Quickstart: Microsoft Discovery-Infrastruktur bereitstellen

In diesem Quickstart richten Sie Ihre Microsoft Discovery-Umgebung so ein, dass Sie Ihre erste KI-gestützte wissenschaftliche Untersuchung durchführen können. Du kannst das Setup auf zwei Arten abschließen:

• Azure Portal – Erstellen Sie jede Ressource manuell durch eine geführte, schritt-für-schrittige Erfahrung. Wählen Sie diesen Weg, wenn Sie jede Komponente verstehen möchten oder einen UI-gesteuerten Workflow bevorzugen.
• Bicep – Bereite den Full Stack mit einer einzigen Infrastructure-as-Code-Vorlage ein. Wählen Sie diesen Weg, wenn Sie eine wiederholbare, automatisierte Bereitstellung wünschen.

Beide Wege stellen dieselben Kernressourcen bereit: Netzwerk, Identität, Speicher, einen Supercomputer mit einem Knotenpool, einen Arbeitsbereich mit Bereitstellung eines Chatmodells, einen Speichercontainer und ein Projekt.

Wählen Sie den Tab aus, der zu Ihrer bevorzugten Erfahrung passt, unter Microsoft Discovery-Infrastruktur bereitstellen.

Prerequisites

Die folgenden Voraussetzungen gelten sowohl für das Azure-Portal als auch für die Bicep-Erfahrungen:

• Ein aktives Azure-Abonnement, das für Microsoft Discovery Access aktiviert (zugelassen) ist. Wenn Ihr Abonnement noch nicht aktiviert ist, wenden Sie sich an Ihren Microsoft-Konto Vertreter, um den Zugriff anzufordern.

• Ausreichende Berechtigungen in Ihrem Azure-Abonnement, um Ressourcenanbieter zu registrieren, Rollen zuzuweisen und Ressourcen zu erstellen:

  • Die Rolle Besitzer, Administrator für rollenbasierte Zugriffssteuerung oder Benutzerzugriffsadministrator ist erforderlich, um Administratoren (Plattformadministratoren, Wissenschaftler und Ingenieure), die Discovery-Ressourcen verwalten und nutzen, Rollen zuzuweisen. Die vollständige Liste der erforderlichen Rollen finden Sie unter "Rollen", die von persona benötigt werden.

  • Ein Mitwirkender oder eine höher privilegierte Rolle (zum Beispiel Eigentümer) ist erforderlich, um Ressourcenanbieter zu registrieren und eine Ressourcengruppe zu erstellen.

    Tip

    Um den vollständigen Rollensatz der Persona Plattformadministrator mit einem einzigen, idempotenten Befehl zuzuweisen, verwenden Sie das Open-Source-Set-DiscoveryRoleAssignments.ps1PowerShell-Skript. Siehe Microsoft Discovery-Persona-Rollen mit einem PowerShell-Skript zuweisen. Diese Methode ist der empfohlene Weg zur Einarbeitung mehrerer Nutzer.

• Registrieren Sie die erforderlichen Ressourcenanbieter in Ihrem Abo. Weitere Informationen finden Sie unter Ressourcenanbieterregistrierung. Zur Anmeldung Microsoft.Discovery:

  1. Melden Sie sich im Azure-Portal an.
  2. Navigieren Sie zu Abonnements und wählen Sie Ihr Abonnement aus.
  3. Wählen Sie im linken Menü "Ressourcenanbieter" aus.
  4. Suchen Sie nach Microsoft.Discovery.
  5. Wählen Sie den Anbieternamen und dann "Registrieren" aus.

  Note

  Stellen Sie sicher, dass die folgenden Ressourcenanbieter auch für Ihr Abonnement registriert sind. Wenn nicht, registrieren Sie sie: Microsoft.Network, Microsoft.Compute, Microsoft.Storage, Microsoft.ManagedIdentity, Microsoft.AlertsManagement, Microsoft.Authorization, Microsoft.CognitiveServices, Microsoft.ContainerInstance, Microsoft.ContainerRegistry, Microsoft.ContainerService, Microsoft.DocumentDB, Microsoft.Features, Microsoft.KeyVault, Microsoft.MachineLearningServices, Microsoft.OperationalInsights, Microsoft.ResourceGraph, Microsoft.Search, Microsoft.Web, Microsoft.Insights, Microsoft.Resources, Microsoft.Sql, Microsoft.App, Microsoft.Bing

• Weisen Sie die Rolle „Discovery NSP Perimeter Joiner“ zu. Microsoft Discovery-Arbeitsbereiche, Bookshelves und Supercomputer sind standardmäßig durch Regeln des Network Security Perimeter (NSP) gehärtet. Bevor Sie Ihren ersten Arbeitsbereich, Ihr Bücherregal oder Ihren Supercomputer erstellen, müssen Sie die benutzerdefinierte Rolle des Discovery NSP Perimeter Joiner erstellen. Weisen Sie nach der Erstellung der Discovery Control-Plane-Dienst-App (dem Erstanbieter-Dienstprinzipal) die benutzerdefinierte Rolle Discovery NSP Perimeter Joiner und die Rolle Leser zu, damit die Steuerungsebene Netzwerksicherheitsperimeter in Ihrem Abonnement konfigurieren kann. Schrittweise Anleitungen finden Sie unter Zuweisen der Rolle "NSP Perimeter Joiner".

• Microsoft Foundry, Azure OpenAI-Kontingente und VM-SKU/-Kontingente in Ihrer ausgewählten Region verfügbar. Siehe Kontingentreservierungen.

• Eine vorhandene Ressourcengruppe oder Berechtigungen zum Erstellen einer neuen. Zum Erstellen einer Ressourcengruppe ist die Rolle "Mitwirkender " für das Abonnement erforderlich.

Important

Microsoft Discovery-Ressourcen werden in drei Produktionsregionen unterstützt: East US, Sweden Central und UK South. Erstellen Sie alle Ressourcen für eine einzelne Bereitstellung in derselben Region, einem Abonnement und einer Ressourcengruppe zur Vereinfachung.

Note

Man kann ein virtuelles Netzwerk nur mit einem Microsoft Discovery-Arbeitsbereich verknüpfen. Wenn Sie mehrere Arbeitsbereiche benötigen, erstellen Sie jeweils ein separates virtuelles Netzwerk und Subnetze.

Important

Wenn Sie die Netzwerkressourcen in einer separaten Ressourcengruppe von Ihren anderen Discovery-Ressourcen bereitstellen, stellen Sie sicher, dass Sie sich die entsprechenden Berechtigungen für die Ressourcengruppe des virtuellen Netzwerks zuweisen, damit die Supercomputer-Ressource erfolgreich bereitgestellt wird. Die zu berücksichtigenden Berechtigungen sind Network Contributor und Microsoft Discovery Platform Administrator (Vorschau). Wenn du die Bicep-Vorlage verwendest, aktualisiere sie, um das virtuelle Netzwerk in dieser separaten Ressourcengruppe zu erstellen.

