# Permiso Foundry User

Esto se aplica, por ejemplo, a los usuarios que accederán a un agente conectado a un **Microsoft Fabric Data Agent**. En este tipo de integración, la autenticación se realiza con la propia identidad del usuario en Microsoft Entra ID. 

{% hint style="warning" %}
Microsoft cambió recientemente el nombre del rol **Azure AI User** a **Foundry User**. Mientras Azure se actualiza, el nombre anterior aún puede aparecer en algunos entornos. Los permisos y el ID del rol son los mismos.
{% endhint %}

### ¿Por qué se requiere este permiso?

Cuando un usuario accede a un agente a través de Power Omni, su identidad puede utilizarse para autenticar la solicitud en Azure y validar a qué recursos tiene permitido acceder.

El rol **Foundry User** otorga los permisos de lectura y de plano de datos necesarios para que el usuario pueda:

* acceder al recurso y al proyecto de Foundry;
* utilizar modelos ya implementados;
* interactuar con agentes;
* ejecutar solicitudes de inferencia;
* acceder a los recursos del proyecto utilizando su identidad de Microsoft Entra ID.

Sin esta asignación de rol, Azure puede bloquear la solicitud con errores de autorización como **403 - Access denied**, incluso si el agente está configurado correctamente en Power Omni.

Este rol no otorga acceso administrativo completo. El usuario no podrá administrar la suscripción, asignar roles a otras identidades ni eliminar recursos de Azure.

### Requisitos previos

Antes de comenzar, asegúrese de que:

* El recurso y el proyecto de Microsoft Foundry ya hayan sido creados;
* Los usuarios que accederán al agente tengan cuentas en Microsoft Entra ID;
* Los usuarios y los recursos involucrados estén en el tenant correcto;
* Para las integraciones con Fabric, el proyecto de Foundry y el Fabric Data Agent estén en el mismo tenant;
* Su cuenta tenga permiso para crear asignaciones de roles en el recurso, como **Owner**, **User Access Administrator** o **Role Based Access Control Administrator**.

### Paso a paso

{% stepper %}
{% step %}
### Abra el recurso de Microsoft Foundry

1. Acceda al [Azure Portal.](https://portal.azure.com/)
2. En la barra de búsqueda superior, busque el recurso de Foundry utilizado por Power Omni o su grupo de recursos.
3. Abra el recurso correcto.

{% hint style="info" %}
Para seguir el principio de privilegio mínimo, asigne el rol directamente al recurso de Foundry utilizado por Power Omni. Evite asignar el rol a nivel de toda la suscripción, a menos que sea necesario.
{% endhint %}
{% endstep %}

{% step %}
### Control de acceso (IAM)

En el menú lateral del recurso, seleccione **Control de acceso (IAM)**.

<figure><img src=".gitbook/assets/01-controle-de-acesso-iam.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
### Inicie una nueva asignación de rol

1. Haga clic en **Agregar**.
2. Seleccione **Agregar asignación de roles**.

<figure><img src=".gitbook/assets/02-adicionar-atribuicao-funcao.png" alt=""><figcaption></figcaption></figure>

Si esta opción está deshabilitada, su cuenta no tiene permiso para asignar roles en este ámbito. En ese caso, solicite a un administrador de Azure que realice la asignación.
{% endstep %}

{% step %}
### Seleccione el rol Foundry User

1. En la pestaña **Rol**, mantenga seleccionado **Roles de función de trabajo**.
2. En el campo de búsqueda, busque **Foundry User**.
3. Si el rol no aparece, busque **Azure AI User**, que es el nombre anterior del mismo rol.
4. Seleccione el rol y haga clic en **Siguiente**.

<figure><img src=".gitbook/assets/03-selecionar-funcao.png" alt=""><figcaption></figcaption></figure>

El ID oficial del rol es:

```
53ca6127-db72-4b80-b1b0-d745d6d5456d
```

Puede utilizar este ID para confirmar que seleccionó el rol correcto.
{% endstep %}

{% step %}
### Seleccione el usuario

En la pestaña **Miembros**:

<figure><img src=".gitbook/assets/04-selecionar-tipo-membro.png" alt=""><figcaption></figcaption></figure>

1. Seleccione **Usuario, grupo o entidad de servicio**.
2. Haga clic en **Seleccionar miembros**.

En el panel lateral:

1. Busque el grupo, el nombre del usuario o su dirección de correo electrónico.\
   Ejemplo: si está utilizando el conector de Fabric, agregue los usuarios que accederán a ese agente.
2. Repita el proceso para agregar usuarios adicionales cuando sea necesario.

<figure><img src=".gitbook/assets/05-selecionar-power-omni.png" alt=""><figcaption></figcaption></figure>

3. Confirme haciendo clic en **Seleccionar**.
4. Haga clic en **Siguiente**.
{% endstep %}

{% step %}
### Revise y complete la asignación

<figure><img src=".gitbook/assets/06-revisar-atribuir.png" alt=""><figcaption></figcaption></figure>

1. En la pestaña **Revisar y asignar**, confirme:
   * Rol: **Foundry User** o **Azure AI User**;
   * Miembro: Usuarios o grupos que accederán a los agentes;
   * Ámbito: El recurso de Foundry correcto.
2. Haga clic en **Revisar y asignar**.
3. Si el botón sigue disponible después de la primera confirmación, haga clic nuevamente para completar la asignación.
{% endstep %}

{% step %}
{% hint style="info" %}
La propagación del permiso puede tardar unos minutos. Después, solicite al usuario que acceda nuevamente a Power Omni y pruebe el agente conectado al recurso.
{% endhint %}
{% endstep %}
{% endstepper %}

### Problemas comunes

<details>

<summary>El rol Foundry User no aparece</summary>

Busque el nombre anterior, **Azure AI User**. Microsoft aún está completando la actualización del nombre del rol en todos los portales y regiones.

```
53ca6127-db72-4b80-b1b0-d745d6d5456d
```

</details>

<details>

<summary>El botón Agregar asignación de roles está deshabilitado</summary>

Su cuenta no tiene el permiso `Microsoft.Authorization/roleAssignments/write` en el ámbito seleccionado.

Solicite a un usuario con alguno de los siguientes roles que cree la asignación:

* **Owner**;
* **User Access Administrator**;
* **Role Based Access Control Administrator**.

</details>

<details>

<summary>La asignación de rol es visible, pero Power Omni sigue recibiendo un error de acceso.</summary>

* Espere unos minutos para que la asignación de rol se propague.
* Confirme que el permiso se asignó al recurso de Foundry correcto.
* Si hay varios recursos de Foundry configurados, repita la asignación de rol para cada recurso necesario.
* Pruebe nuevamente la solicitud a través de Power Omni.

</details>