クイックスタート:Microsoft Discoveryインフラストラクチャの展開

このクイックスタートでは、Microsoft Discovery環境を構築し、初めてAI搭載の科学調査を実施できるようにします。 セットアップは2つの方法で完了できます。

• Azureポータル – ガイド付きのステップバイステップ体験を通じて、各リソースを手動で作成できます。 各コンポーネントを理解したい場合や、UI主導のワークフローを好む場合にこの道を選んでください。
• Bicep – 単一のインフラストラクチャ・アズ・コードテンプレートでフルスタックを展開します。 繰り返し可能で自動化された展開を望むなら、この道を選びましょう。

両方のパスは同じコアリソースをプロビジョニングします:ネットワーク、アイデンティティ、ストレージ、ノードプール付きのスーパーコンピュータ、チャットモデル展開のあるワークスペース、ストレージコンテナ、そしてプロジェクトです。

「Microsoft Discovery インフラストラクチャを展開する」の中で、希望する体験に合ったタブを選択してください。

前提条件

以下の前提条件は、AzureポータルとBicepの両方の体験に適用されます:

• Microsoft Discoveryアクセスのために有効(許可リスト)されたアクティブなAzureサブスクリプションです。 サブスクリプションがまだ有効になっていない場合は、Microsoft アカウント担当者に連絡してアクセスを要求してください。

• Azureサブスクリプションでリソースプロバイダーの登録、ロール割り当て、リソース作成のための十分な権限が必要です:

  • Owner、Role Based Access Control Administrator、またはUser Access Administratorの役割は、Discoveryリソースを管理・使用する管理者(プラットフォーム管理者、科学者、エンジニア)に役割を割り当てるために必要です。 必要なロールの完全な一覧については、「 ペルソナで必要なロール」を参照してください。

  • リソース提供者を登録し、リソースグループを作成するには 、貢献者 またはより高い特権ロール(例: オーナー)が必要です。

    Tip

    プラットフォーム 管理者 のペルソナロールセットを単一の冪子コマンドで割り当てるには、オープンソースの Set-DiscoveryRoleAssignments.ps1 PowerShellスクリプトを使います。 PowerShell スクリプトを使用して Microsoft Discovery ペルソナ ロールを割り当てるを参照してください。 この方法は複数のユーザーをオンボーディングする際に推奨される方法です。

• サブスクリプションに必要なリソース提供者を登録してください 。 詳細については、「 リソース プロバイダーの登録」を参照してください。 登録 Microsoft.Discovery:

  1. Azure portal にサインインする
  2. [サブスクリプション] に移動して、サブスクリプションを選択します。
  3. 左側のメニューで、[ リソース プロバイダー] を選択します。
  4. Microsoft.Discovery を検索します。
  5. プロバイダー名を選択し、[ 登録] を選択します。

  Note

  次のリソース プロバイダーもサブスクリプションに登録されていることを確認します。 そうでない場合は、 それらを登録する: Microsoft.Network、Microsoft.Compute、Microsoft.Storage、Microsoft.ManagedIdentity、Microsoft.AlertsManagement、Microsoft.Authorization、Microsoft.CognitiveServices、Microsoft.ContainerInstance、Microsoft.ContainerRegistry、 Microsoft.ContainerService、Microsoft.DocumentDB、Microsoft.Features、Microsoft.KeyVault、Microsoft.MachineLearningServices, Microsoft.OperationalInsights, Microsoft.ResourceGraph, Microsoft.Search, Microsoft.Web, Microsoft.Insights、Microsoft.Resources、Microsoft.Sql、Microsoft.App、Microsoft.Bing

• Discovery NSPのPerimeter Joiner役割を割り当ててください。 Microsoft Discovery のワークスペース、ブックシェルフ、およびスーパーコンピューターは、既定で Network Security Perimeter (NSP) ルールによってネットワーク的に保護されています。 最初のワークスペース、ブックシェルフ、スーパーコンピュータを作成する前に、 Discovery NSP Perimeter Joiner のカスタムロールを作成しなければなりません。 作成後、 Discovery NSPのPerimeter Joiner のカスタムロールと Reader の役割をDiscoveryコントロールプレーンサービスアプリ(ファーストパーティサービスプリンシパル)に割り当て、コントロールプレーンがサブスクリプション内のネットワークセキュリティペリメーターを設定できるようにします。 詳細な手順については、「 NSP 境界結合者ロールの割り当て」を参照してください。

