Freigeben über

Konfigurieren eines privaten Links für Azure AI Foundry

Wenn Sie ein Foundry-Projekt verwenden, können Sie einen privaten Link verwenden, um die Kommunikation mit Ihrem Projekt zu sichern. In diesem Artikel wird beschrieben, wie Sie mithilfe eines privaten Links eine private Verbindung mit Ihrem Projekt herstellen.

Bei der Verwendung eines hubbasierten Projekts müssen zwei Aspekte der Netzwerkisolation berücksichtigt werden:

  • Netzwerkisolation für den Zugriff auf einen Azure AI Foundry Hub: Dies ist der Schwerpunkt dieses Artikels. Es beschreibt, wie Sie eine private Verbindung mit Ihrem Hub und ihren Standardressourcen mithilfe eines privaten Links herstellen.
  • Netzwerkisolation von Computerressourcen in Ihren Hub- und Projekten: Dazu gehören Computeinstanzen, serverlose und verwaltete Onlineendpunkte. Weitere Informationen finden Sie im Artikel " Konfigurieren verwalteter Netzwerke für Azure AI Foundry Hubs ".

Schaubild der Netzwerkisolation in einem Azure KI Foundry-Hub.

Sie erhalten mehrere Hub-Standardressourcen in Ihrer Ressourcengruppe. Sie müssen die folgenden Netzwerkisolationskonfigurationen konfigurieren:

  • Deaktivieren Sie den öffentlichen Netzwerkzugriff von Hub-Standardressourcen wie Azure Storage, Azure Key Vault und Azure Container Registry.
  • Richten Sie eine private Endpunktverbindung mit den Hub-Standardressourcen ein. Sie müssen sowohl einen privaten Blob-Endpunkt als auch einen privaten Datei-Endpunkt für das Standardspeicherkonto besitzen.
  • Wenn Ihr Speicherkonto privat ist, weisen Sie Rollen zu, um den Zugriff zu ermöglichen.

Voraussetzungen

  • Sie benötigen ein vorhandenes Azure Virtual Network, in dem der private Endpunkt erstellt werden soll.

    Wichtig

    Es wird nicht empfohlen, den IP-Adressbereich 172.17.0.0/16 für Ihr VNet zu verwenden. Dies ist der standardmäßige Subnetzbereich, der vom lokalen Docker Bridge-Netzwerk verwendet wird.

  • Sie müssen die privaten Endpunkt-Netzwerkrichtlinien deaktivieren bevor sie private Endpunkte hinzufügen.

Erstellen eines Foundry-Projekts, das einen privaten Endpunkt verwendet

Führen Sie beim Erstellen eines neuen Projekts die folgenden Schritte aus, um das Projekt zu erstellen.

  1. Suchen Sie im Azure-Portal nach Azure AI Foundry , und wählen Sie " Ressource erstellen" aus.

  2. Nachdem Sie die Registerkarte " Grundlagen " konfiguriert haben, wählen Sie die Registerkarte " Netzwerk " und dann die Option "Deaktiviert " aus.

  3. Wählen Sie im Abschnitt Privater Endpunkt+ Privaten Endpunkt hinzufügen.

  4. Achten Sie beim Bearbeiten der Formulare zum Erstellen eines privaten Endpunkts auf Folgendes:

    • Wählen Sie unter "Grundlagen" die gleiche Region wie Ihr virtuelles Netzwerk aus.
    • Wählen Sie im Formular Virtuelles Netzwerk das virtuelle Netzwerk und das Subnetz aus, mit dem Sie eine Verbindung herstellen möchten.

  5. Fahren Sie mit den Formularen fort, um das Projekt zu erstellen. Wenn Sie die Registerkarte " Überprüfen + Erstellen " erreicht haben, überprüfen Sie Ihre Einstellungen, und wählen Sie "Erstellen" aus, um das Projekt zu erstellen.

Erstellen eines Hubs, der einen privaten Endpunkt verwendet

Wenn Sie einen neuen Hub erstellen, verwenden Sie die folgenden Methoden zum Erstellen des Hubs (Azure-Portal oder Azure CLI). Jede dieser Methoden erfordert ein vorhandenes virtuelles Netzwerk:

Hinweis

Die Informationen in diesem Dokument sind nur zum Konfigurieren einer privaten Verbindung vorgesehen. Eine exemplarische Vorgehensweise zum Erstellen eines sicheren Hubs im Portal finden Sie unter Erstellen eines sicheren Hubs im Azure-Portal.

