ハンズオンラボ — AI-102 Microsoft Azure AI Engineer Associate

概要

前提条件

ステップ

1. 1.プロバイダー、リソースグループ、命名規則の基本

   標準的なAzureの開始部分です。AI-102では、最新のAzure OpenAIモデルが利用可能な eastus または westus を使用することが期待されています — 古いリージョンではGPT-4ファミリーがすぐに利用可能になりません。

   コピー

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       random  = { source = "hashicorp/random",  version = "~> 3.6" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   resource "random_id" "suffix" {
     byte_length = 3
   }
   
   data "azurerm_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-ai-102"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-ai-102-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.チャットモデルデプロイを含むAzure OpenAIアカウントの構築

   プロビジョニング対象:

   • Azure OpenAI Service

   Azure OpenAIは、AI-102における本番環境のGenAIエンジンです。アカウント（kind = "OpenAI"）を作成し、チャットモデルとして gpt-4o-mini をデプロイします。これは執筆時点で最も安価なGPT-4クラスのモデルであり、AI-102ラボの推奨デフォルトです。デプロイとは、特定のモデルバージョンをクォータ割り当てに名前付きでバインドするものであり、アプリケーションコードからその名前で呼び出します。

   model.version = "2024-07-18" はgpt-4o-miniのリリース日です — AI-102では、モデルバージョンの安定性（特定のバージョンへのロックと自動アップグレードの比較）が繰り返し懸念される点としてテストされます。試験では、本番環境の信頼性のために明示的なピン留めが推奨されます。

   コピー

   resource "azurerm_cognitive_account" "openai" {
     name                  = "openai-ai102-${random_id.suffix.hex}"
     resource_group_name   = azurerm_resource_group.main.name
     location              = azurerm_resource_group.main.location
     kind                  = "OpenAI"
     sku_name              = "S0"
     custom_subdomain_name = "openai-ai102-${random_id.suffix.hex}"
   
     identity {
       type = "SystemAssigned"
     }
   
     tags = local.tags
   }
   
   resource "azurerm_cognitive_deployment" "chat" {
     name                 = "gpt-4o-mini"
     cognitive_account_id = azurerm_cognitive_account.openai.id
   
     model {
       format  = "OpenAI"
       name    = "gpt-4o-mini"
       version = "2024-07-18"
     }
   
     sku {
       name     = "Standard"
       capacity = 10 # TPM in thousands; 10 = 10K tokens-per-minute quota
     }
   }

3. 3.Azure AI Searchを検索基盤としてプロビジョニング

   プロビジョニング対象:

   • Azure AI Search

   Azure AI Search（ブランド変更されたCognitive Search）は、RAGパターンのAI-102検索エンジンです。Basicティアのサービスをプロビジョニングします — これはシステム割り当てマネージドIDをサポートしており、AI Searchが統合されたベクトル化機能（インデックス作成中にAI Searchがユーザーの代わりに埋め込みモデルを呼び出す機能）のためにAzure OpenAIを安全に呼び出すために必要です。

   local_authentication_enabled = false の設定は、AI-102の本番環境におけるベストプラクティスです — Entra ID認証を強制し、管理キーが飛び交うのを防ぎます。システム割り当てマネージドIDは、次のステップでAzure OpenAIへのアクセス権を付与されます。

   コピー

   resource "azurerm_search_service" "main" {
     name                          = "search-ai102-${random_id.suffix.hex}"
     resource_group_name           = azurerm_resource_group.main.name
     location                      = azurerm_resource_group.main.location
     sku                           = "basic"
     replica_count                 = 1
     partition_count               = 1
     local_authentication_enabled  = false # Entra auth only
     public_network_access_enabled = true
   
     identity {
       type = "SystemAssigned"
     }
   
     tags = local.tags
   }
   
   # Grant AI Search's managed identity Cognitive Services OpenAI User on the
   // account — required for integrated vectorization (AI Search → OpenAI embeddings).
   resource "azurerm_role_assignment" "search_to_openai" {
     scope                = azurerm_cognitive_account.openai.id
     role_definition_name = "Cognitive Services OpenAI User"
     principal_id         = azurerm_search_service.main.identity[0].principal_id
   }