• Microsoft Foundry、Azure OpenAI クォータ、VM SKU/クォータ選択したリージョンで使用できます。 クォータ予約を参照してください。

• 既存の リソース グループ、または 新しいリソース グループを作成するためのアクセス許可。 リソース グループを作成するには、サブスクリプションの共同作成者ロールが必要です。

Important

Microsoft Discovery リソースは、米国西部、Sweden Central、および UK South の 3 つの運用リージョンでサポートされています。 わかりやすくするために、同じリージョン、サブスクリプション、およびリソース グループに 1 つのデプロイのすべてのリソースを作成します。

Note

仮想ネットワークは1つのMicrosoft Discoveryワークスペースに紐づけることができます。 複数のワークスペースが必要な場合は、それぞれに個別の仮想ネットワークとサブネットを作成します。

Important

ネットワークリソースを他のディスカバリーリソースとは別のリソースグループに展開する場合は、スーパーコンピュータリソースが正常に展開できるように、仮想ネットワークのリソースグループに適切な権限を割り当ててください。 考慮すべき権限はNetwork ContributorとMicrosoft Discovery Platform Administrator(プレビュー版)です。 Bicepテンプレートを使う場合は、その別のリソースグループで仮想ネットワークを作成するように更新してください。

Tip

Discoveryリソースは完全なネットワーク隔離で展開可能です。 networkIsolationが有効になると、すべてのリソースはプライベートネットワーク内でシールドされ、プライベートエンドポイントおよびネットワークセキュリティペリメーター(NSP)を通じてのみアクセス可能となります。 Discovery StudioやREST APIを通じて、パブリックネットワーク経由でワークスペースにアクセスすることは可能です。 プライベートネットワークへのアクセスのみをロックするには、ワークスペースのパブリックネットワークアクセスを無効にし、ワークスペースリソース用のプライベートエンドポイントを作成します。 ガイダンスについては、「Microsoft Discovery workspacesのネットワークセキュリティ設定」をご覧ください。

Microsoft Discoveryインフラストラクチャを展開する

各リソースを手動で作成するにはAzureポータルタブを選択し、インフラストラクチャ・アズ・コードテンプレートを使ってフルスタックをデプロイするにはBicepタブを選択します。

Azure Portal

Azureポータルを使って、ガイド付き体験を通じて各Microsoft Discoveryリソースを作成できます。

1. ネットワーク、ID、ストレージを設定する

Microsoft探索インフラストラクチャ コンポーネントのデプロイに進む前に、既存のリソース グループを使用するか、新しいリソース グループを作成します。

a. 管理者にロールを割り当てる

Tip

Azure ポータルで以下に示すロールを 1 つずつ割り当てる代わりに、オープンソースの PowerShell スクリプトを使用して、単一のべき等コマンドで設定された完全なSet-DiscoveryRoleAssignments.ps1ペルソナ ロールを割り当てることができます。 PowerShell スクリプトを使用して Microsoft Discovery ペルソナ ロールを割り当てるを参照してください。 これは、複数のユーザーをオンボードするための推奨パスです。

目的のスコープ (サブスクリプションまたはリソース グループ) のユーザーに次の組み込みロールを割り当てます。

• Microsoft Discovery Platform Administrator (プレビュー)
• マネージド ID 共同作成者
• マネージド ID オペレーター
• ストレージ アカウントの共同作成者
• Storage Blob データ共同作成者
• ネットワーク共同作成者
• ACRPush
• Foundry ユーザー
• Microsoft Discovery Bookshelf インデックス データ リーダー (プレビュー)

Note

サブスクリプション レベルですべてのロールを割り当てる場合は、このメモをスキップできます。 リソース グループ レベルでロールを割り当てる場合は、ここでは Foundry ユーザー ロールをスキップします。 次の手順に進み、ワークスペース リソースの作成後にこのロールの割り当てを見直します。 このロールは、ワークスペースのマネージド リソース グループ レベルで各プラットフォーム管理者またはサイエンティスト ユーザーに割り当てる必要があります。

ロールを割り当てる手順:

