Compartir a través de

Protección de puntos de conexión de OpenAPI para el servicio de agente Foundry

En este artículo se muestra cómo proteger los puntos de conexión de OpenAPI de App Service cuando los llama Foundry Agent Service. Al agregar la aplicación de App Service como una herramienta openAPI en Microsoft Foundry, puede configurarla para llamar a las API de forma anónima sin autenticación, lo que es más fácil para el desarrollo y las pruebas. Sin embargo, para entornos de producción, debe usar la autenticación de Microsoft Entra con identidad administrada. Esta guía le guía a través de la configuración de la autenticación de identidad administrada para habilitar la comunicación segura basada en tokens entre Microsoft Foundry y la aplicación.

Prerrequisitos

Encuentra los identificadores de identidad administrada (IDs) de tu proyecto de Microsoft Foundry

Se necesita tanto el identificador de objeto como el identificador de aplicación de la identidad administrada de su proyecto de Microsoft Foundry para configurar la autenticación de App Service. Una identidad administrada asignada por el sistema se crea automáticamente para el proyecto de Microsoft Foundry al crearla. Esta identidad es lo que usa Foundry Agent Service para autenticarse con la aplicación.

  1. En el portal de Foundry, asegúrese de seleccionar New Foundry en la esquina superior derecha. Tenga en cuenta que el nuevo portal de Foundry no muestra los agentes creados en el portal clásico.

  2. En el menú superior derecho, seleccione Operar>administrador. A continuación, seleccione el recurso primario del proyecto en la columna Recurso primario .

  3. En la página de detalles del recurso primario, seleccione Administrar este recurso en Azure Portal.

    Nota:

    Antes de continuar, asegúrese de que se encuentra en una página de recursos Foundry, no en una página de recursos del proyecto Foundry.

  4. En el menú izquierdo del recurso Foundry, seleccione Gestión de recursos>Identidad.

  5. En Asignado por el sistema, copie el valor de ID de objeto (principal) para su uso posterior.

  6. En Azure Portal, busque y seleccione Microsoft Entra ID.

  7. En el cuadro de búsqueda, busque el identificador de objeto que copió y selecciónelo en los resultados de búsqueda.

  8. En la página Información general , copie el valor de Id. de aplicación.

    Tenga en cuenta que el identificador de objeto es el mismo que el que se muestra en la identidad administrada asignada por el sistema. Necesita tanto el identificador de aplicación como el identificador de objeto para configurar la autenticación de App Service.

Configuración de la autenticación de Microsoft Entra para la aplicación

  1. En Azure Portal, vaya a la aplicación de App Service.

  2. En el menú izquierdo de la aplicación, seleccione Configuración>Autenticación y, a continuación, seleccione Agregar proveedor de identidades.

  3. En la página Agregar un proveedor de identidades , seleccione Microsoft como proveedor de identidades para crear un nuevo registro de aplicaciones.

  4. En Comprobaciones adicionales, en Requisitos de aplicación cliente, seleccione Permitir solicitudes de aplicaciones cliente específicas.

  5. Seleccione el widget de lápiz y agregue el identificador de aplicación que copió en Buscar los identificadores de identidad administrada del proyecto de Microsoft Foundry.

  6. En Requisito de identidad, seleccione Permitir solicitudes de identidades específicas.

  7. Seleccione el widget de lápiz y agregue el identificador de objeto que copió en Buscar los identificadores de identidad administrada del proyecto de Microsoft Foundry.

  8. Para el requisito de inquilino , acepte el valor predeterminado. Si no es así, asegúrese de seleccionar la entidad donde se ha creado su proyecto de Microsoft Foundry (o su identidad).

  9. En Solicitudes no autenticadas, seleccione HTTP 401 No autorizado: recomendado para las API.

  10. Seleccione Agregar para crear el proveedor de identidades.

    Captura de pantalla que muestra la configuración de un nuevo proveedor de autenticación de Microsoft en App Service.

Actualizar el id. de aplicación de registro de la aplicación URI

Después de habilitar la autenticación, debe actualizar el URI del id. de aplicación del registro de la aplicación para que coincida con la URL de su aplicación de App Service.

  1. Una vez completada la configuración del proveedor de Microsoft, selecciónela en la columna Proveedor de identidades para abrir la página de registro de la aplicación.

  2. En el menú de la izquierda, seleccione Administrar>exponer una API.

  3. Junto a URI de id. de aplicación, seleccione Editar.

  4. Cambia el valor a la dirección URL de tu aplicación de App Service con el formato siguiente: https://<suffix>.azurewebsites.net.

    Puede encontrar el nombre de host de la aplicación en la página Información general del dominio predeterminado.

  5. Haga clic en Guardar.

Advertencia

Si elimina la aplicación de App Service, también debe eliminar el registro de la aplicación y limpiar los recursos de autenticación que hagan referencia al URI del identificador de aplicación. Si no lo hace, se crea una vulnerabilidad de seguridad: si otra persona crea una aplicación con la misma dirección URL, podría obtener acceso no autorizado a los recursos que confían en el registro de la aplicación huérfana. Quite siempre los registros de aplicaciones y sus permisos asociados al retirar una aplicación.

Configuración de la herramienta OpenAPI en Microsoft Foundry

Nota:

En esta sección se supone que ya ha completado uno de los tutoriales de la sección Requisitos previos , donde agregó la aplicación como una herramienta OpenAPI en Microsoft Foundry mediante la autenticación anónima. Ahora actualiza la herramienta para usar la autenticación de identidad administrada.

  1. De nuevo en el portal de Foundry, seleccione su agente.

  2. Busque la herramienta OpenAPI y seleccione ...>Editar.

  3. La casilla OpenAPI 3.0+ schema debe contener el esquema de su aplicación de App Service. Si no es así, pegue el esquema de OpenAPI. Para obtener más información, consulte Uso de OpenAPI con el servicio Foundry Agent.

  4. En Método de autenticación, seleccione Identidad administrada.

  5. En Audiencia, escriba la dirección URL de la aplicación de App Service. Esta dirección URL debe coincidir con el URI del identificador de aplicación que configuró anteriormente.

  6. Seleccione Actualizar herramienta.

Sugerencia

Foundry Agent Service usa la identidad administrada asignada por el sistema para autenticarse con la aplicación. Debido a que ha agregado el id. de cliente de la identidad como una aplicación cliente permitida y una identidad permitida en la configuración del proveedor de autenticación de su aplicación, el servicio del agente está autorizado para llamar a las API de su aplicación.

Prueba del agente

  1. En el portal de Foundry, seleccione su agente y seleccione Probar en la zona de pruebas.

  2. Chatear con el agente para probar los puntos de conexión de OpenAPI. Por ejemplo:

    • Muéstrame todas las tareas.
    • Cree una tarea denominada "Comprar comestibles".
    • Actualice esa tarea a "Comprar comestibles y cocinar cena".

Si la autenticación está configurada correctamente, el agente llama correctamente a las API de la aplicación a través de la herramienta OpenAPI.

Contenido relacionado

  • Last updated on