Tip

Sie können Discovery-Ressourcen mit vollständiger Netzwerkisolation bereitstellen. Wenn networkIsolation aktiviert, sind alle Ressourcen innerhalb des privaten Netzwerks abgeschirmt und nur über den privaten Endpunkt und den Network Security Perimeter (NSP) erreichbar. Du kannst den Arbeitsbereich weiterhin über das öffentliche Netzwerk über Discovery Studio und die REST-API erreichen. Um den Zugang nur zu Ihrem privaten Netzwerk zu sperren, deaktivieren Sie den öffentlichen Netzwerkzugang für Ihren Arbeitsbereich und erstellen Sie private Endpunkte für die Arbeitsbereichsressourcen. Für Hinweise siehe Netzwerksicherheit konfigurieren für Microsoft Discovery-Arbeitsbereiche.

Bereitstellung der Microsoft Discovery-Infrastruktur

Wählen Sie den Azure-Portal-Tab, um jede Ressource manuell zu erstellen, oder den Bicep-Tab, um den Full Stack mithilfe einer Infrastructure-as-Code-Vorlage bereitzustellen.

Azure Portal

Nutzen Sie das Azure-Portal, um jede Microsoft Discovery-Ressource durch eine geführte Erfahrung zu erstellen.

1. Einrichten von Netzwerken, Identitäten und Speicher

Bevor Sie mit der Bereitstellung von Microsoft Discovery-Infrastrukturkomponenten fortfahren, verwenden Sie eine vorhandene Ressourcengruppe, oder erstellen Sie eine neue.

a. Zuweisen von Rollen zu Administratoren

Tip

Anstatt die nachfolgend aufgeführten Rollen einzeln über das Azure-Portal zuzuweisen, können Sie den vollständigen Platform Administrator-Personarollensatz mithilfe des Open-Source-Set-DiscoveryRoleAssignments.ps1 PowerShell-Skripts in einem einzigen idempotenten Befehl zuweisen. Siehe Microsoft Discovery-Persona-Rollen mit einem PowerShell-Skript zuweisen. Dies ist der empfohlene Pfad für das Onboarding mehrerer Benutzer.

Weisen Sie den Benutzern die folgenden integrierten Rollen im gewünschten Bereich (Abonnement oder Ressourcengruppe) zu:

• Microsoft Discovery Platform Administrator (Vorschau)
• Mitwirkender für verwaltete Identität
• Operator für verwaltete Identität
• Beitragender für Speicherkonto
• Storage Blob-Datenmitwirkender
• Netzwerkmitwirkender
• ACRPush
• Foundry-Benutzer
• Microsoft Discovery Bookshelf Index Data Reader – Vorschau

Note

Wenn Sie alle Rollen auf Abonnementebene zuweisen, können Sie diese Notiz überspringen. Wenn Sie Rollen auf Ressourcengruppenebene zuweisen, überspringen Sie die Rolle " Foundry User " für den Moment. Fahren Sie mit den nächsten Schritten fort, und überprüfen Sie diese Rollenzuweisung, nachdem die Arbeitsbereichsressource erstellt wurde. Diese Rolle muss jedem Plattform-Admin- oder Scientist-Benutzer auf der Ebene der vom Arbeitsbereich verwalteten Ressourcengruppe zugewiesen werden.

Schritte zum Zuweisen von Rollen:

1. Melden Sie sich im Azure-Portal an.
2. Navigieren Sie zu Abonnements und wählen Sie Ihr Abonnement aus.
3. Wählen Sie im linken Menü Zugriffssteuerung (IAM) aus.
4. Wählen Sie Hinzufügen und dann Rollenzuweisung hinzufügen aus.
5. Suchen Sie im Bereich " Rollenzuweisung hinzufügen " jeweils nach jeder Rolle, und wählen Sie dann "Weiter" aus.
6. Stellen Sie auf der Registerkarte " Mitglieder " sicher, dass " Zugriff zuweisen" auf "Benutzer", "Gruppe" oder "Dienstprinzipal" festgelegt ist.
7. Wählen Sie +Mitglieder auswählen, wählen Sie die Mitglieder aus, der diese Berechtigung zugewiesen werden soll, und wählen Sie dann "Weiter" aus.
8. Wählen Sie auf der Registerkarte Bedingungen die Option Dem Benutzer erlauben, alle Rollen außer privilegierten Administratorrollen (Besitzer, UAA, RBAC) zuzuweisen (Empfohlen), und wählen Sie dann Weiter aus.
9. Wählen Sie auf der Registerkarte " Aufgabentyp " die Konfiguration aus, die am besten zu Ihrer Organisation passt, und wählen Sie dann "Weiter" aus.
10. Überprüfen Sie auf der Registerkarte "Überprüfen+ Zuweisen " die Informationen, und wählen Sie "Überprüfen+ Zuweisen" aus.

Wiederholen Sie diesen Vorgang für alle erforderlichen Rollen.

b. Erstellen eines virtuellen Netzwerks und der Subnetze

1. Melden Sie sich im Azure-Portal an.
2. Suchen Sie nach virtuellen Netzwerken , und wählen Sie sie aus den Ergebnissen aus.
3. Wählen Sie "Erstellen" aus, um mit dem Erstellen eines neuen virtuellen Netzwerks zu beginnen.
4. Geben Sie Details wie Abonnement, Ressourcengruppe, Name und Region ein, und wählen Sie dann "Weiter" aus.
5. Konfigurieren von IP-Adressen:
   • IPv4-Adressraum: Geben Sie ihren ausgewählten CIDR-Block (Classless Inter-Domain Routing) ein (z. B 10.0.0.0/16. ).
   • Fügen Sie die folgenden Subnetze hinzu:
     • supercomputerNodepoolSubnet: 10.0.1.0/24
     • aksSubnet: 10.0.2.0/24
     • workspaceSubnet: 10.0.3.0/24
     • privateEndpointSubnet: 10.0.4.0/24
     • agentSubnet: 10.0.5.0/24
     • searchSubnet: 10.0.6.0/24
6. Wählen Sie für workspaceSubnetagentSubnet und searchSubnet unter SubnetDelegationMicrosoft.App/environments aus.
7. Fügen Sie für workspaceSubnet, agentSubnet, supercomputerNodepoolSubnet und aksSubnet unter DienstendpunkteMicrosoft.Storage hinzu.
8. Optional können Sie das default Subnetz aus der Liste entfernen.
9. Überprüfen und erstellen Sie das virtuelle Netzwerk.

