Konfigurace podpory virtuální sítě pro vyhodnocení v Microsoft Foundry

K izolaci testovacího provozu v Microsoft Foundry použijte virtuální síť. Tento článek vám pomůže zvolit vhodné pokyny k nastavení sítě, nakonfigurovat požadavky specifické pro vyhodnocení a vyřešit běžné chyby vyhodnocení související se sítí.

Předpoklady

• Projekt Foundry v oblasti, která podporuje vyhodnocení virtuální sítě.
• Oprávnění ke konfiguraci síťové izolace a přiřazování rolí řízení přístupu na základě role v Azure (Azure RBAC).
• Virtuální síť a podsíť, které můžete delegovat pro injektáž sítě, nebo oprávnění k jejich nasazení pomocí šablony nastavení určené jen pro vyhodnocení.

Volba pokynů k nastavení sítě

V následující tabulce najdete pokyny k sítím pro váš scénář. Vraťte se do tohoto článku, kde najdete požadavky a řešení potíží, které jsou specifické pro vyhodnocení.

Goal	Guidance
Seznamte se s možnostmi izolace sítě a nakonfigurujte privátní koncové body, DNS, seznamy povolených bran firewall a přístup k veřejné síti.	Konfigurace izolace sítě pro Microsoft Foundry
Pro izolaci odchozí sítě použijte řešení virtuální sítě spravované Microsoft.	Konfigurace spravované virtuální sítě pro projekty Foundry
Připojte spravovanou virtuální síť k místním prostředkům nebo prostředkům mimo Azure	Přístup k místním prostředkům ze spravované sítě Foundry
Nakonfigurujte úplné nastavení privátní sítě, které zahrnuje službu Foundry Agent Service.	Nastavení privátních sítí pro službu Foundry Agent Service
Seznamte se s architekturou sítě služby Agent Service, tokem provozu, nastavením velikosti podsítě a přidělováním IP adres.	Podrobný pohled na síťové služby Foundry Agent Service
Pomocí agenta kódování můžete plánovat a konfigurovat prostředky a sítě Foundry.	Užívání dovednosti Microsoft Foundry v programovacích agentech

Konfigurace požadavků na síť pro vyhodnocení

Podpora virtuální sítě pro vyhodnocení vyžaduje injektáž sítě prostřednictvím delegování podsítě. Pokud potřebujete jenom možnosti vyhodnocení a nevyžadujete úplnou podporu agentů, jako je Azure Cosmos DB, Azure AI Vyhledávač nebo hostitel možností projektu, použijte zjednodušenou šablonu nastavení jen pro vyhodnocení (15a). Šablona nasadí minimální prostředí zabezpečené sítí pro scénáře vyhodnocení.

Important

Pokud chcete zabránit selháním běhů vyhodnocování a red teamingu, přiřaďte spravované identitě projektu roli Foundry User v rozsahu prostředku Foundry při počátečním nastavení projektu.

Important

Nedávno byly přejmenovány role Foundry RBAC. Foundry User, Foundry Owner, Foundry Account Owner a Foundry Project Manager se dříve nazývaly Uživatel Azure AI, Vlastník Azure AI, Vlastník účtu Azure AI a Správce projektů Azure AI. Během zavádění přejmenování se stále můžou zobrazovat předchozí názvy na některých místech. ID rolí a základní oprávnění se při přejmenování nezmění.

Pokud připojíte Application Insights, odesílají se do ní data vyhodnocení.

Podpora oblasti virtuální sítě

Pro vyhodnocení můžete použít vlastní virtuální síť v následujících oblastech:

Severní a Jižní Amerika	Evropa	Asie a Tichomoří	Střední východ a Afrika
Brazílie – jih	Francie – střed	Austrálie – východ	Jižní Afrika – sever
Kanada – střed	Německo – středozápad	Japonsko – východ	Spojené arabské emiráty – sever
Kanada – východ	Itálie – sever	Korea – střed
USA – východ​	Norsko – východ	Indie – jih
USA – východ 2	Polsko – střed	Jihovýchodní Asie
Střed USA – sever	Španělsko – střed
Střed USA – jih	Švédsko – střed
USA – západ	Švýcarsko – sever
USA – západ 2​	Velká Británie – jih
USA – západ 3	Západní Evropa

Konfigurace podpory virtuální sítě pro generování dat

Generování syntetických dat a generování datových sad z trasování používají stejné vkládání do sítě pomocí delegování podsítě jako vyhodnocování. K nasazení požadovaného prostředí zabezpečeného sítí použijte šablonu nastavení jen pro vyhodnocení (15a ).