1. Azure portal にサインインする
2. [サブスクリプション] に移動して、サブスクリプションを選択します。
3. 左側のメニューで [アクセス制御 (IAM)] を選択します。
4. [追加] を選択し、[ロールの割り当ての追加] を選択します。
5. [ ロールの割り当ての追加 ] ウィンドウで、各ロールを一度に 1 つずつ検索し、[ 次へ] を選択します。
6. [ メンバー ] タブで、[ アクセスの割り当て ] が [ユーザー、グループ、またはサービス プリンシパル] に設定されていることを確認します。
7. [ + メンバーの選択] を選択し、このアクセス許可を割り当てるメンバーを選択してから、[ 次へ] を選択します。
8. [ 条件 ] タブで、[ 特権管理者ロール所有者、UAA、RBAC (推奨)]を除くすべてのロールを割り当てることができるようにユーザーを選択し、[ 次へ] を選択します。
9. [ 割り当ての種類 ] タブで、組織に最適な構成を選択し、[ 次へ] を選択します。
10. [ 確認と割り当て ] タブで情報を確認し、[ 確認と割り当て] を選択します。

必要なすべてのロールに対してこのプロセスを繰り返します。

b. 仮想ネットワークとサブネットの作成

1. Azure portal にサインインする
2. 仮想ネットワークを検索し、結果から選択します。
3. [ 作成] を選択して、新しい仮想ネットワークの作成を開始します。
4. サブスクリプション、リソース グループ、名前、リージョンなどの詳細を入力し、[ 次へ] を選択します。
5. IP アドレスを構成します。
   • IPv4 アドレス空間: 選択した CIDR (クラスレス Inter-Domain ルーティング) ブロック (たとえば、 10.0.0.0/16) を入力します。
   • 次のサブネットを追加します。
     • supercomputerNodepoolSubnet: 10.0.1.0/24
     • aksSubnet: 10.0.2.0/24
     • workspaceSubnet: 10.0.3.0/24
     • privateEndpointSubnet: 10.0.4.0/24
     • agentSubnet: 10.0.5.0/24
     • searchSubnet: 10.0.6.0/24
6. workspaceSubnet、agentSubnet、および searchSubnet の場合は、SubnetDelegation で、Microsoft.App/environments を選択します。
7. workspaceSubnet、agentSubnet、supercomputerNodepoolSubnet、および aksSubnet の場合は、Service Endpoints で、Microsoft.Storage を追加します。
8. 必要に応じて、一覧から default サブネットを削除できます。
9. 仮想ネットワークを確認して作成します。

Note

この手順ではネットワーク セキュリティ グループ (NSG) については説明しませんが、組織のポリシーに応じて、仮想ネットワーク内の各サブネットに NSG を実装するのが一般的なベスト プラクティスです。

c. ユーザー割り当てマネージド ID (UAMI) を作成する

特定のリソース アクセスに必要な独自のアクセス許可を持つ異なる UAMI をそれぞれ作成することも、プラットフォームに必要なすべてのアクセス許可を持つ単一の UAMI を作成することもできます。 この演習では、次の手順に従って単一の UAMI を作成します。

1. Azure portal にサインインする
2. マネージド ID を検索し、一覧から選択します。
3. を選択してを作成します。
4. サブスクリプション、リソース グループ、リージョン、名前などの必要な詳細を入力します。
5. [確認および作成] を選択し、 [作成] を選択します。

d. Azure ロール ベースのアクセス制御 (RBAC) ロールを UAMI に割り当てる

リソース グループ レベルで、新しいユーザー割り当てマネージド ID に次の組み込みロールを割り当てます。

• Microsoft Discovery プラットフォーム 貢献者 (プレビュー)
• Storage Blob データ共同作成者
• ACRPull

1. [サブスクリプション] に移動して、サブスクリプションを選択します。
2. この演習で使用している リソース グループ を選択します。
3. 左側のメニューで [アクセス制御 (IAM)] を選択します。
4. [追加] を選択し、[ロールの割り当ての追加] を選択します。
5. [ ロールの割り当ての追加 ] ウィンドウで、各ロールを一度に 1 つずつ検索し、[ 次へ] を選択します。
6. [ メンバー ] タブで、[ アクセスの割り当て] が [マネージド ID] に設定されていることを確認します。
7. [+ メンバーの選択] を選択します。 [ マネージド ID の選択 ] ウィンドウで、サブスクリプションを選択し、[ ユーザー割り当てマネージド ID の 種類] を選択し、前の手順で作成したマネージド ID を選択してから、[選択] を 選択します。
8. [ 確認と割り当て ] タブで、すべての情報を確認し、[ 確認と割り当て] を選択します。

e. Azure Blob Storage アカウントを作成する

調査のために入力データと出力データを格納するには、ストレージ コンテナーに関連付けるAzure BLOB ストレージ アカウントを作成するか、次の要件を満たす既存の BLOB ストレージ アカウントを使用します。

