Volver al sitio

Permiso Foundry User

Para que un usuario acceda a recursos protegidos por Microsoft Foundry a través de Power Omni, el rol Foundry User debe asignarse a la cuenta de ese usuario en Azure.

Esto se aplica, por ejemplo, a los usuarios que accederán a un agente conectado a un Microsoft Fabric Data Agent. En este tipo de integración, la autenticación se realiza con la propia identidad del usuario en Microsoft Entra ID.

Microsoft cambió recientemente el nombre del rol Azure AI User a Foundry User. Mientras Azure se actualiza, el nombre anterior aún puede aparecer en algunos entornos. Los permisos y el ID del rol son los mismos.

¿Por qué se requiere este permiso?

Cuando un usuario accede a un agente a través de Power Omni, su identidad puede utilizarse para autenticar la solicitud en Azure y validar a qué recursos tiene permitido acceder.

El rol Foundry User otorga los permisos de lectura y de plano de datos necesarios para que el usuario pueda:

  • acceder al recurso y al proyecto de Foundry;
  • utilizar modelos ya implementados;
  • interactuar con agentes;
  • ejecutar solicitudes de inferencia;
  • acceder a los recursos del proyecto utilizando su identidad de Microsoft Entra ID.

Sin esta asignación de rol, Azure puede bloquear la solicitud con errores de autorización como 403 - Access denied, incluso si el agente está configurado correctamente en Power Omni.

Este rol no otorga acceso administrativo completo. El usuario no podrá administrar la suscripción, asignar roles a otras identidades ni eliminar recursos de Azure.

Requisitos previos

Antes de comenzar, asegúrese de que:

  • El recurso y el proyecto de Microsoft Foundry ya hayan sido creados;
  • Los usuarios que accederán al agente tengan cuentas en Microsoft Entra ID;
  • Los usuarios y los recursos involucrados estén en el tenant correcto;
  • Para las integraciones con Fabric, el proyecto de Foundry y el Fabric Data Agent estén en el mismo tenant;
  • Su cuenta tenga permiso para crear asignaciones de roles en el recurso, como Owner, User Access Administrator o Role Based Access Control Administrator.

Paso a paso

  1. Abra el recurso de Microsoft Foundry

    1. Acceda al Azure Portal.
    2. En la barra de búsqueda superior, busque el recurso de Foundry utilizado por Power Omni o su grupo de recursos.
    3. Abra el recurso correcto.

    Para seguir el principio de privilegio mínimo, asigne el rol directamente al recurso de Foundry utilizado por Power Omni. Evite asignar el rol a nivel de toda la suscripción, a menos que sea necesario.

  2. Control de acceso (IAM)

    En el menú lateral del recurso, seleccione Control de acceso (IAM).

  3. Inicie una nueva asignación de rol

    1. Haga clic en Agregar.
    2. Seleccione Agregar asignación de roles.

    Si esta opción está deshabilitada, su cuenta no tiene permiso para asignar roles en este ámbito. En ese caso, solicite a un administrador de Azure que realice la asignación.

  4. Seleccione el rol Foundry User

    1. En la pestaña Rol, mantenga seleccionado Roles de función de trabajo.
    2. En el campo de búsqueda, busque Foundry User.
    3. Si el rol no aparece, busque Azure AI User, que es el nombre anterior del mismo rol.
    4. Seleccione el rol y haga clic en Siguiente.

    El ID oficial del rol es:

    53ca6127-db72-4b80-b1b0-d745d6d5456d

    Puede utilizar este ID para confirmar que seleccionó el rol correcto.

  5. Seleccione el usuario

    En la pestaña Miembros:

    1. Seleccione Usuario, grupo o entidad de servicio.
    2. Haga clic en Seleccionar miembros.

    En el panel lateral:

    1. Busque el grupo, el nombre del usuario o su dirección de correo electrónico.
      Ejemplo: si está utilizando el conector de Fabric, agregue los usuarios que accederán a ese agente.
    2. Repita el proceso para agregar usuarios adicionales cuando sea necesario.
    1. Confirme haciendo clic en Seleccionar.
    2. Haga clic en Siguiente.

  6. Revise y complete la asignación

    1. En la pestaña Revisar y asignar, confirme:
      • Rol: Foundry User o Azure AI User;
      • Miembro: Usuarios o grupos que accederán a los agentes;
      • Ámbito: El recurso de Foundry correcto.
    2. Haga clic en Revisar y asignar.
    3. Si el botón sigue disponible después de la primera confirmación, haga clic nuevamente para completar la asignación.

  7. La propagación del permiso puede tardar unos minutos. Después, solicite al usuario que acceda nuevamente a Power Omni y pruebe el agente conectado al recurso.

Problemas comunes

El rol Foundry User no aparece

Busque el nombre anterior, Azure AI User. Microsoft aún está completando la actualización del nombre del rol en todos los portales y regiones.

53ca6127-db72-4b80-b1b0-d745d6d5456d
El botón Agregar asignación de roles está deshabilitado

Su cuenta no tiene el permiso Microsoft.Authorization/roleAssignments/write en el ámbito seleccionado.

Solicite a un usuario con alguno de los siguientes roles que cree la asignación:

  • Owner;
  • User Access Administrator;
  • Role Based Access Control Administrator.
La asignación de rol es visible, pero Power Omni sigue recibiendo un error de acceso.
  • Espere unos minutos para que la asignación de rol se propague.
  • Confirme que el permiso se asignó al recurso de Foundry correcto.
  • Si hay varios recursos de Foundry configurados, repita la asignación de rol para cada recurso necesario.
  • Pruebe nuevamente la solicitud a través de Power Omni.

Actualizado