Note

Netzwerksicherheitsgruppen (Network Security Groups, NSGs) werden in diesem Schritt nicht erwähnt, aber es ist eine allgemeine bewährte Methode, NSGs für jedes Subnetz in einem virtuellen Netzwerk zu implementieren, abhängig von den Richtlinien Ihrer Organisation.

c. Erstellen einer vom Benutzer zugewiesenen verwalteten Identität (UAMI)

Sie können jeweils unterschiedliche UAMIs mit ihren eigenen erforderlichen Berechtigungen für einen bestimmten Ressourcenzugriff erstellen, oder Sie können ein einzelnes UAMI mit allen erforderlichen Berechtigungen für die Plattform erstellen. Erstellen Sie für diese Übung ein einzelnes UAMI, indem Sie die folgenden Schritte ausführen:

1. Melden Sie sich im Azure-Portal an.
2. Suchen Sie nach verwalteten Identitäten , und wählen Sie sie aus der Liste aus.
3. Wählen Sie "Erstellen" aus.
4. Geben Sie die erforderlichen Details wie Abonnement, Ressourcengruppe, Region und Name ein.
5. Wählen Sie Überprüfen + erstellen und dann Erstellen aus.

d. Weisen Sie UAMI Azure-Rollen für die rollenbasierte Zugriffssteuerung (RBAC) zu

Weisen Sie die folgenden integrierten Rollen der neuen vom Benutzer zugewiesenen verwalteten Identität auf Ressourcengruppenebene zu:

• Microsoft Discovery Platform-Mitwirkender (Vorschau)
• Storage Blob-Datenmitwirkender
• ACRPull

1. Navigieren Sie zu Abonnements und wählen Sie Ihr Abonnement aus.
2. Wählen Sie die Ressourcengruppe aus, die Sie für diese Übung verwenden.
3. Wählen Sie im linken Menü Zugriffssteuerung (IAM) aus.
4. Wählen Sie Hinzufügen und dann Rollenzuweisung hinzufügen aus.
5. Suchen Sie im Bereich " Rollenzuweisung hinzufügen " jeweils nach jeder Rolle, und wählen Sie dann "Weiter" aus.
6. Stellen Sie auf der Registerkarte " Mitglieder " sicher, dass " Zugriff zuweisen" auf "Verwaltete Identität" festgelegt ist.
7. Wählen Sie + Mitglieder hinzufügen. Im Bereich Verwaltete Identitäten auswählen wählen Sie Ihr Abonnement, dann den Benutzerzugewiesenen verwalteten Identitätstyp, wählen Sie die verwaltete Identität aus, die Sie im vorherigen Schritt erstellt haben, und klicken Sie auf Auswählen.
8. Überprüfen Sie auf der Registerkarte "Überprüfen+ Zuweisen " alle Informationen, und wählen Sie "Überprüfen+ Zuweisen" aus.

e. Erstellen eines Azure Blob Storage-Kontos

Um Eingabe- und Ausgabedaten für Ihre Untersuchungen zu speichern, erstellen Sie ein Azure BLOB-Speicherkonto, um Ihrem Speichercontainer zuzuordnen oder einen vorhandenen mit den folgenden Anforderungen zu verwenden:

• Erstellen Sie einen Container innerhalb des Speicherkontos, discoveryoutputs in dem die Ausgabedateien gespeichert sind.
• Das Speicherkonto muss den Zugriff vom Virtual Network zulassen, das zum Erstellen des Supercomputers und des Arbeitsbereichs verwendet wird.
• Das Speicherkonto muss den Zugriff von Ihrer öffentlichen CLIENT-IP oder Ihrem lokalen Netzwerk zulassen, damit Sie auf die Ausgabedaten zugreifen können.
• Das Speicherkonto muss über die richtigen CORS-Einstellungen verfügen. Sie müssen diese Ursprünge zulassen: https://studio.discovery.microsoft.com, , https://vscode.devund https://*.vscode-cdn.net. Legen Sie die zulässigen Vorgänge fest, damit GET, HEAD, DELETE und PUT eingeschlossen werden, und setzen Sie Allowed Headers und Exposed Headers auf * und Max Age auf 200. Diese Einstellung befindet sich auf der Seite " Ressourcenfreigabe( CORS)" auf der Registerkarte " Einstellungen ".
• Stellen Sie sicher, dass das Speicherkonto Zugriff auf das im Storage Blob Data Contributor erstellte UAMI hat.

Um ein Azure Blob-Speicherkonto zu erstellen:

1. Melden Sie sich im Azure-Portal an.
2. Suchen Sie nach Speicherkonten , und wählen Sie sie aus den Ergebnissen aus.
3. Wählen Sie "Erstellen" aus, um mit dem Erstellen eines neuen Speicherkontos zu beginnen.
4. Geben Sie Details wie Abonnement, Ressourcengruppe, Name und Region ein.
5. Wählen Sie Azure Blob Storage als primären Dienst aus, und wählen Sie dann die Registerkarte Networking aus.
6. Wählen Sie unter öffentlichem Netzwerkzugriff die Option "Öffentlichen Zugriff aus ausgewählten virtuellen Netzwerken und IP-Adressen aktivieren" aus.
7. Wählen Sie die Virtual Network und alle subnetze aus, die in step 1 erstellt wurden.
8. Wählen Sie "Client-IP-Adresse hinzufügen " aus, wenn Sie über das Internet auf Daten zugreifen, oder stellen Sie sicher, dass Ihr Client über einen privaten Link, Standort-zu-Standort-VPN oder ExpressRoute auf das Speicherkonto und das virtuelle Netzwerk zugreifen kann.
9. Klicken Sie aufÜberprüfen + erstellen und dann auf Erstellen.

Note

Um Ausgabedateien anzuzeigen und herunterzuladen, benötigt Ihr Client oder Browser Netzwerkzugriff auf den BLOB-Speicher. Sie können den zugriff auf öffentliches Internet zulassen, indem Sie den öffentlichen Zugriff auf alle Netzwerke öffnen. Sie können auch die öffentliche IP-Adresse Ihres Clients in den Speichernetzwerk- und Firewalleinstellungen zulassen. Alternativ können Sie den privaten Zugriff über Azure VPN oder ExpressRoute konfigurieren.

Erstellen eines Blobcontainers

1. Navigieren Sie nach dem Erstellen des Speicherkontos zur Übersichtsseite des Speicherkontos.
2. Wählen Sie im linken Navigationsbereich unter "Datenspeicher" "Container" aus.
3. Wählen Sie Container hinzufügen.
4. Geben Sie discoveryoutputs als Namen ein, und wählen Sie "Erstellen" aus.

Aktivieren des CORS- und UAMI-Zugriffs

1. Öffnen Sie das Speicherkonto, das wir im vorherigen Schritt erstellt haben.
2. Wählen Sie auf der Registerkarte "Einstellungen " die Option "Ressourcenfreigabe( CORS)" aus.
3. Geben Sie in der Spalte Zulässige Ursprünge unter Blob-Diensthttps://studio.discovery.microsoft.com, https://vscode.dev und https://*.vscode-cdn.net ein. Legen Sie für alle drei zulässigen Vorgänge folgendes fest: GET, , HEAD, , DELETE, OPTIONSund PUT. Setze Allowed Headers und Exposed Headers auf * und Max Age auf 200.
4. Wählen Sie Speichern aus.

2. Erstellen eines Supercomputers

Sie benötigen einen Supercomputer mit zugeordneten Knotenpools, um wissenschaftliche Tools bereitzustellen und auszuführen und Ihre Daten in Bookshelf-Wissensdatenbanken zu indizieren. Der Supercomputer führt auch GPU- und CPU-intensive Workloads für Simulation und Modellierung aus. Sie stellt die Computeressourcen in einem bestimmten virtuellen Netzwerk innerhalb Ihres Abonnements bereit.

