仮想ネットワーク (VNet) を使用して、Microsoft Foundry の評価トラフィックを分離します。 この記事では、適切なネットワーク セットアップ ガイダンスの選択、評価固有の要件の構成、ネットワーク関連の一般的な評価エラーの解決に役立ちます。
前提条件
- VNet 評価をサポートするリージョン内の Foundry プロジェクト。
- ネットワーク分離を構成し、Azure のロールベースのアクセス制御 (RBAC) ロールを割り当てるためのアクセス許可。
- ネットワーク インジェクション用に委任できる VNet とサブネット、または評価専用のセットアップ テンプレートを使用してそれらをデプロイするためのアクセス許可。
ネットワークセットアップのガイダンスを選択する
次の表を使用して、シナリオのネットワーク ガイダンスを確認します。 評価に固有の要件とトラブルシューティングについては、この記事に戻ってください。
| ゴール | Guidance |
|---|---|
| ネットワーク分離オプションを理解し、プライベート エンドポイント、DNS、ファイアウォール許可リスト、パブリック ネットワーク アクセスを構成します。 | Microsoft Foundry のネットワーク分離を構成する |
| Microsoftマネージド VNet ソリューションを使用して、送信ネットワークを分離します。 | Foundry プロジェクトのマネージド VNet を構成する |
| マネージド VNet をオンプレミスまたはAzure以外のリソースに接続します。 | Foundry マネージド ネットワークからオンプレミス リソースにアクセスする |
| Foundry Agent Service を含む完全なプライベート ネットワークセットアップを構成します。 | Foundry Agent Service のプライベート ネットワークを設定する |
| エージェント サービスのネットワーク アーキテクチャ、トラフィック フロー、サブネットのサイズ設定、IP 割り当てについて説明します。 | Foundry Agent Service ネットワークの詳細 |
| コーディング エージェントを使用して、Foundry リソースとネットワークの計画と構成に役立ちます。 | Microsoft Foundry スキルを使用してエージェントをコーディングします |
評価ネットワーク要件を構成する
評価のための仮想ネットワークのサポートには、サブネット委任によるネットワーク挿入が必要です。 評価機能のみが必要で、Azure Cosmos DB、Azure AI 検索、プロジェクト機能ホストなどの完全なエージェント サポートが必要ない場合は、簡略化された評価専用セットアップ テンプレート (15a) を使用します。 このテンプレートは、評価シナリオ用に最小限のネットワークで保護された環境をデプロイします。
重要
評価およびレッド チームの実行エラーを防ぐには、プロジェクトの初期設定時に、Foundry リソースのスコープで Foundry ユーザー ロールをプロジェクトのマネージド ID に割り当ててください。
重要
Foundry RBAC ロールの名前が最近変更されました。 Foundry User, Foundry Owner, Foundry Account Owner、および Foundry Project Manager は、以前は、AZURE AI ユーザー、Azure AI 所有者、Azure AI アカウント所有者、および AZURE AI Project Manager という名前でした。 名前の変更がロールアウトされている間、以前の名前が表示される場合があります。ロール ID とコア アクセス許可は、名前の変更によって変更されません。
Application Insights に接続すると、評価データが送信されます。
仮想ネットワークリージョンのサポート
次のリージョンで評価用の独自の VNet を使用できます。
| 南北アメリカ | ヨーロッパ | アジア太平洋 | 中東 & アフリカ |
|---|---|---|---|
| ブラジル南部 | フランス中部 | オーストラリア東部 | 南アフリカ北部 |
| カナダ中部 | ドイツ中西部 | 東日本 | アラブ首長国連邦北部 |
| カナダ東部 | イタリア北部 | 韓国中部 | |
| 米国東部 | ノルウェー東部 | インド南部 | |
| 米国東部 2 | ポーランド中部 | 東南アジア | |
| 米国中北部 | スペイン中部 | ||
| 米国中南部 | スウェーデン中部 | ||
| 米国西部 | スイス北部 | ||
| 米国西部 2 | 英国南部 | ||
| 米国西部 3 | 西ヨーロッパ |
データ生成の仮想ネットワーク サポートを構成する
合成データの生成とデータセット間のトレース生成では、サブネットの委任を通じた同じネットワーク挿入が評価として使用されます。 評価専用セットアップ テンプレート (15a) を使用して、必要なネットワークで保護された環境をデプロイします。
