Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Utilisez un réseau virtuel (VNet) pour isoler le trafic d’évaluation dans Microsoft Foundry. Cet article vous aide à choisir les instructions de configuration réseau appropriées, à configurer les exigences spécifiques à l’évaluation et à résoudre les erreurs courantes d’évaluation liées au réseau.
Prerequisites
- Projet Foundry dans une région qui prend en charge l’évaluation du réseau virtuel.
- Autorisations pour configurer l’isolation réseau et attribuer des rôles Azure de contrôle d’accès en fonction du rôle (RBAC).
- Un réseau virtuel et un sous-réseau que vous pouvez déléguer pour l’injection de réseau, ou l’autorisation de les déployer à l’aide du modèle d’installation d’évaluation uniquement.
Choisir des conseils de configuration réseau
Utilisez le tableau suivant pour trouver les conseils de mise en réseau pour votre scénario. Revenez à cet article pour connaître les exigences et la résolution des problèmes spécifiques à l’évaluation.
| Objectif | Assistance |
|---|---|
| Comprendre les options d’isolation réseau et configurer les points de terminaison privés, DNS, les listes d’autorisation du pare-feu et l’accès au réseau public. | Configurer l’isolation réseau pour Microsoft Foundry |
| Utilisez la solution de réseau virtuel (VNet) géré par Microsoft pour l’isolation du réseau sortant. | Configurer un réseau virtuel managé pour les projets Foundry |
| Connectez un réseau virtuel managé aux ressources locales ou non Azure. | Accéder aux ressources locales à partir d’un réseau managé Foundry |
| Configurez une configuration de réseau privé complète qui inclut le service Foundry Agent. | Configurer la mise en réseau privée pour le service Foundry Agent |
| Comprendre l’architecture réseau du service agent, le flux de trafic, le dimensionnement de sous-réseau et l’allocation IP. | Analyse approfondie du réseau de Foundry Agent Service |
| Utilisez un agent de codage pour planifier et configurer les ressources et la mise en réseau Foundry. | Utilisez la compétence Microsoft Foundry dans les agents de codage |
Configurer la configuration réseau requise pour l’évaluation
La prise en charge du réseau virtuel pour l’évaluation nécessite une injection de réseau par le biais de la délégation de sous-réseau. Si vous avez uniquement besoin de fonctionnalités d'évaluation et que vous n'avez pas besoin d'une prise en charge complète de l'agent, comme Azure Cosmos DB, Recherche Azure AI ou un hôte de capacité de projet, utilisez le modèle de configuration simplifié d'évaluation uniquement (15a). Le modèle déploie un environnement sécurisé par le réseau minimal pour les scénarios d’évaluation.
Important
Pour éviter les échecs d’exécution des évaluations et du red teaming, attribuez le rôle Foundry User à l’identité managée du projet au niveau de la ressource Foundry lors de la configuration initiale du projet.
Important
Les rôles Foundry RBAC ont été récemment renommés. Foundry User, Foundry Owner, Propriétaire du compteFoundry et Foundry Project Manager ont été précédemment nommés Azure utilisateur IA, Azure propriétaire d’IA, propriétaire Azure compte IA et Azure gestionnaire Project IA. Il se peut que vous voyiez encore les anciens noms à certains endroits pendant le déploiement de ce changement de nom. Les ID de rôle et les autorisations de base ne sont pas modifiés par ce changement de nom.
Si vous connectez Application Insights, les données d’évaluation sont envoyées à celui-ci.
Prise en charge des régions de réseau virtuel
Vous pouvez apporter votre propre réseau virtuel pour l’évaluation dans les régions suivantes :
| Americas | Europe | Asie-Pacifique | Moyen-Orient et Afrique |
|---|---|---|---|
| Brazil South | France Centre | Australie Est | Afrique du Sud Nord |
| Canada Central | Allemagne Centre-Ouest | Japan East | Émirats arabes unis Nord |
| Canada East | Italie Nord | Corée Centrale | |
| East US | Norvège Est | South India | |
| Est des États-Unis 2 | Poland Central | Southeast Asia | |
| Centre-Nord des États-Unis | Spain Central | ||
| États-Unis – partie centrale méridionale | Sweden Central | ||
| West US | Suisse Nord | ||
| Ouest des États-Unis 2 | Sud du Royaume-Uni | ||
| Ouest des États-Unis 3 | Europe Ouest |
Configurer la prise en charge du réseau virtuel pour la génération de données
La génération de données synthétiques et la génération de jeux de données à partir de traces utilisent la même injection réseau par délégation de sous-réseau que l’évaluation. Utilisez le modèle de configuration d’évaluation uniquement (15a) pour déployer l’environnement sécurisé par le réseau requis.