1. Melden Sie sich im Azure-Portal an.
2. Suchen Sie nach Microsoft Discovery Supercomputer.
3. Wählen Sie "Erstellen" aus, und geben Sie Details wie Abonnement-ID, Ressourcengruppenname, Standort und Name ein, und wählen Sie dann "Weiter" aus.
4. Auf der Registerkarte Netzwerk wählen Sie das virtuelle Netzwerk und aksSubnet aus, die Sie in Schritt 1 erstellt haben, und wählen dann Weiter.
5. Wählen Sie auf der Registerkarte "System-SKU" Standard_D4s_v6 als System-SKU für diese Bereitstellung und dann "Weiter" aus.
6. Im Tab Identitäten fügen Sie die benutzerdefinierte verwaltete Identität (UAMI) hinzu, die Sie in Schritt 1 für die Cluster-Identität, die Kubelet-Identität und die Workload-Identität erstellt haben. Supercomputerinstanzen verwenden diese verwaltete Identität, um auf Daten aus Ihren Azure-Ressourcen zuzugreifen. Klicken Sie abschließend auf Weiter.
7. Auf der Registerkarte Encryption, da wir Microsoft verwaltete Schlüssel für diese Übung verwenden, uncheck die Option "Vom Kunden verwaltete Schlüssel aktivieren" aus, und wählen Sie Next aus.
8. Fügen Sie nach Bedarf Tags hinzu, und wechseln Sie zur nächsten Registerkarte.
9. Überprüfen Sie die Allgemeinen Geschäftsbedingungen, und wählen Sie "Weiter" aus.
10. Nachdem die Überprüfung erfolgreich war, wählen Sie "Erstellen" aus.

3. Erstellen von Knotenpools

Nachdem Ihr Supercomputer erstellt wurde, führen Sie die folgenden Schritte aus, um einen Knotenpool zu erstellen:

1. Öffnen Sie den Supercomputer, den wir im vorherigen Schritt erstellt haben.
2. Wählen Sie im linken Bereich unter "Einstellungen" den Knotenpool und dann "Erstellen" aus.
3. Geben Sie den Namen und den Speicherort für den Knotenpool ein, und wählen Sie dann "Weiter" aus.

   Note

   Knotenpoolnamen müssen alle Kleinbuchstaben sein, maximal 12 Zeichen, müssen mit einem Buchstaben beginnen und dürfen nur Buchstaben und Zahlen enthalten.

4. Wählen Sie auf der Registerkarte „Netzwerk“ das virtuelle Netzwerk und supercomputerNodepoolSubnet aus, die Sie in Schritt 1 erstellt haben, und wählen Sie Weiter. Hinweis: Verwenden Sie dasselbe virtuelle Netzwerk, das für den Supercomputer in Schritt 2 ausgewählt ist.
5. Wählen Sie auf der Registerkarte " VM-Konfiguration " die SKU für virtuelle Computer (VM) aus, die für den Knotenpool verwendet werden soll, und wählen Sie dann "Weiter" aus. Die ausgewählte SKU und das Kontingent müssen in der Region verfügbar sein, in der Sie den Knotenpool bereitstellen.
6. Geben Sie im Abschnitt "Skalierung " die maximale Knotenanzahl ein, auf die Ihr Knotenpool skalieren kann, z. B. "5", und wählen Sie "Weiter" aus.
7. Wählen Sie Überprüfen und erstellen und dann Erstellen aus.

4. Erstellen eines Arbeitsbereichs

Ein Arbeitsbereich ist eine Kollaborative Umgebung, in der Teams umfangreiche wissenschaftliche Initiativen verwalten. Arbeitsbereiche bringen die Infrastrukturressourcen wie Supercomputer, Agenten, Tools und Wissensbasen (Bookshelves) zu einer einzigen sicheren Grenze zusammen. Sie können Projekte unter Arbeitsbereichen erstellen, sodass Forscher Experimente organisieren, Daten analysieren und KI-Agents innerhalb eines gemeinsamen Raums verwenden können.

Important

Stellen Sie sicher, dass der Arbeitsbereichsname global eindeutig ist und nur Kleinbuchstaben verwendet.

1. Melden Sie sich im Azure-Portal an.

2. Suchen Sie nach Microsoft Discovery Workspaces.

3. Wählen Sie +Erstellen aus, und geben Sie Details wie Abonnement, Ressourcengruppe, Name und Region ein, und wählen Sie dann "Weiter" aus.

4. Wählen Sie auf der Registerkarte Netzwerk für diese Übung für Öffentlicher Netzwerkzugriff die Option Aktivieren aus. Danach gibst du die Details für das Private Endpoint-Subnetz, das Agenten-Subnetz und das Workspace-Subnetz mit den Subnetzen ein, die du zuvor in Schritt 1 erstellt hast, und wähle dann Next aus.

5. Lassen Sie auf der Registerkarte Verschlüsselung die Option „Kundenseitig verwaltete Schlüssel (CMK) aktivieren“ deaktiviert. Für diese Übung verwenden wir von Microsoft verwaltete Schlüssel (Microsoft-Managed Keys, MMK). Wählen Sie einfach Weiter aus, um zur nächsten Registerkarte zu wechseln.

6. Wählen Sie auf der Registerkarte "Supercomputer" die Option "Supercomputer hinzufügen" und dann Ihr Abonnement, Ihre Ressourcengruppe und den in Schritt 2 erstellten Supercomputer aus, und anschließend "Weiter".

7. Wählen Sie auf dem Reiter Arbeitsbereichsidentität unter Benutzerseitig zugewiesene verwaltete Identität (UAMI)Hinzufügen aus, und wählen Sie die Identität aus, die Sie in Schritt 1 erstellt haben, um dem Arbeitsbereich Zugriff zu gewähren.

8. Fügen Sie auf der Registerkarte "Kategorien " nach Bedarf Tags hinzu. (Optional) Um GitHub Copilot zu aktivieren und den Arbeitsbereichzugriff zu konfigurieren, fügen Sie die folgenden Tags hinzu. Ausführliche Informationen finden Sie unter Verwenden von GitHub Copilot in Microsoft Discovery.

   • discovery.workbench.enableGhcpAiFeatures auf true festgelegt — Aktiviert GitHub Copilot und KI-Funktionen für den Arbeitsbereich.
   • discovery.workbench.enableExtensions festgelegt auf true – Aktiviert den VS Code Marketplace für Erweiterungen in der Vorschau.
   • NetworkIsolation festgelegt auf false — Ermöglicht den öffentlichen Zugriff auf die Vorschauumgebung (Workbench) und andere Ressourcen der verwalteten Ressourcengruppe (MRG). Wenn Sie die Netzwerkisolation aktiviert lassen (Standardeinstellung), müssen Sie über ein VPN oder ExpressRoute mit dem virtuellen Netzwerk verbunden sein, in dem der Arbeitsbereich für den Zugriff über ein privates Netzwerk bereitgestellt wird.