  1. Suchen Sie im Azure-Portal nach Azure AI Foundry. Wählen Sie im linken Menü AI Hubs und dann +Erstellen und Hub aus.

    Screenshot des Azure AI Foundry-Portals.

  2. Nachdem Sie die Registerkarten "Grundlagen " und " Speicher " konfiguriert haben, wählen Sie die Registerkarte " Eingehender Zugriff " und dann "+Hinzufügen" aus. Wenn Sie dazu aufgefordert werden, geben Sie die Daten für das virtuelle Azure-Netzwerk und das Subnetz für den privaten Endpunkt ein. Wählen Sie beim Festlegen von Region die gleiche Region wie für Ihr virtuelles Netzwerk aus.

    Screenshot der Registerkarte

  3. Wählen Sie die Registerkarte "Ausgehender Zugriff " und dann die Option " Netzwerkisolation " aus, die Ihren Anforderungen am besten entspricht.

    Screenshot des Dialogs „Hub erstellen“ mit der Option, Informationen zur Netzwerkisolation festzulegen.

Hinzufügen eines privaten Endpunkts zu einem Projekt

  1. Wählen Sie im Azure-Portal Ihr Projekt aus.

  2. Wählen Sie auf der linken Seite der Seite " Ressourcenverwaltung", "Netzwerk" und dann die Registerkarte " Private Endpunktverbindungen " aus. Wählen Sie +Privater Endpunkt aus.

  3. Achten Sie beim Bearbeiten der Formulare zum Erstellen eines privaten Endpunkts auf Folgendes:

    • Wählen Sie unter "Grundlagen" die gleiche Region wie Ihr virtuelles Netzwerk aus.
    • Wählen Sie im Formular Virtuelles Netzwerk das virtuelle Netzwerk und das Subnetz aus, mit dem Sie eine Verbindung herstellen möchten.

  4. Nachdem Sie die Formulare mit allen anderen erforderlichen Netzwerkkonfigurationen auffüllen, verwenden Sie die Registerkarte "Überprüfen + erstellen ", um Ihre Einstellungen zu überprüfen und " Erstellen" aus, um den privaten Endpunkt zu erstellen.

Hinzufügen eines privaten Endpunkts zu einem Hub

Verwenden Sie eine der folgenden Methoden, um einem vorhandenen Hub einen privaten Endpunkt hinzuzufügen:

  1. Wählen Sie Ihren Hub im Azure-Portal aus.

  2. Wählen Sie links auf der Seite die Option Einstellungen und Netzwerk und dann die Registerkarte Private Endpunktverbindungen aus. Wählen Sie + Privaten Endpunkt hinzufügen aus.

    Screenshot: Registerkarte „Private Endpunktverbindungen“

  3. Achten Sie beim Bearbeiten der Formulare zum Erstellen eines privaten Endpunkts auf Folgendes:

    • Wählen Sie unter "Grundlagen" die gleiche Region wie Ihr virtuelles Netzwerk aus.
    • Wählen Sie als amlworkspace in Ressource aus.
    • Wählen Sie im Formular Virtuelles Netzwerk das virtuelle Netzwerk und das Subnetz aus, mit dem Sie eine Verbindung herstellen möchten.

  4. Nachdem Sie die Formulare mit allen anderen erforderlichen Netzwerkkonfigurationen auffüllen, verwenden Sie die Registerkarte "Überprüfen + erstellen ", um Ihre Einstellungen zu überprüfen und " Erstellen" aus, um den privaten Endpunkt zu erstellen.

Entfernen eines privaten Endpunkts aus einem Projekt

Sie können einen oder alle privaten Endpunkte für ein Projekt entfernen. Durch das Entfernen eines privaten Endpunkts wird das Projekt aus dem virtuellen Azure-Netzwerk entfernt, dem der Endpunkt zugeordnet war. Durch das Entfernen des privaten Endpunkts könnte verhindert werden, dass das Projekt auf Ressourcen in diesem virtuellen Netzwerk zugreift oder dass Ressourcen im virtuellen Netzwerk auf den Arbeitsbereich zugreifen. Wenn das virtuelle Netzwerk z. B. keinen Zugriff auf das öffentliche Internet oder vom öffentlichen Internet gestattet.