Pour connaître la disponibilité des régions de génération de données, consultez Régions prises en charge pour la génération de données.
Résoudre les erreurs d’évaluation du réseau virtuel
Diagnostiquer la configuration de votre réseau virtuel
Exécutez le diagnostic de configuration du projet de réseau virtuel à partir d’une machine disposant d’une connectivité privée à votre réseau virtuel. Le script inspecte une configuration de projet Foundry existante et sa connectivité réseau sans exécuter d’évaluation ni modifier Azure ressources.
Suivez le guide d’utilisation pour préparer les prérequis, exécuter les vérifications de diagnostic appropriées et passer en revue le rapport généré diagnostics.md . Le rapport fournit des résultats actionnables, des preuves de prise en charge, des limitations connues et des conseils de correction pour vous aider à résoudre les problèmes de configuration.
L’exécution de l’évaluation se poursuit jusqu’à ce qu’elle atteigne le délai d’expiration.
Une exécution d’évaluation peut rester en cours , car la configuration de l’isolation réseau est incomplète, les points de terminaison privés requis ne sont pas configurés pendant que l’accès au réseau public est désactivé, ou l’identité managée du projet n’a pas l’autorisation de mettre à jour l’état d’exécution.
Pour résoudre le problème :
- Vérifiez que l’injection de réseau et la délégation de sous-réseau sont configurées comme décrit dans Configurer l’isolation réseau pour Microsoft Foundry. Si vous avez uniquement besoin de fonctionnalités d’évaluation, comparez votre déploiement au modèle d’installation d’évaluation uniquement (15a).
- Si l’accès au réseau public est désactivé, vérifiez que les points de terminaison privés requis sont configurés et approuvés, et que le DNS privé résout les points de terminaison de ressources du réseau injecté dans le projet Foundry.
- Vérifiez que le projet Foundry dispose d’une configuration d’hôte de capacité. Nous avons besoin de la capacité d’héberger aux niveaux du compte Foundry et du projet. Si vous n’avez pas configuré l’hôte de capacité au niveau du projet dans Foundry, utilisez le modèle Bicep add-project-capability-host pour le configurer.
- Vérifiez que l’identité gérée du projet dispose du rôle Foundry User au niveau de la portée de la ressource Foundry.
- Pour un jeu de données volumineux, exécutez une évaluation sur un sous-ensemble représentatif plus petit. Si la plus petite exécution est terminée, réduisez la taille du jeu de données ou fractionnez le jeu de données sur plusieurs exécutions d’évaluation.
Une exécution d’évaluation ne parvient pas à démarrer en raison d’une erreur 403
L’erreur indique que l’accès réseau est désactivé, l’accès au réseau public est désactivé, mais le service d’évaluation ne peut pas atteindre une ou plusieurs ressources requises via le réseau virtuel.
Error: Public access is disabled. Please configure private endpoint.
Pour résoudre le problème :
- Identifiez le nom d’hôte de ressource dans les détails de l’erreur ou les diagnostics d’évaluation.
- Vérifiez que l’injection de réseau et la délégation de sous-réseau sont configurées pour l’évaluation.
- Vérifiez que le point de terminaison privé de la ressource affectée est configuré et approuvé.
- Vérifiez que le DNS privé résout le nom d’hôte et que les règles de réseau autorisent l’accès à partir du réseau virtuel.
- Réessayez l’exécution de l’évaluation une fois que les modifications de configuration réseau ont pris effet.
Pour d’autres 403 erreurs, vérifiez les attributions RBAC de l’utilisateur qui lance l’exécution et de l’identité managée du projet. Pour plus d’informations sur les problèmes spécifiques à l’évaluation, consultez Résoudre les problèmes d’évaluation et d’observabilité.
Le DNS personnalisé ne résout pas les points de terminaison privés
Si vous définissez un serveur DNS personnalisé pour un réseau virtuel, le système n’interroge pas automatiquement les zones DNS privées liées à ce réseau virtuel. Les paramètres DNS personnalisés remplacent l’ordre de résolution de noms.
Pour permettre au DNS personnalisé de résoudre la zone privée, utilisez un résolveur privé Azure DNS dans un réseau virtuel lié à la zone privée. Pour obtenir des conseils de configuration, consultez l’architecture DNS centralisée.
Si votre serveur DNS personnalisé s’exécute sur une machine virtuelle Azure, configurez un redirecteur conditionnel pour la zone privée. Définissez la destination du redirecteur sur l'adresse IP Azure DNS, 168.63.129.16.