   Tip

   Sie können Discovery-Ressourcen mit vollständiger Netzwerkisolation bereitstellen. Wenn networkIsolation aktiviert, sind alle Ressourcen innerhalb des privaten Netzwerks abgeschirmt und nur über den privaten Endpunkt und den Network Security Perimeter (NSP) erreichbar. Du kannst den Arbeitsbereich weiterhin über das öffentliche Netzwerk über Discovery Studio und die REST-API erreichen. Um den Zugang nur zu Ihrem privaten Netzwerk zu sperren, deaktivieren Sie den öffentlichen Netzwerkzugang für Ihren Arbeitsbereich und erstellen Sie private Endpunkte für die Arbeitsbereichsressourcen. Für Hinweise siehe Netzwerksicherheit konfigurieren für Microsoft Discovery-Arbeitsbereiche.

   Note

   Tags sind für Microsoft Discovery-Ressourcentypen unveränderlich, darunter Arbeitsbereiche, Supercomputer, Knotenpools und Bücherregale. Nachdem eine Ressource erstellt wurde, kannst du ihre Tags nicht hinzufügen, ändern oder entfernen. Jede Tag-Änderung, einschließlich des Hinzufügens eines Tags, erfordert das Neueinsetzen der Ressource.

9. Überprüfen Sie die Allgemeinen Geschäftsbedingungen, und wählen Sie dann "Überprüfen " + Erstellen" aus.

10. Nachdem die Überprüfung erfolgreich war, wählen Sie "Erstellen" aus.

5. Weisen Sie der verwalteten Ressourcengruppe die Rolle „Foundry User“ zu

Wenn ein Arbeitsbereich erstellt wird, wird eine verwaltete Ressourcengruppe automatisch mit ihm bereitgestellt. Damit Benutzer Agents und Workflows innerhalb eines Projekts direkt im Foundry-Portal für erweiterte Einstellungen ändern können, müssen Sie sie der Rolle " Findry User " für diese verwaltete Ressourcengruppe zuweisen.

1. Melden Sie sich im Azure-Portal an.
2. Gehe zu dem Arbeitsbereich, den du in Schritt 4 erstellt hast, und finde den Namen der Managed Resource Group auf der Übersichtsseite des Arbeitsbereichs.
3. Navigieren Sie zu dieser verwalteten Ressourcengruppe.
4. Wählen Sie im linken Menü Zugriffssteuerung (IAM) aus.
5. Wählen Sie Hinzufügen und dann Rollenzuweisung hinzufügen aus.
6. Suchen Sie im Bereich "Rollenzuweisung hinzufügen " nach "Foundry User ", und wählen Sie ihn aus, und wählen Sie dann "Weiter" aus.
7. Stellen Sie auf der Registerkarte " Mitglieder " sicher, dass " Zugriff zuweisen" auf "Benutzer", "Gruppe" oder "Dienstprinzipal" festgelegt ist.
8. Klicken Sie auf + Mitglieder auswählen. Wählen Sie die Benutzer aus, die Agents und Workflows ändern müssen, und klicken Sie dann auf Auswählen.
9. Wählen Sie "Überprüfen" und "Zuweisen" aus, überprüfen Sie die Informationen, und wählen Sie "Überprüfen+ Zuweisen" aus.

Wiederholen Sie diesen Vorgang für alle Benutzer, die Zugriff auf Agents und Workflows im Arbeitsbereich benötigen. Alle Änderungen, die direkt im Foundry-Portal vorgenommen wurden, werden automatisch in der Ermittlungs-Agent-Konfiguration wiedergegeben.

6. Erstellen einer Chatmodellbereitstellung

Chat-Modell-Implementierungen stellen grundlegende Sprachmodelle wie GPT-5.4 für die Nutzung im Microsoft Discovery Workspace bereit. In Projekten erstellte Agents können diese Chatmodellimplementierungen verwenden.

1. Wechseln Sie zur Übersichtsseite des Microsoft Discovery-Arbeitsbereichs, der im vorherigen Schritt erstellt wurde.

2. Wählen Sie auf der Registerkarte "Einstellungen" im linken Navigationsbereich "Chatmodelleinsatz" aus.

3. Wählen Sie oben die Option + Erstellen aus.

4. Geben Sie den Namen als gpt-5-4ein.

5. Wählen Sie im Dropdown-Menü Modellformat als OpenAI und Modellname als gpt-5.4 aus.

6. Wählen Sie dann unten die Schaltfläche "Überprüfen+ Erstellen " und dann " Erstellen" aus.

   

Important

Um die Discovery Engine und Aufgaben in Ihren Sitzungen zu verwenden, müssen Sie diese spezifische Bereitstellung mit dem Namen gpt-5-4 und dem Modellnamen gpt-5.4 verwenden. Allerdings kannst du zusätzliche Chat-Modell-Deployments für die Nutzung mit Agenten einrichten.

Sie können Benutzern über Role Based Access Control (RBAC) auf Ressourcengruppenebene Zugriff gewähren. Microsoft Discovery Administrator (Vorschau) Rolle ist erforderlich, um Projekte in einem Arbeitsbereich zu erstellen.

7. Melden Sie sich bei Microsoft Discovery Studio an

Microsoft Discovery Studio ist eine sichere, KI-gestützte Forschungsumgebung. Es ermöglicht Wissenschaftlern und Ingenieuren, Innovationen durch autonome Agenten, Simulationsworkflows und integrierte Datentools innerhalb einer einheitlichen Schnittstelle zu beschleunigen.

Nachdem Ihre Infrastruktur eingerichtet wurde, können Sie sich direkt über die URL bei Microsoft Discovery Studio anmelden oder die URL auf der Arbeitsbereichsübersichtsseite im Azure-Portal suchen.

Sie müssen sich mit Ihren Microsoft Entra ID-Zugangsdaten für Ihr Arbeits- oder Schulkonto anmelden. Studio unterstützt Single Sign-on mit Microsoft Entra ID. Du musst keine Anmeldedaten explizit angeben, wenn du bereits bei einem anderen Dienst mit deiner Microsoft Entra ID im selben Browser angemeldet bist.

Note

Wenn Sie Zugriff auf mehrere Microsoft Entra Mandanten haben, wählen Sie den richtigen Mandanten aus, indem Sie ihr Profilsymbol in der oberen rechten Ecke der Seite auswählen.

8. (Optional) Erstellen Sie einen eigenständigen Speichercontainer

Jedes Projekt benötigt einen Speichercontainer. Es wird empfohlen, es bereitzustellen, indem Sie während der Projekterstellung in Schritt 9Einen Speichercontainer für mich erstellen auswählen. Diesen Schritt befolgen Sie nur, wenn Sie einen eigenständigen Speichercontainer erstellen und verwalten möchten – zum Beispiel um einen Container über mehrere Projekte hinweg wiederzuverwenden.

Speichercontainer speichern sowohl Eingabe- als auch Ausgabedaten als Speicherressourcen. Sowohl Eingaben als auch Ausgaben verwenden einen Speichercontainer vom Typ Azure Storage Blob, unterstützt durch das speicherkonto, das in step 1 erstellt wurde.

1. In Microsoft Discovery Studio wählen Sie im linken Navigationsfeld unter Ressourcen die Option Daten aus.
2. Wählen Sie "Container erstellen" aus.
3. Geben Sie Details wie Name, Abonnement, Ressourcengruppe und Standort ein.
4. Wählen Sie das speicherkonto aus, das in Schritt 1 erstellt wurde.
5. Wählen Sie "Erstellen" aus.
6. Wenn du das Projekt erstellst, kannst du diesen Speichercontainer auswählen.