4. 4.ソースドキュメント用のストレージアカウントの追加

   プロビジョニング対象:

   • Azure Storage

   RAG用のソースドキュメントはAzure Storageに保存されます。AI SearchインデクサーはBlobコンテナーからデータを取得し、OpenAI埋め込みモデルでベクトル化処理を行い、検索インデックスを構築します。ストレージアカウントに対してAI SearchのマネージドIDに Storage Blob Data Reader ロールを付与することは、AI-102のパスワードレス検索パターンです。

   Storage + AI Search + OpenAIがすべてマネージドID経由で接続されることで、RAG基盤が整います。アプリケーション層（ユーザーのクエリを受け取り、AI Searchを呼び出し、取得したコンテキストでOpenAIを呼び出すチャットオーケストレーター）は、ユーザーが記述するコードです — Terraformはそこをサポートするものではなく、インフラストラクチャを正しく構築するものです。

   コピー

   resource "azurerm_storage_account" "docs" {
     name                            = "ai102docs${random_id.suffix.hex}"
     resource_group_name             = azurerm_resource_group.main.name
     location                        = azurerm_resource_group.main.location
     account_tier                    = "Standard"
     account_replication_type        = "LRS"
     account_kind                    = "StorageV2"
   
     https_traffic_only_enabled      = true
     min_tls_version                 = "TLS1_2"
     allow_nested_items_to_be_public = false
   
     tags = local.tags
   }
   
   resource "azurerm_storage_container" "source" {
     name                  = "source"
     storage_account_id    = azurerm_storage_account.docs.id
     container_access_type = "private"
   }
   
   resource "azurerm_role_assignment" "search_to_storage" {
     scope                = azurerm_storage_account.docs.id
     role_definition_name = "Storage Blob Data Reader"
     principal_id         = azurerm_search_service.main.identity[0].principal_id
   }

5. 5.OpenAI + SearchのエンドポイントをKey Vaultに保存

   プロビジョニング対象:

   • Azure Key Vault

   AI-102では、本番アプリケーションはエンドポイントとキーを環境変数や設定ファイルからではなく、Key Vaultから読み取ることを想定しています。Key Vaultをプロビジョニングし、OpenAIエンドポイント、デプロイ名、およびAI Searchエンドポイントをシークレットとして保存します。本番環境では、アプリケーションのマネージドIDがこのKey Vaultに対する「Key Vault Secrets User」ロールを持ち、起動時にそれらを読み取ることになります。

   これにより、AI-102の実装と統合のループが完結します。すべてのエンドポイント、すべてのキー、すべてのサービスURLがKey Vaultを介することで、シークレットローテーションの一元化、監査の一元化が実現されます。追加のAI-102パターン（Document Intelligence、Translator、Custom Vision、Speech）もすべて同じ方法で接続されます。

   コピー

   resource "azurerm_key_vault" "main" {
     name                       = "kv-ai102-${random_id.suffix.hex}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
   
     tags = local.tags
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }
   
   resource "azurerm_key_vault_secret" "openai_endpoint" {
     name         = "openai-endpoint"
     value        = azurerm_cognitive_account.openai.endpoint
     key_vault_id = azurerm_key_vault.main.id
   
     depends_on = [azurerm_role_assignment.kv_admin_self]
   }
   
   resource "azurerm_key_vault_secret" "openai_deployment" {
     name         = "openai-deployment"
     value        = azurerm_cognitive_deployment.chat.name
     key_vault_id = azurerm_key_vault.main.id
   
     depends_on = [azurerm_role_assignment.kv_admin_self]
   }
   
   resource "azurerm_key_vault_secret" "search_endpoint" {
     name         = "search-endpoint"
     value        = "https://${azurerm_search_service.main.name}.search.windows.net"
     key_vault_id = azurerm_key_vault.main.id
   
     depends_on = [azurerm_role_assignment.kv_admin_self]
   }

クリーンアップ