Konfigurieren der Unterstützung des virtuellen Netzwerks für die Auswertung in Microsoft Foundry

Verwenden Sie ein virtuelles Netzwerk (VNet), um den Auswertungsdatenverkehr in Microsoft Foundry zu isolieren. Dieser Artikel hilft Ihnen bei der Auswahl der geeigneten Netzwerkeinrichtungsleitfaden, beim Konfigurieren von evaluierungsspezifischen Anforderungen und beim Beheben allgemeiner Netzwerkauswertungsfehler.

Voraussetzungen

• Ein Foundry-Projekt in einer Region, die die VNet-Auswertung unterstützt.
• Berechtigungen zum Konfigurieren der Netzwerkisolation und zum Zuweisen von Azure-Rollen für die rollenbasierte Zugriffssteuerung (RBAC).
• Ein VNet und ein Subnetz, das Sie für die Netzwerkinjektion delegieren können, oder die Berechtigung, diese mithilfe der Setupvorlage zur reinen Auswertung bereitzustellen.

Richtlinien für die Netzwerkeinrichtung auswählen

Verwenden Sie die folgende Tabelle, um die Netzwerkanleitungen für Ihr Szenario zu finden. Kehren Sie zu diesem Artikel zurück, um Informationen zu Anforderungen und zur Fehlerbehebung zu finden, die speziell für die Evaluierung gelten.

Zielsetzung	Leitfaden
Verstehen der Netzwerkisolationsoptionen und Konfigurieren privater Endpunkte, DNS, Firewall-Zulassungslisten und öffentlicher Netzwerkzugriff.	Netzwerkisolation für Microsoft Foundry konfigurieren
Verwenden Sie die Microsoft-verwaltete VNet-Lösung für die ausgehende Netzwerkisolation.	Konfigurieren eines verwalteten VNet für Foundry-Projekte
Verbinden sie ein verwaltetes VNet mit lokalen oder nicht Azure Ressourcen.	Zugreifen auf lokale Ressourcen aus einem verwalteten Foundry-Netzwerk
Konfigurieren Sie ein vollständiges privates Netzwerksetup, das den Foundry Agent Service enthält.	Einrichten privater Netzwerke für den Foundry-Agent-Dienst
Grundlegendes zur Agentdienst-Netzwerkarchitektur, Datenverkehrsfluss, Subnetzgröße und IP-Zuordnung.	Tiefer Einblick in das Netzwerk des Foundry Agent Service
Verwenden Sie einen Codierungs-Agent, um Foundry-Ressourcen und -Netzwerke zu planen und zu konfigurieren.	Verwenden Sie den Microsoft Foundry Skill in Codierungs-Agents

Konfigurieren von Netzwerkanforderungen für die Auswertung

Die Unterstützung virtueller Netzwerke zu Evaluierungszwecken erfordert eine Netzwerkinjektion über die Subnetzdelegierung. Wenn Sie nur Auswertungsfunktionen benötigen und keine vollständige Agentunterstützung benötigen, z. B. Azure Cosmos DB, Azure KI-Suche oder ein Projektfunktionshost, verwenden Sie die vereinfachte Setupvorlage "Nur Auswertung" (15a). Die Vorlage stellt eine minimale netzwerkgeschützte Umgebung für Auswertungsszenarien bereit.

Important

Um Fehler bei der Auswertung und bei Ausführungen von Red Teaming zu vermeiden, weisen Sie der verwalteten Identität des Projekts bei der anfänglichen Projekteinrichtung auf Ebene der Foundry-Ressource die Rolle Foundry User zu.

Important

Die Foundry-RBAC-Rollen wurden kürzlich umbenannt. Foundry User, Foundry Owner, Foundry Account Owner und Foundry Project Manager wurden zuvor Azure KI-Benutzer, Azure KI-Besitzer, Azure KI-Kontobesitzer und Azure AI Project Manager benannt. Möglicherweise werden die vorherigen Namen an einigen Stellen weiterhin angezeigt, während der Umbenennungsrollout ausgeführt wird. Die Rollen-IDs und Kernberechtigungen bleiben durch die Umbenennung unverändert.

Wenn Sie Application Insights verbinden, werden Auswertungsdaten an sie gesendet.

Unterstützung für virtuelle Netzwerkregionen

Sie können Ihr eigenes VNet für die Auswertung in den folgenden Regionen mitbringen:

Americas	Europa	Asien-Pazifik	Naher Osten/Afrika
Brazil South	France Central	Australia East	Südafrika Nord
Canada Central	Deutschland West Central	Japan East	Vereinigte Arabische Emirate, Norden
Canada East	Italy North	Korea Central
East US	Norway East	South India
Ost-USA 2	Polen Zentral	Südostasien
Nord-Mittel-USA	Spain Central
Süd-Mittel-USA	Sweden Central
West US	Switzerland North
Westliches USA 2	UK South
Westliches USA 3	West Europe

Konfigurieren der Unterstützung des virtuellen Netzwerks für die Datengenerierung

Die synthetische Datengenerierung und die Generierung von Datensätzen aus Ablaufverfolgungen verwenden dieselbe Netzwerkinjektion über die Subnetzdelegierung wie bei der Auswertung. Verwenden Sie die Setupvorlage "Nur auswertung" (15a), um die erforderliche netzwerkgeschützte Umgebung bereitzustellen.

Informationen zur Verfügbarkeit von Datengenerierungsregionen finden Sie unter "Unterstützte Regionen für die Datengenerierung".