Note

Nachdem Sie "Erstellen" ausgewählt haben, befindet sich die Ressource zunächst im Status "Akzeptiert" . Aktualisieren Sie die Seite, und warten Sie, bis sich der Bereitstellungsstatus in Erfolgreich geändert hat, bevor Sie fortfahren. Dieser Vorgang dauert in der Regel einige Minuten.

9. Erstellen eines Projekts

Projekte helfen Ihnen, wissenschaftliche Untersuchungen innerhalb eines Arbeitsbereichs zu organisieren und zu verwalten. Jedes Projekt definiert die funktionale Grenze für den Zugriff auf Ihre Agents, Tools und Speichercontainer. Innerhalb eines Projekts können Sie Experimente ausführen, Daten analysieren, KI-Modelle anwenden und Forschungsfortschritte in einer kollaborativen Umgebung verfolgen.

Important

Der Projektname muss alle Kleinbuchstaben und nicht mehr als 12 Zeichen lang sein. Stellen Sie außerdem sicher, dass Sie die Seite aktualisieren, bevor Sie ein Projekt erstellen. Du kannst ein Projekt erstellen, indem du deinen Arbeitsbereich im Studio öffnest.

1. In Microsoft Discovery Studio wählen Sie im linken Navigationsfeld Arbeitsbereiche aus. Damit sind alle bestehenden Arbeitsbereiche in Ihren Azure-Abonnements aufgeführt.

2. Wählen Sie den Arbeitsbereich aus, den Sie in Schritt 4 erstellt haben. Diese Aktion öffnet deinen Arbeitsbereich im Studio.

3. Wählen Sie Projekt erstellen aus.

4. Geben Sie einen Namen für das Projekt ein.

5. Lassen Sie die Option Einen Speichercontainer für mich erstellen ausgewählt.

6. Wählen Sie unter Speicherkonto auswählen das Speicherkonto aus, das Sie in Schritt 1 erstellt haben. Für das Projekt wird ein neuer Speichercontainer erstellt.

   Note

   Die Option "Erstelle einen Speichercontainer für mich " erstellt eine neue Speichercontainer-Ressource in derselben Ressourcengruppe wie dein Arbeitsbereich und Projekt. Diese Methode ist die empfohlene Methode, um den Speichercontainer bereitzustellen, den ein Projekt benötigt. Um eigenständige Speichercontainer für andere Szenarien zu erstellen und zu verwalten, verwenden Sie Schritt 8.

   

   

7. Wählen Sie "Erstellen" aus.

Note

Nachdem Sie "Erstellen" ausgewählt haben, befindet sich das Projekt zunächst im Status "Akzeptiert ". Aktualisieren Sie die Seite, und warten Sie, bis sich der Bereitstellungsstatus in Erfolgreich geändert hat, bevor Sie fortfahren.

Bicep

Verwenden Sie Bicep, um die erforderliche Infrastruktur für Microsoft Discovery bereitzustellen. Die Bereitstellung erstellt die grundlegenden Azure-Ressourcen, die erforderlich sind, bevor Sie einen Discovery-Arbeitsbereich, einen Supercomputer und Projekte nutzen können.

Bicep ist eine domänenspezifische Sprache (Domain-Specific Language, DSL), die eine deklarative Syntax zur Bereitstellung von Azure-Ressourcen verwendet. Sie bietet eine präzise Syntax, zuverlässige Typsicherheit und Unterstützung für die Wiederverwendung von Code. Bicep bietet die beste Entwicklungserfahrung für Ihre Infrastructure-as-Code-Lösungen in Azure.

Überprüfen Sie die Bicep-Datei

Diese Schnellstartanleitung verwendet eine Bicep-Datei aus Azure-Schnellstartvorlagen.

In dieser Schnellstartanleitung stellen Sie den vollständigen Microsoft Discovery-Stapel in Sweden Central bereit. Die Bereitstellung erstellt ein virtuelles Netzwerk mit einem Adressraum 10.0.0.0/16 und fünf Subnetzen für Supercomputerknotenpools, AKS, Arbeitsbereich, private Endpunkte und Agenten. Die Bereitstellung stellt ein Standard_LRS Speicherkonto mit aktivierten CORS-Regeln für Discovery Studio und VS Code bereit. Es erstellt eine benutzerdefinierte verwaltete Identität mit Storage Blob Data Contributor, Discovery Platform Contributor und AcrPull-Rollenzuweisungen . Die Kernressourcen der Discovery umfassen einen Supercomputer mit einem Standard_D4s_v6 Knotenpool (skaliert von 0 bis 3 Knoten), einen Arbeitsbereich mit Bereitstellung eines Chatmodells, einen Speichercontainer und ein Projekt.

Note

Aktivieren Sie die einheitliche Werkbank (Vorschau). Die Unified Workbench, die GitHub Copilot und KI-Funktionen umfasst, ist als Vorschau verfügbar. Um es zu aktivieren, bereite deinen Arbeitsbereich mit den Tags discovery.workbench.enableGhcpAiFeatures: true und discovery.workbench.enableExtensions: trueaus. Wie Sie auf die Werkbank zugreifen, hängt von der networkIsolation Einstellung des Arbeitsbereichs ab:

• Wenn networkIsolation auf false gesetzt ist, funktioniert die Workbench ohne weitere Einrichtung.
• Wenn networkIsolation auf true festgelegt ist, müssen Sie eine VPN- (oder ExpressRoute-)Verbindung mit dem virtuellen Netzwerk herstellen, in dem der Arbeitsbereich bereitgestellt ist.

Weitere Informationen finden Sie unter Use GitHub Copilot in Microsoft Discovery.

Note

Tags sind für Microsoft Discovery-Ressourcentypen unveränderlich, darunter Arbeitsbereiche, Supercomputer, Knotenpools und Bücherregale. Nachdem eine Ressource erstellt wurde, kannst du ihre Tags nicht hinzufügen, ändern oder entfernen. Definiere alle erforderlichen Tags in der Vorlage, bevor du deployest; jede Tag-Änderung, einschließlich des Hinzufügens eines Tags, erfordert das Wiedereinsetzen der Ressource.