Warnung

Das Entfernen der privaten Endpunkte für ein Projekt macht es nicht öffentlich zugänglich. Um das Projekt öffentlich zugänglich zu machen, führen Sie die Schritte im Abschnitt "Öffentlichen Zugriff aktivieren" aus.

Verwenden Sie die folgenden Informationen, um einen privaten Endpunkt zu entfernen:

  1. Wählen Sie im Azure-Portal Ihr Projekt aus.
  2. Wählen Sie auf der linken Seite der Seite " Ressourcenverwaltung", "Netzwerk" und dann die Registerkarte " Private Endpunktverbindungen " aus.
  3. Wählen Sie den zu entfernende Endpunkt und dann Entfernen aus.

Entfernen eines privaten Endpunkts

Sie können einen oder alle privaten Endpunkte für einen Hub entfernen. Wenn Sie einen privaten Endpunkt entfernen, wird der Hub aus dem Azure Virtual Network entfernt, dem der Endpunkt zugeordnet war. Das Entfernen des privaten Endpunkts kann den Hub daran hindern, auf Ressourcen in diesem virtuellen Netzwerk zuzugreifen, oder Ressourcen im virtuellen Netzwerk daran hindern, auf den Arbeitsbereich zuzugreifen. Wenn das virtuelle Netzwerk z. B. keinen Zugriff auf das öffentliche Internet oder vom öffentlichen Internet gestattet.

Warnung

Wenn Sie die privaten Endpunkte für einen Hub entfernen, wird dieser nicht öffentlich zugänglich. Um den Hub öffentlich zugänglich zu machen, verwenden Sie die Schritte im Abschnitt Aktivieren des öffentlichen Zugriffs.

Verwenden Sie die folgenden Informationen, um einen privaten Endpunkt zu entfernen:

  1. Wählen Sie Ihren Hub im Azure-Portal aus.

  2. Wählen Sie links auf der Seite die Option Einstellungen und Netzwerk und dann die Registerkarte Private Endpunktverbindungen aus.

  3. Wählen Sie den zu entfernende Endpunkt und dann Entfernen aus.

    Screenshot eines ausgewählten privaten Endpunkts mit hervorgehobener Option „Entfernen“

Aktivieren des öffentlichen Zugriffs

In einigen Fällen möchten Sie möglicherweise zulassen, dass jemand eine Verbindung mit Ihrem gesicherten Projekt über einen öffentlichen Endpunkt statt über das virtuelle Netzwerk herstellen kann. Oder Sie möchten das Projekt aus dem virtuellen Netzwerk entfernen und den öffentlichen Zugriff erneut aktivieren.

Wichtig

Die Aktivierung des öffentlichen Zugriffs entfernt keine vorhandenen privaten Endpunkte. Die gesamte Kommunikation zwischen den Komponenten hinter dem virtuellen Netzwerk, mit dem die privaten Endpunkte verbunden sind, ist weiterhin gesichert. Es ermöglicht den öffentlichen Zugriff nur auf das Projekt, zusätzlich zum privaten Zugriff über alle privaten Endpunkte.

  1. Wählen Sie im Azure-Portal Ihr Projekt aus.

  2. Wählen Sie auf der linken Seite der Seite " Ressourcenverwaltung", "Netzwerk" und dann die Registerkarte "Firewalls" und "Virtuelle Netzwerke " aus.

  3. Wählen Sie "Alle Netzwerke" und dann " Speichern" aus.

    Screenshot der Registerkarte

Aktivieren des öffentlichen Zugriffs

Es kann Situationen geben, in denen Sie jemandem ermöglichen möchten, eine Verbindung mit Ihrem geschützten Hub über einen öffentlichen Endpunkt herzustellen anstatt über das virtuelle Netzwerk. Alternativ könnten Sie den Arbeitsbereich aus dem virtuellen Netzwerk entfernen und den öffentlichen Zugriff erneut aktivieren.

