，则必须启用以下配置：
    

  • 从存储帐户页上的左侧菜单中选择“安全性 + 网络”→“网络” 。

  • 在主窗口中，选择“允许从所选网络访问”。

  • 在所选网络页上，导航到“例外”类别，并确保已启用“”复选框Allow Azure services on the trusted services list to access this storage account。

    

• 通过 Azure 门户简要了解 Azure 基于角色的访问控制 (Azure RBAC)。

托管标识分配情况

有两种托管标识类型：系统分配的托管标识和用户分配的托管标识 。 目前，文档智能仅支持系统分配的托管标识：

• 系统分配的托管标识直接在服务实例上启用。 此标识默认不会启用，因此你必须转到资源并更新标识设置。

• 系统分配的托管标识在该资源的整个生命周期内与其绑定。 如果删除资源，则托管标识也将被删除。

在以下步骤中，我们将启用系统分配的托管标识，并向文档智能授予受限访问 Azure blob 存储帐户的权限。

启用系统分配的托管标识

1. 使用已与 Azure 订阅关联的帐户登录 Azure 门户。

2. 在 Azure 门户中，导航到你的文档智能资源页。

3. 在左侧导航栏中的“资源管理”列表下，选择“标识”：

   

4. 在主窗口中，将“系统分配的状态”选项卡切换为“开启” 。

授予对存储帐户的访问权限

你需要先向文档智能授予对存储账户的访问权限，然后才能读取 Blob。 现在，既然已通过系统分配的托管标识启用 Document Intelligence 访问权限，你就可以使用 Azure 基于角色的访问控制 (Azure RBAC) 向 Document Intelligence 授予对 Azure 存储的访问权限。 存储 Blob 数据读者角色向文档智能（以系统分配的托管标识表示）授予对 Blob 容器和数据的读取和列出权限。

1. 在 权限 下，选择 Azure 角色分配：

   

2. 在打开的“Azure 角色分配”页面上，从下拉菜单中选择订阅，然后选择“+ 添加角色分配”。

   

   注意

   如果由于禁用了“添加 > 添加角色分配”选项而无法在 Azure 门户中分配角色，或者收到“你无权在此作用域添加角色分配”权限错误信息，请检查你目前登录的用户是否获分配在存储资源的存储作用域具有 Microsoft.Authorization/roleAssignments/write 权限的角色（例如所有者或用户访问管理员）。

3. 接下来，你将为你的文档智能服务资源分配 Storage Blob Data Reader 角色。 在“Add role assignment”弹出窗口中，按如下所示填写字段，然后选择“保存”：

   字段	值
   范围	存储
   订阅	与您的存储资源关联的订阅。
   资源	存储资源的名称
   角色	存储 Blob 数据读取者—允许对 Azure 存储 Blob 容器和数据具有读取权限。

   

4. 收到“已添加角色分配”确认消息后，可以刷新页面以查看添加的角色分配。

   

5. 如果没有立即看到更改，请等待并尝试再次刷新页面。 分配角色或删除角色分配时，最长可能需要 30 分钟更改才能生效。

   

就这么简单！ 你已完成启用系统分配的托管标识的相关步骤。 借助托管标识和 Azure RBAC，无需管理凭据（如 SAS 令牌）即可向文档智能授予对存储资源的特定访问权限。

文档智能工作室的其他角色分配

如果要使用 Document Intelligence Studio，并且存储帐户配置了网络限制（如防火墙或虚拟网络），则还需要向 Document Intelligence 服务分配另一个角色：Storage Blob Data Contributor。 执行自动标签、人机回环或项目共享/升级操作时，文档智能工作室需要此角色才能将 Blob 写入存储帐户。

后续步骤