@description('Azure region for all resources. Must be a Discovery-supported region.')
@allowed([
  'eastus'
  'swedencentral'
  'uksouth'
])
param location string = 'uksouth'

@description('Azure region for all dataplane resources. Defaults to location when not specified.')
param overridemrgregion string = location

@description('Name of the Microsoft Discovery Supercomputer. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param supercomputerName string = 'sc-${uniqueString(resourceGroup().id)}'

@description('Name of the Node Pool created under the Supercomputer. Must be 1-12 lowercase alphanumeric characters, starting with a letter.')
@minLength(1)
@maxLength(12)
param nodePoolName string = 'nodepool1'

@description('Name of the Microsoft Discovery Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param workspaceName string = 'ws-${uniqueString(resourceGroup().id)}'

@description('Name of the Chat Model Deployment created under the Workspace.')
@minLength(3)
@maxLength(24)
param chatModelDeploymentName string = 'gpt-5-4'

@description('Name of the Microsoft Discovery Storage Container resource. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param storageContainerName string = 'stc-${uniqueString(resourceGroup().id)}'

@description('Name of the Project created under the Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param projectName string = 'prj-${uniqueString(resourceGroup().id)}'

@description('Name of the Virtual Network. Must be 2-64 characters: letters, numbers, underscores, periods, or hyphens; must start with a letter or number and end with a letter, number, or underscore.')
@minLength(2)
@maxLength(64)
param vnetName string = 'discovery-vnet'

@description('Name of the User-Assigned Managed Identity.')
param managedIdentityName string = 'uami-${uniqueString(resourceGroup().id)}'

@description('Globally unique name of the Azure Storage Account (3-24 lowercase alphanumeric characters).')
@minLength(3)
@maxLength(24)
param storageAccountName string = 'stg${uniqueString(resourceGroup().id)}'

@description('Name of the blob container inside the Storage Account used for Discovery outputs.')
param blobContainerName string = 'discoveryoutputs'

@description('Replication SKU for the Storage Account. Zone/geo-redundant options are recommended over locally-redundant storage for resiliency.')
@allowed([
  'Standard_ZRS'
  'Standard_GRS'
  'Standard_GZRS'
  'Standard_RAGRS'
  'Standard_RAGZRS'
])
param storageAccountSku string = 'Standard_GRS'

@description('Address space for the Virtual Network.')
param vnetAddressPrefix string = '10.0.0.0/16'

@description('Address prefix for the Supercomputer Node Pool subnet.')
param supercomputerNodepoolSubnetPrefix string = '10.0.1.0/24'

@description('Address prefix for the AKS system subnet used by the Supercomputer.')
param aksSubnetPrefix string = '10.0.2.0/24'

@description('Address prefix for the Workspace subnet (delegated to Microsoft.App/environments).')
param workspaceSubnetPrefix string = '10.0.3.0/24'

@description('Address prefix for the Private Endpoint subnet.')
param privateEndpointSubnetPrefix string = '10.0.4.0/24'

@description('Address prefix for the Agent subnet.')
param agentSubnetPrefix string = '10.0.5.0/24'

@description('Address prefix for Search Subnet.')
param searchSubnetPrefix string = '10.0.6.0/24'

@description('VM SKU for the Node Pool.')
param nodePoolVmSize string = 'Standard_D4s_v6'

@description('Maximum number of nodes in the Node Pool.')
@minValue(1)
param nodePoolMaxNodeCount int = 3

@description('Minimum number of nodes in the Node Pool (0 allows scale-to-zero).')
@minValue(0)
param nodePoolMinNodeCount int = 0

@description('Scale set priority for the Node Pool.')
@allowed([
  'Regular'
  'Spot'
])
param nodePoolScaleSetPriority string = 'Regular'

@description('Chat model format.')
param chatModelFormat string = 'OpenAI'

@description('Chat model name to deploy.')
param chatModelName string = 'gpt-5.4'

@description('Enable GitHub Copilot and AI features in the Discovery workspace via the discovery.workbench.enableGhcpAiFeatures tag.')
param enableGhcpAiFeatures bool = true

@description('Enable the VS Code Extension Marketplace in the Discovery workspace via the discovery.workbench.enableExtensions tag.')
param enableExtensions bool = true

@description('Workspace network isolation mode via the NetworkIsolation tag. Set to false to enable public preview access as documented in the Infrastructure portal quickstart.')
param networkIsolation bool = true

// Built-in role definition IDs
var storageBlobDataContributorRoleId = 'ba92f5b4-2d11-453d-a403-e96b0029c9fe'
var discoveryPlatformContributorRoleId = '01288891-85ee-45a7-b367-9db3b752fc65'
var acrPullRoleId = '7f951dda-4ed3-4680-a7ca-43fe172d538d'

resource vnet 'Microsoft.Network/virtualNetworks@2024-05-01' = {
  name: vnetName
  location: overridemrgregion
  properties: {
    addressSpace: {
      addressPrefixes: [
        vnetAddressPrefix
      ]
    }
    subnets: [
      {
        name: 'supercomputerNodepoolSubnet'
        properties: {
          addressPrefix: supercomputerNodepoolSubnetPrefix
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'aksSubnet'
        properties: {
          addressPrefix: aksSubnetPrefix
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'workspaceSubnet'
        properties: {
          addressPrefix: workspaceSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'privateEndpointSubnet'
        properties: {
          addressPrefix: privateEndpointSubnetPrefix
          defaultOutboundAccess: false
        }
      }
      {
        name: 'agentSubnet'
        properties: {
          addressPrefix: agentSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'searchSubnet'
        properties: {
          addressPrefix: searchSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
    ]
  }
}

resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2024-11-30' = {
  name: managedIdentityName
  location: overridemrgregion
  properties: {
    isolationScope: 'Regional'
  }
}

resource storageAccount 'Microsoft.Storage/storageAccounts@2023-05-01' = {
  name: storageAccountName
  location: overridemrgregion
  kind: 'StorageV2'
  sku: {
    name: storageAccountSku
  }
  dependsOn: [
    vnet
  ]
  properties: {
    accessTier: 'Hot'
    allowBlobPublicAccess: false
    allowSharedKeyAccess: false
    minimumTlsVersion: 'TLS1_2'
    supportsHttpsTrafficOnly: true
    // NOTE: defaultAction is intentionally 'Allow'. 
    networkAcls: {
      defaultAction: 'Allow'
      bypass: 'AzureServices'
      virtualNetworkRules: [
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'searchSubnet')
          action: 'Allow'
        }
      ]
    }
  }
}

resource blobServices 'Microsoft.Storage/storageAccounts/blobServices@2023-05-01' = {
  parent: storageAccount
  name: 'default'
  properties: {
    cors: {
      corsRules: [
        {
          allowedOrigins: [
            'https://studio.discovery.microsoft.com'
            'https://*.vscode-cdn.net'
            'https://vscode.dev'
          ]
          allowedMethods: [
            'GET'
            'HEAD'
            'DELETE'
            'PUT'
          ]
          allowedHeaders: [
            '*'
          ]
          exposedHeaders: [
            '*'
          ]
          maxAgeInSeconds: 200
        }
      ]
    }
  }
}

resource blobContainer 'Microsoft.Storage/storageAccounts/blobServices/containers@2023-05-01' = {
  parent: blobServices
  name: blobContainerName
  properties: {
    publicAccess: 'None'
  }
}

resource storageBlobDataContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(storageAccount.id, managedIdentity.id, storageBlobDataContributorRoleId)
  scope: storageAccount
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', storageBlobDataContributorRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource discoveryPlatformContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, discoveryPlatformContributorRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId(
      'Microsoft.Authorization/roleDefinitions',
      discoveryPlatformContributorRoleId
    )
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource acrPullAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, acrPullRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', acrPullRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource supercomputer 'Microsoft.Discovery/supercomputers@2026-06-01' = {
  name: supercomputerName
  location: location
  tags: {
    version: 'v2'
    'discovery.overridemrgregion': string(overridemrgregion)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
    identities: {
      clusterIdentity: {
        id: managedIdentity.id
      }
      kubeletIdentity: {
        id: managedIdentity.id
      }
      workloadIdentities: {
        '${managedIdentity.id}': {}
      }
    }
  }
}