• 出力ファイルが格納される discoveryoutputs という名前のストレージ アカウント内にコンテナーを作成します。
• ストレージ アカウントは、スーパーコンピューターとワークスペースの作成に使用するVirtual Networkからのアクセスを許可する必要があります。
• ストレージ アカウントは、出力データにアクセスできるように、クライアントのパブリック IP またはローカル ネットワークからのアクセスを許可する必要があります。
• ストレージ アカウントには、正しい CORS 設定が必要です。 https://studio.discovery.microsoft.com、https://vscode.dev、https://*.vscode-cdn.netの配信元を許可する必要があります。 GET、HEAD、DELETE、およびPUTを含むように許可される操作を設定し、Allowed HeadersとExposed Headersを*に設定し、Max Ageを200に設定します。 この設定は、[設定] タブの [リソース共有 (CORS)] ページにあります。
• ストレージ アカウントが、Storage Blob Data Contributorで作成した UAMI にアクセスできることを確認します。

Azure BLOB ストレージ アカウントを作成するには:

1. Azure portal にサインインする
2. ストレージ アカウントを検索し、結果から選択します。
3. [ 作成] を選択して、新しいストレージ アカウントの作成を開始します。
4. サブスクリプション、リソース グループ、名前、リージョンなどの詳細を入力します。
5. プライマリ サービスとして Azure Blob Storage を選択し、Networking タブを選択します。
6. [パブリック ネットワーク アクセス] で、 選択した仮想ネットワークと IP アドレスからのパブリック アクセスを有効にするを選択します。
7. 手順 1 で作成された Virtual Network およびすべてのサブネットを選択します。
8. インターネット経由でデータにアクセスする場合は [ クライアント IP アドレスの追加] を選択するか、クライアントがプライベート リンク、サイト間 VPN、または ExpressRoute 経由でストレージ アカウントと仮想ネットワークにアクセスできることを確認します。
9. [ 確認と作成] を選択し、[ 作成] を選択します。

Note

出力ファイルを表示およびダウンロードするには、クライアントまたはブラウザーで BLOB ストレージへのネットワーク アクセスが必要です。 すべてのネットワークへのパブリック アクセスを開くことで、パブリック インターネット アクセスを許可できます。 ストレージ ネットワークとファイアウォールの設定でクライアントのパブリック IP アドレスを許可することもできます。 または、Azure VPN または ExpressRoute 経由でプライベート アクセスを構成します。

BLOB コンテナーを作成する

1. ストレージ アカウントが作成されたら、ストレージ アカウントの概要ページに移動します。
2. 左側のナビゲーション ウィンドウの [ データ ストレージ] で、[ コンテナー] を選択します。
3. [コンテナーの追加] を選択します。
4. 名前として「 discoveryoutputs 」と入力し、[ 作成] を選択します。

CORS と UAMI アクセスを有効にする

1. 前の手順で作成したストレージ アカウントを開きます。
2. [ 設定] タブで、[ リソース共有 (CORS)] を選択します。
3. [許可された配信元] 列の [BLOB サービス] で、「https://studio.discovery.microsoft.com、https://vscode.dev、およびhttps://*.vscode-cdn.net」と入力します。 3 つすべてに対して、 GET、 HEAD、 DELETE、 OPTIONS、および PUTを含むように許可される操作を設定します。 Allowed HeadersとExposed Headersを*に設定し、Max Ageを200に設定します。
4. 保存を選びます。

2. スーパーコンピューターを作成する

科学ツールをデプロイして実行したり、Bookshelf ナレッジ ベースでデータのインデックスを作成したりするには、関連付けられたノード プールを備えたスーパーコンピューターが必要です。 スーパーコンピューターは、シミュレーションとモデリングのために GPU と CPU を集中的に使用するワークロードも実行します。 サブスクリプション内の特定の仮想ネットワーク上のコンピューティング リソースを提供します。