Wichtig

Die Aktivierung des öffentlichen Zugriffs entfernt keine vorhandenen privaten Endpunkte. Die gesamte Kommunikation zwischen den Komponenten hinter dem virtuellen Netzwerk, mit dem die privaten Endpunkte verbunden sind, ist weiterhin gesichert. Der öffentliche Zugriff wird nur für den Hub ermöglicht, zusätzlich zum privaten Zugriff über alle privaten Endpunkte.

Verwenden Sie die folgenden Schritte, um den öffentlichen Zugriff zu aktivieren:

  1. Wählen Sie Ihren Hub im Azure-Portal aus.
  2. Wählen Sie links auf der Seite die Option Netzwerk und dann die Registerkarte Öffentlicher Zugriff aus.
  3. Wählen Sie Für alle Netzwerke aktiviert und dann Speichern aus.

Aktivieren des öffentlichen Zugriffs nur über Internet-IP-Bereiche (Vorschau)

Sie können IP-Netzwerkregeln verwenden, um den Zugriff auf Ihren gesicherten Hub von bestimmten öffentlichen IP-Adressbereichen aus zuzulassen, indem Sie IP-Netzwerkregeln erstellen. Jeder Azure AI Foundry-Hub unterstützt bis zu 200 Regeln. Diese Regeln gewähren bestimmten internetbasierten Diensten und lokalen Netzwerken Zugriff und blockieren den allgemeinen Internetdatenverkehr. Diese Funktion steht derzeit als Vorschau zur Verfügung.

Warnung

  • Aktivieren Sie das Netzwerkzugriffsflag Ihres Endpunkts, wenn Sie den Zugriff auf Ihren Endpunkt aus bestimmten Bereichen öffentlicher Internet-IP-Adressen zulassen möchten.
  • Sie können nur IPv4-Adressen verwenden.
  • Wenn der Arbeitsbereich von für ausgewählte IPs aktivieren zu Deaktiviert oder Aktiviert wechselt, werden die IP-Bereiche zurückgesetzt.
  1. Wählen Sie im Azure-Portal Ihren Azure Machine AI Foundry Hub aus.
  2. Wählen Sie links auf der Seite die Option Netzwerk und dann die Registerkarte Öffentlicher Zugriff aus.
  3. Wählen Sie Aus ausgewählten IP-Adressen aktiviert aus, geben Sie Adressenbereiche ein, und wählen Sie dann Speichern aus.

Sie können auch mithilfe der Workspace-Klasse aus dem Python SDK für Azure Machine Learning definieren, über welche IP-Adressen eingehender Zugriff zulässig ist:

class Workspace(Resource):
    """Azure ML workspace.
    :param public_network_access: Whether to allow public endpoint connectivity
        when a workspace is private link enabled.
    :type public_network_access: str
    :param network_acls: The network access control list (ACL) settings of the workspace.
    :type network_acls: ~azure.ai.ml.entities.NetworkAcls

    def __init__(
        self,
        *,
        public_network_access: Optional[str] = None,
        network_acls: Optional[NetworkAcls] = None,

Einschränkungen für IP-Netzwerkregeln

Die folgenden Einschränkungen gelten für IP-Adressbereiche:

  • IP-Netzwerkregeln sind nur für IP-Adressen des öffentlichen Internet zulässig.

    Reservierte IP-Adressbereiche sind in IP-Regeln wie privaten Adressen, die mit 10, 172.16 bis 172.31 und 192.168 beginnen, nicht zulässig.

  • Sie müssen zulässige Internetadressbereiche in der CIDR-Notation im Format 16.17.18.0/24 oder als einzelne IP-Adressen (beispielsweise 16.17.18.19) angeben.

  • Für die Konfiguration von Storage-Firewallregeln werden nur IPv4-Adressen unterstützt.

  • Wenn dieses Feature aktiviert ist, können Sie öffentliche Endpunkte mit einem beliebigen Clienttool wie Curl testen, das Endpunkttesttool im Portal wird jedoch nicht unterstützt.

  • Sie können die IP-Adressen nur für den KI Foundry-Hub festlegen, nachdem der Hub erstellt wurde.