Dostupnost oblastí generování dat najdete v tématu Podporované oblasti pro generování dat.

Řešení chyb vyhodnocení virtuální sítě

Diagnostika konfigurace virtuální sítě

Spusťte diagnostiku nastavení projektu virtuální sítě z počítače, který má privátní připojení k vaší virtuální síti. Skript zkontroluje existující konfiguraci projektu Foundry a připojení k síti bez spuštění vyhodnocení nebo změny Azure prostředků.

Postupujte podle návodu k použití, připravte vše potřebné, spusťte příslušné diagnostické kontroly a zkontrolujte vygenerovanou diagnostics.md zprávu. Zpráva obsahuje prakticky využitelná zjištění, podklady, známá omezení a pokyny k nápravě, které vám pomohou vyřešit problémy s konfigurací.

Běh vyhodnocení probíhá až do vypršení časového limitu.

Zkušební spuštění může zůstat probíhající , protože nastavení izolace sítě není dokončené, požadované privátní koncové body nejsou nakonfigurované, pokud je zakázaný přístup k veřejné síti nebo spravovaná identita projektu nemá oprávnění k aktualizaci stavu spuštění.

Řešení tohoto problému:

1. Ověřte, že vložení sítě a delegování podsítě jsou nakonfigurovány tak, jak je popsáno v článku Konfigurace izolace sítě pro Microsoft Foundry. Pokud potřebujete jenom možnosti vyhodnocení, porovnejte nasazení se šablonou nastavení jen pro vyhodnocení (15a).
2. Pokud je zakázán přístup z veřejné sítě, ověřte, že jsou požadované privátní endpointy nakonfigurovány a schváleny a že privátní DNS správně překládá názvy endpointů prostředků ze sítě injektované do projektu Foundry.
3. Ujistěte se, že projekt Foundry má nastavení hostitele pro funkce. Potřebujeme možnost hostování jak na úrovni účtu Foundry, tak na úrovni projektu. Pokud jste nenastavili hostitele funkcí na úrovni projektu Foundry, použijte k jeho nastavení šablonu Bicep add-project-capability-host.
4. Ověřte, že spravovaná identita projektu má roli Foundry User v rozsahu prostředku Foundry.
5. U velké datové sady spusťte vyhodnocení s menší reprezentativní podmnožinou. Pokud se menší běh dokončí, zmenšete velikost datové sady nebo datovou sadu rozdělte mezi několik běhů vyhodnocení.

Spuštění vyhodnocení se nepovedlo spustit s chybou 403

Tato chyba uvádí, že přístup k síti je zakázaný, přístup k veřejné síti je zakázaný, ale zkušební služba nemůže prostřednictvím virtuální sítě získat přístup k jednomu nebo více požadovaným prostředkům.

Error: Public access is disabled. Please configure private endpoint.

Řešení tohoto problému:

1. Identifikujte název hostitele prostředku v podrobnostech o chybě nebo v diagnostice vyhodnocení.
2. Ověřte, že jsou pro účely vyhodnocení nakonfigurované vkládání do sítě a delegování podsítě.
3. Ověřte, že je nakonfigurovaný a schválený privátní koncový bod pro ovlivněný prostředek.
4. Ověřte, že privátní DNS správně překládá název hostitele a že síťová pravidla povolují přístup z rámci sítě VNet.
5. Zkuste zkušební spuštění zopakovat, jakmile se projeví změny konfigurace sítě.

V případě jiných 403 chyb ověřte přiřazení rolí RBAC pro uživatele, který spouští běh, a pro spravovanou identitu projektu. Další problémy specifické pro vyhodnocení najdete v tématu Řešení potíží s vyhodnocením a pozorovatelnostmi.

Vlastní DNS nedokáže přeložit privátní koncové body

Pokud pro virtuální síť definujete vlastní DNS server, systém se automaticky nedotazuje na privátní zóny DNS propojené s touto virtuální sítí. Vlastní nastavení DNS přepíší pořadí překladu názvů.

Pokud chcete povolit překlad vlastního DNS pro privátní zónu, použijte privátní překladač Azure DNS ve virtuální síti propojené s privátní zónou. Pokyny ke konfiguraci najdete v tématu Centralizovaná architektura DNS.

Pokud váš vlastní server DNS běží na Azure virtuálním počítači, nakonfigurujte podmíněný předávač pro privátní zónu. Nastavte cíl předávače na Azure DNS IP adresu. 168.63.129.16