1. Azure portal にサインインする
2. Microsoft探索スーパーコンピューターを検索します。
3. [ 作成] を選択し、サブスクリプション ID、リソース グループ名、場所、名前などの詳細を入力し、[ 次へ] を選択します。 Microsoft Discovery Supercomputer を作成するための基本的な詳細ページを示すスクリーンショット
4. ネットワークタブで、aksSubnetで作成した仮想ネットワークとを選択し、「次」を選択します。
5. [システム SKU] タブで、このデプロイのシステム SKU としてStandard_D4s_v6を選択し、[ 次へ] を選択します。
6. Identitiesタブで、ステップ1で作成したクラスタID、Kubeletアイデンティティ、ワークロードIDのユーザー割り当て管理ID(UAMI)を追加します。 スーパーコンピューター インスタンスでは、このマネージド ID を使用して、Azure リソースのデータにアクセスします。 完了後は、次へ を選択します。
7. Encryption タブでは、この演習ではMicrosoftマネージド キーを使用しているため、uncheck [Enable Customer Managed Keys]\(カスタマー マネージド キーを有効にする\) オプションを>し、Next を選択します。
8. 必要に応じてタグを追加し、次のタブに移動します。
9. 使用条件を確認し、[ 次へ] を選択します。
10. 検証が成功したら、[ 作成] を選択します。

3.ノード プールを作成する

スーパーコンピューターが作成されたら、次の手順に従ってノード プールを作成します。

1. 前の手順で作成したスーパーコンピューターを開きます。
2. 左側のウィンドウで、[設定] の下の [ノード プール] を選択し、[作成] を選択します。
3. ノード プールの名前と場所を入力し、[ 次へ] を選択します。

   Note

   ノード プール名はすべて小文字で、最大 12 文字で始まる必要があり、文字と数字のみを含めることができます。

4. ネットワークタブで、supercomputerNodepoolSubnetで作成した仮想ネットワークとを選択し、「次へ」を選択します。 メモ：手順 2 でスーパーコンピューター用に選択したのと同じ仮想ネットワークを使用します。
5. [ VM 構成 ] タブで、ノード プールに使用する仮想マシン (VM) SKU を選択し、[ 次へ] を選択します。 選択した SKU とクォータは、ノード プールをデプロイするリージョンで使用できる必要があります。
6. [ スケーリング ] セクションで、ノード プールがスケーリングできる最大ノード数 (例: 5) を入力し、[ 次へ] を選択します。
7. [確認と作成]、[作成] の順に選択します。

4. ワークスペースを作成する

ワークスペースは、チームが大規模な科学的イニシアチブを管理するコラボレーション環境です。 ワークスペースは、スーパーコンピューター、エージェント、ツール、ナレッジ ベース (ブックシェル) などのインフラストラクチャ リソースを 1 つのセキュリティで保護された境界にまとめます。 ワークスペースの下にプロジェクトを作成し、研究者が実験を整理し、データを分析し、共有空間内で AI エージェントを使用できるようにします。

Important

ワークスペース名がグローバルに一意であり、小文字のみを使用していることを確認します。

1. Azure portal にサインインする

2. Microsoft探索ワークスペースを検索します。

3. [ + 作成 ] を選択し、サブスクリプション、リソース グループ、名前、リージョンなどの詳細を入力し、[ 次へ] を選択します。

4. ネットワークタブで、この作業のために「パブリックネットワークアクセスを有効にする」を選択してください。 その後、プライベートエンドポイントサブネット、エージェントサブネット、ワークスペースサブネットの詳細を、ステップ 1で作成したサブネットを入力し、「 次へ」を選択します。

5. [ 暗号化 ] タブで、[カスタマー マネージド キー (CMK) を有効にする] をオフのままにします。 この演習では、Microsoft-Managed キー (MMK) を使用し、Next を選択して次のタブに移動します。

6. [ スーパーコンピューター ] タブで、[ スーパーコンピューターの追加 ] を選択し、 手順 2 で作成したサブスクリプション、リソース グループ、およびスーパーコンピューターを選択し、[ 次へ] を選択します。

7. ワークスペースのアイデンティティタブで、ユーザー割り当て管理型アイデンティティ(UAMI)から「追加」を選択し、ステップ1で作成したアイデンティティを選択してワークスペースへのアクセスを提供します。

8. [ タグ ] タブで、必要に応じてタグを追加します。 (省略可能)GitHub Copilotを有効にしてワークスペース アクセスを構成するには、次のタグを追加します。 詳細については、「Microsoft Discovery でGitHub Copilotを使用する」を参照してください。