Konfiguration des privaten Speichers

Wenn Ihr Speicherkonto privat ist (verwendet einen privaten Endpunkt für die Kommunikation mit Ihrem Projekt), führen Sie die folgenden Schritte aus:

  1. Unsere Dienste müssen Daten in Ihrem privaten Speicherkonto lesen oder schreiben. Dabei wird die Option Azure-Diensten auf der Liste der vertrauenswürdigen Dienste den Zugriff auf dieses Speicherkonto erlauben zusammen mit den folgenden Konfigurationen für verwaltete Identitäten verwendet. Aktivieren Sie die systemseitig zugewiesene verwaltete Identität von Azure KI Services und Azure KI Search, und konfigurieren Sie dann die rollenbasierte Zugriffssteuerung für jede verwaltete Identität.

    Rolle Verwaltete Identität Ressource Zweck Referenz
    Reader Azure KI Foundry-Projekt Privater Endpunkt des Speicherkontos Lesen von Daten aus einem privaten Speicherkonto.
    Storage File Data Privileged Contributor Azure KI Foundry-Projekt Speicherkonto Lese-/Schreibzugriff auf Prompt-Flow-Daten. prompt flow-Dokumentation
    Storage Blob Data Contributor Azure KI Services Speicherkonto Lesen aus dem Eingabecontainer, Schreiben des vorverarbeiteten Ergebnisses in den Ausgabecontainer Azure OpenAI-Dokumentation
    Storage Blob Data Contributor Azure KI-Suche Speicherkonto Lesen von Blobs und Schreiben in den Wissensspeicher Dokumentation zu Suchdiensten.

    Tipp

    Ihr Speicherkonto kann über mehrere private Endpunkte verfügen. Sie müssen die Reader-Rolle jedem privaten Endpunkt für Ihre verwaltete Azure KI Foundry-Projektidentität zuweisen.

  2. Weisen Sie Ihren Entwicklern die Storage Blob Data reader-Rolle zu. Mit dieser Rolle können sie Daten aus dem Speicherkonto lesen.

  3. Stellen Sie sicher, dass die Verbindung des Projekts mit dem Speicherkonto Microsoft Entra ID für die Authentifizierung verwendet. Um die Verbindungsinformationen anzuzeigen, wechseln Sie zum Verwaltungscenter, wählen Sie verbundene Ressourcen und dann die Speicherkontoverbindungen aus. Wenn der Anmeldeinformationstyp keine Entra ID ist, wählen Sie das Stiftsymbol aus, um die Verbindung zu aktualisieren, und legen Sie die Authentifizierungsmethode auf Microsoft Entra ID fest.

Informationen zum Sichern des Playground-Chats finden Sie unter Sichere Verwendung des Playground-Chats.

End-to-End-gesicherte Vernetzung für den Agentendienst

Beim Erstellen einer Foundry-Ressource und eines Foundry-Projekts zum Erstellen von Agents empfehlen wir die folgende Netzwerkarchitektur für die sicherste End-to-End-Konfiguration:

Diagramm der empfohlenen Netzwerkisolation für KI Foundry-Projekte und -Agents.

  1. Legen Sie das PNA-Flag (Public Network Access) der einzelnen Ressourcen auf Disabled. Wenn Sie den Zugriff auf öffentliche Netzwerke deaktivieren, wird der eingehende Zugriff vom öffentlichen Internet auf die Ressourcen gesperrt.

  2. Erstellen Sie einen privaten Endpunkt für jede Ihrer Azure-Ressourcen, die für einen Standard-Agent erforderlich sind:

    • Azure Storage-Konto
    • Azure KI Search-Ressource
    • Cosmos DB-Ressource
    • Azure KI Foundry-Ressource

  3. Um auf Ihre Ressourcen zuzugreifen, empfehlen wir die Verwendung einer Bastion-VM, ExpressRoute oder VPN-Verbindung mit Ihrem virtuellen Azure-Netzwerk. Mit diesen Optionen können Sie eine Verbindung mit der isolierten Netzwerkumgebung herstellen.

Netzwerkeinfügung für Agent-Dienst

Netzwerkgeschützte Standard-Agenten unterstützen den vollständigen Netzwerkisolations- und Datenexfiltrationsschutz durch Netzwerkeinfügung des Agent-Clients. Dazu wird der Agent-Client in Ihr virtuelles Azure-Netzwerk eingespeist und ermöglicht eine strikte Kontrolle über die Datenverschiebung und die Verhinderung von Datenexfiltration, indem der Datenverkehr innerhalb Ihrer definierten Netzwerkgrenzen beibehalten wird. Die Netzwerkeinfügung wird nur für die Standard-Agent-Bereitstellung und nicht für die Light-Agent-Bereitstellung unterstützt.