データ生成リージョンの可用性については、 データ生成でサポートされているリージョンに関するページを参照してください。
仮想ネットワーク評価エラーのトラブルシューティング
仮想ネットワーク構成を診断する
仮想ネットワークへのプライベート接続を持つマシンから VNet プロジェクトセットアップ診断 を実行します。 このスクリプトは、評価を実行したり、Azureリソースを変更したりすることなく、既存の Foundry プロジェクト構成とそのネットワーク接続を検査します。
使用ガイドに従って前提条件を準備し、適切な診断チェックを実行し、生成された diagnostics.md レポートを確認します。 このレポートには、実行可能な結果、証拠のサポート、既知の制限事項、および構成の問題の解決に役立つ修復ガイダンスが用意されています。
評価実行はタイムアウトするまで実行中のままです
評価実行は、ネットワーク分離のセットアップが不完全であるか、パブリック ネットワーク アクセスが無効になっている間に必要なプライベート エンドポイントが構成されていないか、プロジェクトのマネージド ID に実行状態を更新するアクセス許可がないため、 進行中 のままになる可能性があります。
この問題を解決するには:
- 「Microsoft Foundry のネットワーク分離の構成」の説明に従って、ネットワーク挿入とサブネット委任が構成されていることを確認します。 評価機能のみが必要な場合は、デプロイを 評価専用セットアップ テンプレート (15a) と比較します。
- パブリック ネットワーク アクセスが無効になっている場合は、必要なプライベート エンドポイントが構成および承認されていること、およびプライベート DNS によって Foundry プロジェクトに挿入されたネットワークからリソース エンドポイントが解決されることを確認します。
- Foundry プロジェクトに機能ホストのセットアップがあることを確認します。 Foundry アカウントとプロジェクト レベルの両方で機能ホストが必要です。 Foundry プロジェクト レベルの機能ホストをセットアップしなかった場合は、bicep テンプレートの add-project-capability-host を使用してセットアップします。
- プロジェクトのマネージド ID に Foundry リソース スコープの Foundry ユーザー ロールがあることを確認します。
- 大規模なデータセットの場合は、より小さい代表的なサブセットに対して評価を実行します。 小さい実行が完了した場合は、データセットのサイズを小さくするか、複数の評価実行にデータセットを分割します。
評価の実行が 403 エラーで開始できない
このエラーは、ネットワーク アクセスが無効であり、パブリック ネットワーク アクセスが無効になっているが、評価サービスが VNet 経由で 1 つ以上の必要なリソースに到達できないことを示しています。
Error: Public access is disabled. Please configure private endpoint.
この問題を解決するには:
- エラーの詳細または評価診断でリソースのホスト名を特定します。
- ネットワークインジェクションとサブネット委任が評価用に構成されていることを確認します。
- 影響を受けるリソースのプライベート エンドポイントが構成され、承認されていることを確認します。
- プライベート DNS がホスト名を解決し、ネットワーク ルールで VNet 内からのアクセスが許可されていることを確認します。
- ネットワーク構成の変更が有効になった後、評価実行を再試行してください。
その他の 403 エラーについては、実行を開始したユーザーとプロジェクトのマネージド ID に対する RBAC 割り当てを確認します。 評価固有の問題の詳細については、「 評価と監視の問題のトラブルシューティング」を参照してください。
カスタム DNS でプライベート エンドポイントが解決されない
仮想ネットワークの カスタム DNS サーバー を定義した場合、システムはその仮想ネットワークにリンクされているプライベート DNS ゾーンに対して自動的にクエリを実行しません。 カスタム DNS 設定は、名前解決の順序をオーバーライドします。
カスタム DNS でプライベート ゾーンを解決できるようにするには、プライベート ゾーンにリンクされた仮想ネットワークで Azure DNS プライベート リゾルバーを使用します。 構成ガイダンスについては、「 一元化された DNS アーキテクチャ」を参照してください。
カスタム DNS サーバーがAzure仮想マシンで実行されている場合は、プライベート ゾーンの条件付きフォワーダーを構成します。 フォワーダーの宛先を Azure DNS IP アドレス (168.63.129.16) に設定します。