   • discovery.workbench.enableGhcpAiFeatures trueに設定 — ワークスペースのGitHub Copilot機能と AI 機能を有効にします。
   • discovery.workbench.enableExtensions trueに設定 - プレビュー エクスペリエンスで VS Code 拡張機能 Marketplace を有効にします。
   • NetworkIsolation falseに設定— プレビュー エクスペリエンス (ワークベンチ) とその他のマネージド リソース グループ (MRG) リソースへのパブリック アクセスを有効にします。 ネットワーク分離を有効にしておく場合 (既定)、プライベート ネットワーク経由でアクセスするには、ワークスペースがデプロイされている仮想ネットワークに VPN または ExpressRoute で接続する必要があります。

   Tip

   Discoveryリソースは完全なネットワーク隔離で展開可能です。 networkIsolationが有効になると、すべてのリソースはプライベートネットワーク内でシールドされ、プライベートエンドポイントおよびネットワークセキュリティペリメーター(NSP)を通じてのみアクセス可能となります。 Discovery StudioやREST APIを通じて、パブリックネットワーク経由でワークスペースにアクセスすることは可能です。 プライベートネットワークへのアクセスのみをロックするには、ワークスペースのパブリックネットワークアクセスを無効にし、ワークスペースリソース用のプライベートエンドポイントを作成します。 ガイダンスについては、「Microsoft Discovery workspacesのネットワークセキュリティ設定」をご覧ください。

   Note

   タグは、ワークスペース、スーパーコンピュータ、ノードプール、本棚などのMicrosoft Discoveryリソースタイプで不変です。 リソースが作成された後は、タグの追加、変更、削除はできません。 タグの変更、タグの追加を含め、リソースの再デプロイが必要です。

9. 使用条件を確認し、[ 確認と作成] を選択します。

10. 検証が成功したら、[ 作成] を選択します。 Microsoft Discovery ワークスペースの概要ページのスクリーンショット（作成後）

5. マネージド リソース グループに Foundry ユーザー ロールを割り当てる

ワークスペースが作成されると、マネージド リソース グループがそれと共に自動的にプロビジョニングされます。 ユーザーが高度な設定のために Foundry ポータルでプロジェクト内のエージェントとワークフローを直接変更できるようにするには、このマネージド リソース グループに Foundry ユーザー ロールを割り当てる必要があります。

1. Azure portal にサインインする
2. ステップ4で作成したワークスペースにアクセスし、ワークスペースの概要ページで管理リソースグループ名を探してください。
3. そのマネージド リソース グループに移動します。
4. 左側のメニューで [アクセス制御 (IAM)] を選択します。
5. [追加] を選択し、[ロールの割り当ての追加] を選択します。
6. [ ロールの割り当ての追加 ] ウィンドウで Foundry User を検索して選択し、[ 次へ] を選択します。
7. [ メンバー ] タブで、[ アクセスの割り当て ] が [ユーザー、グループ、またはサービス プリンシパル] に設定されていることを確認します。
8. [ + メンバーの選択] を選択し、エージェントとワークフローを変更する必要があるユーザーを選択してから、[選択] を 選択します。
9. [ 確認と割り当て] を選択し、情報を確認して、[ 確認と割り当て] を選択します。

ワークスペース内のエージェントとワークフローへのアクセスを必要とするすべてのユーザーに対して、このプロセスを繰り返します。 Foundry ポータルで行われた変更は、Discovery エージェントの構成に自動的に反映されます。

6. チャット モデルの展開を作成する

チャットモデル展開は、GPT-5.4のような基礎的な言語モデルをMicrosoft Discovery Workspace内で利用するために提供します。 プロジェクト内で作成されたエージェントは、これらのチャット モデルのデプロイを使用できます。

1. 前の手順で作成Microsoft探索ワークスペースの概要ページに移動します。

2. 左側のナビゲーション ウィンドウの [ 設定] タブで、[ チャット モデルのデプロイ] を選択します。

3. 上部の +作成 オプションを選択してください。

4. 名前をgpt-5-4として入力してください。

5. ドロップダウンで モデルフォーマット を OpenAI 、 モデル名 を gpt-5.4 として選択します。

6. 次に、下部にある [確認と作成 ] ボタンを選択し、[ 作成] を選択します。

   

Important

ディスカバリーエンジンやセッション内のタスクを使用するには、この特定のデプロイメントを名前 gpt-5-4 とモデル名 gpt-5.4で使用する必要があります。 ただし、エージェント用に追加のチャットモデル展開は可能です。

リソース グループ レベルで、Role Based Access Control (RBAC) 経由でユーザーにアクセスを提供できます。 Microsoftディスカバリー管理者 (プレビュー) ロールは、ワークスペース内でプロジェクトを作成するために必要です。