resource nodePool 'Microsoft.Discovery/supercomputers/nodePools@2026-06-01' = {
  parent: supercomputer
  name: nodePoolName
  location: location
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
    vmSize: nodePoolVmSize
    maxNodeCount: nodePoolMaxNodeCount
    minNodeCount: nodePoolMinNodeCount
    scaleSetPriority: nodePoolScaleSetPriority
  }
}

resource workspace 'Microsoft.Discovery/workspaces@2026-06-01' = {
  name: workspaceName
  location: location
  tags: {
    version: 'v2'
    'discovery.workbench.enableGhcpAiFeatures': string(enableGhcpAiFeatures)
    'discovery.workbench.enableExtensions': string(enableExtensions)
    'discovery.overridemrgregion': string(overridemrgregion)
    NetworkIsolation: string(networkIsolation)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    workspaceIdentity: {
      id: managedIdentity.id
    }
    supercomputerIds: [
      supercomputer.id
    ]
    agentSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
    privateEndpointSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'privateEndpointSubnet')
    workspaceSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
  }
}

resource chatModelDeployment 'Microsoft.Discovery/workspaces/chatModelDeployments@2026-06-01' = {
  parent: workspace
  name: chatModelDeploymentName
  location: location
  properties: {
    modelFormat: chatModelFormat
    modelName: chatModelName
  }
}

resource discoveryStorageContainer 'Microsoft.Discovery/storageContainers@2026-06-01' = {
  name: storageContainerName
  location: location
  properties: {
    storageStore: {
      kind: 'AzureStorageBlob'
      storageAccountId: storageAccount.id
    }
  }
}

resource project 'Microsoft.Discovery/workspaces/projects@2026-06-01' = {
  parent: workspace
  name: projectName
  location: location
  dependsOn: [
    chatModelDeployment
  ]
  properties: {
    storageContainerIds: [
      discoveryStorageContainer.id
    ]
  }
}

@description('Resource ID of the Supercomputer.')
output supercomputerId string = supercomputer.id

@description('Resource ID of the Node Pool.')
output nodePoolId string = nodePool.id

@description('Resource ID of the Workspace.')
output workspaceId string = workspace.id

@description('Resource ID of the Chat Model Deployment.')
output chatModelDeploymentId string = chatModelDeployment.id

@description('Resource ID of the Discovery Storage Container.')
output storageContainerId string = discoveryStorageContainer.id

@description('Resource ID of the Project.')
output projectId string = project.id

@description('Resource ID of the User-Assigned Managed Identity.')
output managedIdentityId string = managedIdentity.id

@description('Resource ID of the Storage Account.')
output storageAccountId string = storageAccount.id

@description('Resource ID of the Virtual Network.')
output vnetId string = vnet.id

Die Bicep-Datei definiert mehrere Azure-Ressourcen:

• Microsoft. Network/virtualNetworks – Virtuelles Netzwerk mit fünf Subnetzen für den Supercomputerknotenpool, AKS, Arbeitsbereich, privater Endpunkt und Agent-Workloads.
• Microsoft. ManagedIdentity/userAssignedIdentities – Vom Benutzer zugewiesene verwaltete Identität für Supercomputer- und Arbeitsbereichsauthentifizierung.
• Microsoft. Storage/storageAccounts – Azure Blob Storage Konto mit CORS-Regeln für Discovery Studio- und VS-Codeintegrationen.
• Microsoft.Authorization/roleAssignments: Storage Blob-Datenmitwirkender, Discovery-Plattformmitwirkender und AcrPull-Rollenzuweisungen für die verwaltete Identität.
• Microsoft. Discovery/Supercomputer – Supercomputerressource mit Cluster-, Kubelet- und Workloadidentitäten.
• Microsoft. Discovery/Supercomputer/nodePools – Konfigurierbarer Knotenpool mit VM-Größe, Min/Max-Knotenanzahl und Skalierungssatzpriorität.
• Microsoft.Discovery/Arbeitsbereiche – Arbeitsbereich, der mit dem Supercomputer mit Agent, privatem Endpunkt und Arbeitsbereichssubnetzen verknüpft ist.
• Microsoft.Discovery/workspaces/chatModelDeployments – Bereitstellung von Chatmodellen im Arbeitsbereich.
• Microsoft. Discovery/storageContainers – Vom Azure Blob Storage Konto gesicherter Speichercontainer.
• Microsoft.Discovery/workspaces/projects – Projekt ist mit dem Speichercontainer verknüpft.

Bereitstellung der Bicep-Datei

1. Speichern Sie die Bicep-Datei unter dem Namen main.bicep auf Ihrem lokalen Computer.

2. Ersetze die Platzhalter <prescribedSCName> und <presecribedWSName> durch die Namen des Supercomputers und des Arbeitsbereichs, die du verwenden willst. Aktualisiere den Parameter location, wenn du in einer anderen Region als swedencentral bereitstellst.

3. Stellen Sie die Bicep Datei mithilfe von Azure CLI oder Azure PowerShell bereit.

   Azure CLI

   az group create --name exampleRG --location swedencentral
   az deployment group create --resource-group exampleRG --template-file main.bicep --parameters location=swedencentral supercomputerName=<prescribedSCName> workspaceName=<presecribedWSName>
   

   Azure PowerShell

   New-AzResourceGroup -Name exampleRG -Location swedencentral
   New-AzResourceGroupDeployment -ResourceGroupName exampleRG -TemplateFile ./main.bicep -location swedencentral -supercomputerName <prescribedSCName> -workspaceName <presecribedWSName>
   

Nach Abschluss der Bereitstellung wird eine Meldung mit dem Hinweis angezeigt, dass die Bereitstellung erfolgreich war.

Validierung der Bereitstellung

Verwenden Sie das Azure-Portal, die Azure CLI oder Azure PowerShell, um die bereitgestellten Ressourcen in der Ressourcengruppe aufzulisten.

Azure CLI

az resource list --resource-group exampleRG

Azure PowerShell

Get-AzResource -ResourceGroupName exampleRG

Bereinigen von Ressourcen

Wenn Sie die Ressourcen nicht mehr benötigen, verwenden Sie das Azure-Portal, die Azure CLI oder Azure PowerShell, um alle Ressourcen in der Ressourcengruppe zu löschen.

Azure CLI

az group delete --name exampleRG

Azure PowerShell

Remove-AzResourceGroup -Name exampleRG

Nächste Schritte

Nachdem Sie Ihre Infrastruktur eingerichtet und Ihr Projekt erstellt haben, nutzen Sie die folgenden Ressourcen:

• Erste Schritte mit Agents und freigegebenen Sitzungen in Microsoft Discovery Studio
• Lesen Sie die Microsoft Discovery FAQ für häufige Fragen zur Bereitstellung, Netzwerke, Sicherheit, Quoten und Bereinigung.