Beheben von Fehlern bei der Auswertung virtueller Netzwerke

Diagnostizieren der Konfiguration des virtuellen Netzwerks

Führen Sie die VNet-Projekteinrichtungsdiagnose von einem Computer aus, der über eine private Verbindung mit Ihrem virtuellen Netzwerk verfügt. Das Skript prüft eine vorhandene Foundry-Projektkonfiguration und die Netzwerkkonnektivität, ohne eine Auswertung auszuführen oder Azure Ressourcen zu ändern.

Befolgen Sie den Verwendungsleitfaden, um die Voraussetzungen vorzubereiten, die entsprechenden Diagnoseprüfungen auszuführen und den generierten diagnostics.md Bericht zu überprüfen. Der Bericht enthält umsetzbare Ergebnisse, unterstützende Nachweise, bekannte Einschränkungen und Anleitungen zur Behebung von Konfigurationsproblemen.

Die Auswertung wird weiter ausgeführt, bis eine Zeitüberschreitung eintritt.

Eine Auswertungsausführung kann weiterhin ausgeführt werden, da das Setup der Netzwerkisolation unvollständig ist, erforderliche private Endpunkte nicht konfiguriert sind, während der Zugriff auf öffentliche Netzwerke deaktiviert ist, oder die verwaltete Identität des Projekts verfügt nicht über die Berechtigung zum Aktualisieren des Ausführungsstatus.

So lösen Sie das Problem:

1. Stellen Sie sicher, dass die Netzwerkeinfügung und subnetzdelegierung konfiguriert sind, wie unter "Konfigurieren der Netzwerkisolation für Microsoft Foundry" beschrieben. Wenn Sie nur Auswertungsfunktionen benötigen, vergleichen Sie Ihre Bereitstellung mit der Nur-Auswertungs-Setupvorlage (15a).
2. Wenn der Zugriff auf öffentliche Netzwerke deaktiviert ist, überprüfen Sie, ob die erforderlichen privaten Endpunkte konfiguriert und genehmigt sind, und dass private DNS die Ressourcenendpunkte aus dem Netzwerk löst, das in das Foundry-Projekt eingefügt wurde.
3. Stellen Sie sicher, dass im Foundry-Projekt die Capability-Hostkonfiguration eingerichtet ist. Wir benötigen diese Funktionalität sowohl auf Ebene des Foundry-Kontos als auch auf Projektebene. Wenn Sie den Capability-Host auf Foundry-Projektebene noch nicht eingerichtet haben, verwenden Sie zum Einrichten die Bicep-Vorlage add-project-capability-host.
4. Überprüfen Sie, ob der verwalteten Identität des Projekts im Geltungsbereich der Foundry-Ressource die Rolle "Foundry User" zugewiesen ist.
5. Führen Sie für ein großes Dataset eine Auswertung für eine kleinere repräsentative Teilmenge aus. Wenn die kleinere Ausführung abgeschlossen ist, verringern Sie die Datasetgröße, oder teilen Sie das Dataset auf mehrere Auswertungsläufe.

Der Auswertungslauf startet nicht und erzeugt den Fehler 403.

Der Fehler gibt an, dass der Netzwerkzugriff deaktiviert ist, der öffentliche Netzwerkzugriff ist deaktiviert, der Auswertungsdienst kann jedoch keine oder mehrere erforderliche Ressourcen über das VNet erreichen.

Error: Public access is disabled. Please configure private endpoint.

So lösen Sie das Problem:

1. Identifizieren Sie den Ressourcenhostnamen in den Fehlerdetails oder den Auswertungsdiagnosen.
2. Überprüfen Sie, ob Netzwerkinjektion und Subnetzdelegierung für die Evaluierung konfiguriert sind.
3. Stellen Sie sicher, dass der private Endpunkt für die betroffene Ressource konfiguriert und genehmigt ist.
4. Vergewissern Sie sich, dass das private DNS den Hostnamen auflöst und dass die Netzwerkregeln den Zugriff aus dem VNet heraus zulassen.
5. Wiederholen Sie die Auswertung, nachdem die Netzwerkkonfigurationsänderungen wirksam wurden.

Überprüfen Sie bei anderen 403 Fehlern die RBAC-Zuweisungen für den Benutzer, der die Ausführung startet, und für die verwaltete Identität des Projekts. Weitere auswertungsspezifische Probleme finden Sie unter "Behandeln von Bewertungs- und Beobachtbarkeitsproblemen".

Benutzerdefiniertes DNS löst keine privaten Endpunkte auf

Wenn Sie einen benutzerdefinierten DNS-Server für ein virtuelles Netzwerk definieren, fragt das System nicht automatisch private DNS-Zonen ab, die mit diesem virtuellen Netzwerk verknüpft sind. Die benutzerdefinierten DNS-Einstellungen setzen die Reihenfolge der Namensauflösung außer Kraft.

Um benutzerdefiniertes DNS zum Auflösen der privaten Zone zu aktivieren, verwenden Sie einen Azure DNS Privaten Resolver in einem virtuellen Netzwerk, das mit der privaten Zone verknüpft ist. Anleitungen zur Konfiguration finden Sie unter zentrale DNS-Architektur.

Wenn Ihr benutzerdefinierter DNS-Server auf einem Azure virtuellen Computer ausgeführt wird, konfigurieren Sie eine bedingte Weiterleitung für die private Zone. Legen Sie das Ziel der Weiterleitung auf die Azure DNS IP-Adresse fest. 168.63.129.16