7. Microsoft Discovery Studioへのサインイン

Microsoft Discovery Studio は、セキュリティで保護された AI を利用した研究環境です。 これにより、科学者やエンジニアは、自律的なエージェント、シミュレーション ワークフロー、統合されたデータ ツールを通じて、統合されたインターフェイス内でイノベーションを促進できます。

インフラストラクチャを設定したら、URL を使用して Microsoft Discovery Studio に直接サインインするか、Azure ポータルの [ワークスペースの概要] ページで URL を見つけることができます。

職場または学校のアカウントには、Microsoft Entra IDの認証情報でサインインする必要があります。 StudioはMicrosoft Entra IDによるシングルサインオンをサポートしています。 同じブラウザでMicrosoft Entra IDで別のサービスにサインインしている場合は、認証情報を明示的に提供する必要はありません。

Note

複数のMicrosoft Entra テナントにアクセスできる場合は、ページの右上隅にあるプロファイル アイコンを選択して、適切なテナントを選択します。

8.ストレージ コンテナーを作成する

スタジオにサインインしたら、ストレージ コンテナーを作成して、プロジェクトで使用されるストレージ資産を整理および管理します。

ストレージ コンテナーは、入力データと出力データの両方をストレージ資産として格納します。 入力と出力の両方で、ステップ 1 で作成されたストレージ アカウントによってサポートされる、Azure Storage Blob 型のストレージ コンテナーを使用します。

1. Microsoft Discovery Studio の左側のナビゲーション ウィンドウで、Data タブを選択します。
2. 既定では、ストレージ コンテナー (新規) タブが選択されています。
3. [ コンテナーの作成] を選択します。
4. 名前、サブスクリプション、リソース グループ、場所などの詳細を入力します。
5. 手順 1 で作成したストレージ アカウントを選択します。
6. を選択してを作成します。

Note

[作成] を選択すると、リソースは最初は承認済み状態になります。 ページを更新し、 プロビジョニング状態 が [成功] に変わるまで待ってから続行します。 通常、この操作には数分かかります。

9. プロジェクトを作成する

プロジェクトは、ワークスペース内で科学的調査を整理および管理するのに役立ちます。 各プロジェクトは、エージェント、ツール、およびストレージ コンテナーにアクセスするための機能境界を定義します。 プロジェクト内では、実験の実行、データの分析、AI モデルの適用、共同作業環境での研究の進捗状況の追跡を行うことができます。

Important

プロジェクト名はすべて小文字で、長さは 12 文字以下にする必要があります。 また、プロジェクトを作成する前に、必ず Studio UI を更新してください。

1. Microsoft Discovery Studio の左側のナビゲーション ウィンドウで、Projects を選択します。 これにより、Azure サブスクリプション全体の既存のすべてのプロジェクトが一覧表示されます。

2. [Create Project を選択します。

3. プロジェクト名を入力し、 ステップ4で作成したワークスペースを選択します。

4. この演習では、[ストレージ コンテナーの作成] オプションをオフにします

5. ステップ8で作成した収納コンテナを選択します。

6. を選択してを作成します。 Microsoft Discovery Studio の Project 作成ページを示すスクリーンショット

   <c2><c1><c0><sb0>Microsoft Discovery Studio におけるプロジェクト作成後のプロジェクトリストページを示すスクリーンショット></sb0></c0></c1></c2>

Note

[作成] を選択すると、プロジェクトは最初は承認済み状態になります。 ページを更新し、 プロビジョニング状態 が [成功] に変わるまで待ってから続行します。

Bicep

Bicepを使ってMicrosoft Discoveryの前提インフラを展開してください。 デプロイメントは、ディスカバリーワークスペース、スーパーコンピュータ、プロジェクトを使うために必要な基礎となるAzureリソースを作成します。

Bicep は、宣言型の構文を使用して Azure リソースをデプロイするドメイン固有言語 (DSL) です。 簡潔な構文、信頼性の高いタイプ セーフ、およびコードの再利用のサポートが提供されます。 Bicep は、Azure のコードとしてのインフラストラクチャ ソリューションに最適な作成エクスペリエンスを提供します。

