如何在Azure OpenAI与Azure AI Search间建立安全连接（无需公网访问）

前置要求 #

确保Azure OpenAI和Azure AI Search实例处于同一Azure区域（或已配置虚拟网络对等互联的区域，同区域更优），且你拥有两者的管理员权限。

1. 为Azure AI Search创建专用终结点 #

• 进入Azure AI Search实例的「网络」设置，切换到「专用终结点」标签页
• 点击「+ 专用终结点」，选择要关联的虚拟网络（VNet）和子网（注意：子网若启用了「专用端点网络策略」，需先调整为允许状态）
• 填写专用终结点名称，资源类型选择Microsoft.Search/searchServices，并关联你的Search实例
• 创建完成后，Azure会自动在VNet的专用DNS区域中生成Search实例的私有域名记录（格式为<搜索实例名>.private.search.azure.com）

2. 将Azure OpenAI集成到虚拟网络 #

• 进入Azure OpenAI实例的「网络」设置，切换到「虚拟网络」标签页
• 点击「+ 添加虚拟网络」，选择和Search专用终结点所在的同一VNet（或对等互联的VNet）
• 选定要集成的子网，若子网有网络安全组（NSG），需确保出站规则未限制HTTPS（443端口）流量
• 保存配置后，OpenAI的所有请求将通过该VNet发送

3. 限制Azure AI Search的公网访问 #

• 回到Azure AI Search的「网络」设置，切换到「防火墙和虚拟网络」标签页
• 选择「允许从所选虚拟网络和IP地址访问」，然后添加OpenAI集成的VNet到允许列表
• 取消勾选「允许从所有网络访问」，彻底禁用公网访问
• 保存配置

4. 验证连接有效性 #

• 运行你的RAG解决方案测试，确认OpenAI能正常调用Search索引
• 可在VNet内的虚拟机上，通过curl命令测试Search专用终结点的连通性：curl https://<搜索实例名>.private.search.azure.com/indexes/<索引名>/docs?api-version=2023-11-01（需携带认证信息）

关键注意事项 #

• DNS解析：若VNet未自动关联专用DNS区域，需手动关联，确保OpenAI能正确解析Search的私有域名
• NSG规则：如果子网配置了NSG，需添加出站规则，允许目标端口443访问Search的专用IP地址或VNet地址范围
• 权限配置：确保OpenAI使用的服务主体拥有Search Index Data Reader角色权限，能正常读取索引数据

内容的提问来源于stack exchange，提问作者matt1616