Darüber hinaus wird ein netzwerksicherer Standard-Agent nur über die BICEP-Vorlagenbereitstellung und nicht über UX, CLI oder SDK unterstützt. Nachdem die Foundry-Ressource und der Agent über die Vorlage bereitgestellt wurden, können Sie das delegierte Subnetz für den Agentdienst nicht aktualisieren. Dies ist auf der Registerkarte "Foundry Resource Networking" sichtbar, auf der Sie das Subnetz anzeigen und kopieren können, aber die Subnetzdelegierung nicht aktualisieren oder entfernen können. Um das delegierte Subnetz zu aktualisieren, müssen Sie die durch das Netzwerk gesicherte Standard-Agent-Vorlage erneut bereitstellen.

Diagramm der Netzwerkeinfügung für Azure AI Foundry-Projekte und -Agents.

Weitere Informationen zu gesicherten Netzwerken für den Agentdienst finden Sie im Artikel zur Verwendung eines virtuellen Netzwerks mit dem Azure AI Agent Service-Artikel .

DNS-Konfiguration

Clients in einem virtuellen Netzwerk, das den privaten Endpunkt verwendet, verwenden dieselbe Verbindungszeichenfolge für die Azure AI Foundry-Ressource und Projekte wie Clients, die eine Verbindung mit dem öffentlichen Endpunkt herstellen. Die DNS-Auflösung leitet die Verbindungen vom virtuellen Netzwerk automatisch an die Azure KI Foundry-Ressource und Projekte über eine private Verknüpfung weiter.

Anwenden von DNS-Änderungen für private Endpunkte

Wenn Sie einen privaten Endpunkt erstellen, wird der DNS-CNAME-Ressourceneintrag für die Azure AI Foundry-Ressource auf einen Alias in einer Unterdomäne mit dem Präfix privatelinkaktualisiert. Standardmäßig erstellt Azure außerdem eine private DNS-Zone, die der Unterdomäne privatelink entspricht, mit den DNS-A-Ressourceneinträgen für die privaten Endpunkte. Weitere Informationen finden Sie unter Azure Private DNS.

Wenn Sie die Endpunkt-URL von außerhalb des virtuellen Netzwerks mit dem privaten Endpunkt auflösen, wird diese in den öffentlichen Endpunkt der Azure KI Foundry-Ressource aufgelöst. Wenn sie vom virtuellen Netzwerk aufgelöst wird, das den privaten Endpunkt hostet, wird sie in die private IP-Adresse des privaten Endpunkts aufgelöst.

Dieser Ansatz ermöglicht den Zugriff auf die Azure AI Foundry-Ressource mit derselben Verbindungszeichenfolge für Clients im virtuellen Netzwerk, die die privaten Endpunkte hostet, und Clients außerhalb des virtuellen Netzwerks.

Wenn Sie einen benutzerdefinierten DNS-Server in Ihrem Netzwerk verwenden, müssen die Clients in der Lage sein, den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) für den Endpunkt der Azure KI Services-Ressource in die IP-Adresse des privaten Endpunkts aufzulösen. Konfigurieren Sie Ihren DNS-Server so, dass Ihre Private Link-Unterdomäne an die private DNS-Zone für das virtuelle Netzwerk delegiert wird.

Tipp

Wenn Sie einen benutzerdefinierten oder lokalen DNS-Server verwenden, müssen Sie den DNS-Server so konfigurieren, dass der Name der Azure KI Services-Ressource in der Unterdomäne privatelink in die IP-Adresse des privaten Endpunkts aufgelöst wird. Delegieren Sie die Unterdomäne privatelink an die private DNS-Zone des virtuellen Netzwerks. Konfigurieren Sie alternativ die DNS-Zone Ihres DNS-Servers, und fügen Sie die DNS-A-Einträge hinzu.

