使用Microsoft Entra ID连接Azure AI Foundry非Azure OpenAI嵌入模型遇权限问题

• 检查令牌受众：非Azure OpenAI模型可能需要特定的受众值，默认DefaultAzureCredential请求的令牌受众是https://cognitiveservices.azure.com或https://ai.azure.com，但AI Foundry的模型可能要求不同的受众。可以通过指定token_scopes参数覆盖默认范围：

  model = EmbeddingsClient(
      endpoint=endpoint,
      credential=DefaultAzureCredential(),
      model=model_name,
      token_scopes=["https://<你的AI Foundry资源URI>/.default"]
  )
  

  替换<你的AI Foundry资源URI>为实际的资源标识URI。

• 验证权限配置：确认你的Entra ID身份（用户或服务主体）已被授予访问该AI Foundry嵌入模型的对应权限，比如完成了正确的角色分配（如认知服务用户、贡献者等），且权限已生效。

• 确认端点准确性：检查代码中的endpoint是否为AI Foundry模型的正确访问端点，避免混淆Azure OpenAI的端点导致令牌不匹配。

• 验证令牌有效性：可通过命令手动获取令牌并检查其内容，确认受众、过期时间是否符合要求：

  az account get-access-token --resource <你的AI Foundry资源URI>
  

内容的提问来源于stack exchange，提问作者trideau