Weitere Informationen zum Konfigurieren Ihres eigenen DNS-Servers zur Unterstützung privater Endpunkte finden Sie in den folgenden Artikeln:

Gewähren von Zugriff für vertrauenswürdige Azure-Dienste

Sie können einer Teilmenge vertrauenswürdiger Azure-Dienste Zugriff auf Azure OpenAI gewähren und gleichzeitig Netzwerkregeln für andere Apps verwalten. Diese vertrauenswürdigen Dienste verwenden dann verwaltete Identität, um Ihre Azure OpenAI-Ressourcen zu authentifizieren. In der folgenden Tabelle sind die Dienste aufgeführt, die auf Azure OpenAI zugreifen können, wenn die verwaltete Identität dieser Dienste über die entsprechende Rollenzuweisung verfügt:

Dienstleistung Name des Ressourcenanbieters
Azure KI-Suche Microsoft.Search

Sie können Netzwerkzugriff auf vertrauenswürdige Azure-Dienste gewähren, indem Sie eine Netzwerkregel-Ausnahme mithilfe der REST-API oder des Azure-Portals erstellen.

Informationen zu den DNS-Weiterleitungskonfigurationen finden Sie im Azure Machine Learning-Artikel für benutzerdefiniertes DNS.

Wenn Sie einen benutzerdefinierten DNS-Server ohne DNS-Weiterleitung konfigurieren müssen, verwenden Sie die folgenden Muster für die erforderlichen A-Einträge.

  • <AI-HUB-GUID>.workspace.<region>.cert.api.azureml.ms

  • <AI-HUB-GUID>.workspace.<region>.api.azureml.ms

  • ml-<workspace-name, truncated>-<region>-<AI-HUB-GUID>.<region>.notebooks.azure.net

    Hinweis

    Der Arbeitsbereichsname für diesen FQDN wird unter Umständen abgeschnitten. Die Kürzung erfolgt, um ml-<workspace-name, truncated>-<region>-<workspace-guid> auf 63 Zeichen oder weniger zu begrenzen.

  • <instance-name>.<region>.instances.azureml.ms

    Hinweis

    • Auf Compute-Instanzen kann nur innerhalb des virtuellen Netzwerks zugegriffen werden.
    • Die IP-Adresse für diesen vollqualifizierten Domänennamen ist nicht die IP-Adresse der Compute-Instanz. Verwenden Sie stattdessen die private IP-Adresse des privaten Arbeitsbereichsendpunkts (die IP-Adresse der *.api.azureml.ms-Einträge).

  • <instance-name>-22.<region>.instances.azureml.ms: wird nur vom Befehl az ml compute connect-ssh verwendet, um eine Verbindung mit Computern in einem verwalteten virtuellen Netzwerk herzustellen. Nicht erforderlich, wenn Sie kein verwaltetes Netzwerk oder SSH-Verbindungen verwenden.

  • <managed online endpoint name>.<region>.inference.ml.azure.com: Wird von verwalteten Onlineendpunkten verwendet.

  • models.ai.azure.com – Wird für die Standardbereitstellung verwendet

Informationen zu den privaten IP-Adressen für Ihre A-Einträge finden Sie im Azure Machine Learning-Artikel für benutzerdefiniertes DNS.

Hinweis

Projektarbeitsbereiche verwenden die FQDNs der zugeordneten Hubarbeitsbereiche wieder. Es gibt keinen Grund, separate Einträge für die GUIDs des Projektarbeitsbereichs zu konfigurieren.

Einschränkungen

  • Wenn Sie Mozilla Firefox verwenden, treten möglicherweise Probleme beim Zugriff auf den privaten Endpunkt für Ihren Hub auf. Dieses Problem kann im Zusammenhang mit DNS über HTTPS in Mozilla Firefox stehen. Es wird empfohlen, Microsoft Edge oder Google Chrome zu verwenden.
  • Ein netzwerkgeschützter Agent (bring your own virtual network) wird nur über die Bicep-Vorlagenbereitstellung unterstützt. Weitere Informationen zur netzwerkgeschützten Agent-Bereitstellung finden Sie unter Verwenden eines virtuellen Netzwerks mit dem Azure AI-Agent-Dienst.
  • Ein netzwerksicherer Agent, der bereitgestellt werden soll, ist nur ein Standard-Agent, nicht ein Light-Agent.
  • Es gibt keine verwaltete Unterstützung für virtuelle Netzwerke für den Agentdienst oder das Foundry-Projekt.

Nächste Schritte