Bicep ファイルを確認する

このクイック スタートでは、 Azure クイック スタート テンプレートの Bicep ファイルを使用します。

このクイック スタートでは、Sweden Central に完全なMicrosoft探索スタックをデプロイします。 このデプロイでは、 10.0.0.0/16 アドレス空間と、スーパーコンピューター ノード プール、AKS、ワークスペース、プライベート エンドポイント、エージェント用の 5 つのサブネットを持つ仮想ネットワークが作成されます。 デプロイメントでは、Discovery StudioとVS Code向けにCORSルールを有効にした Standard_LRS ストレージアカウントがプロビジョニングされます。 Storage Blob Data Contributor、Discovery Platform Contributor、AcrPull のロール割り当てを持つユーザー割り当てのマネージド ID を作成します。 Discovery のコア リソースには、Standard_D4s_v6 ノード プール（0 から 3 ノードまでスケーリング可能）を備えたスーパーコンピューター、チャット モデルのデプロイを含むワークスペース、ストレージ コンテナー、およびプロジェクトが含まれます。

Note

統合されたWorkbench(プレビュー)を有効にしてください。 GitHub CopilotやAI機能を含む統合されたWorkbenchはプレビュー段階です。 有効化するには、タグ discovery.workbench.enableGhcpAiFeatures: true と discovery.workbench.enableExtensions: trueを付けたワークスペースをデプロイしてください。 Workbenchへのアクセス方法は、ワークスペースの networkIsolation 設定によって異なります:

• networkIsolationをfalseに設定すると、Workbenchはそのまま動作します。
• networkIsolationがtrueに設定されている場合、ワークスペースが展開されている仮想ネットワークへのVPN(またはExpressRoute)接続を確立する必要があります。

詳細については、「Microsoft DiscoveryでGitHub Copilotを使う」をご覧ください。

Note

タグは、ワークスペース、スーパーコンピュータ、ノードプール、本棚などのMicrosoft Discoveryリソースタイプで不変です。 リソースが作成された後は、タグの追加、変更、削除はできません。 デプロイ前にテンプレート内の必要なタグをすべて定義し、タグの変更、タグの追加を含め、リソースの再デプロイが必要です。

@description('Azure region for all resources. Must be a Discovery-supported region.')
@allowed([
  'eastus'
  'swedencentral'
  'uksouth'
])
param location string = 'swedencentral'

@description('Name of the Microsoft Discovery Supercomputer. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param supercomputerName string = 'sc-${uniqueString(resourceGroup().id)}'

@description('Name of the Node Pool created under the Supercomputer. Must be 1-12 lowercase alphanumeric characters, starting with a letter.')
@minLength(1)
@maxLength(12)
param nodePoolName string = 'nodepool1'

@description('Name of the Microsoft Discovery Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param workspaceName string = 'ws-${uniqueString(resourceGroup().id)}'

@description('Name of the Chat Model Deployment created under the Workspace.')
@minLength(3)
@maxLength(24)
param chatModelDeploymentName string = 'gpt-5-4'

@description('Name of the Microsoft Discovery Storage Container resource. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param storageContainerName string = 'stc-${uniqueString(resourceGroup().id)}'

@description('Name of the Project created under the Workspace. Must be 3-24 characters, alphanumeric and hyphens only.')
@minLength(3)
@maxLength(24)
param projectName string = 'prj-${uniqueString(resourceGroup().id)}'

@description('Name of the Virtual Network. Must be 2-64 characters: letters, numbers, underscores, periods, or hyphens; must start with a letter or number and end with a letter, number, or underscore.')
@minLength(2)
@maxLength(64)
param vnetName string = 'discovery-vnet'

@description('Name of the User-Assigned Managed Identity.')
param managedIdentityName string = 'uami-${uniqueString(resourceGroup().id)}'

@description('Globally unique name of the Azure Storage Account (3-24 lowercase alphanumeric characters).')
@minLength(3)
@maxLength(24)
param storageAccountName string = 'stg${uniqueString(resourceGroup().id)}'

@description('Name of the blob container inside the Storage Account used for Discovery outputs.')
param blobContainerName string = 'discoveryoutputs'

@description('Replication SKU for the Storage Account. Zone/geo-redundant options are recommended over locally-redundant storage for resiliency.')
@allowed([
  'Standard_ZRS'
  'Standard_GRS'
  'Standard_GZRS'
  'Standard_RAGRS'
  'Standard_RAGZRS'
])
param storageAccountSku string = 'Standard_GRS'

@description('Address space for the Virtual Network.')
param vnetAddressPrefix string = '10.0.0.0/16'

@description('Address prefix for the Supercomputer Node Pool subnet.')
param supercomputerNodepoolSubnetPrefix string = '10.0.1.0/24'

@description('Address prefix for the AKS system subnet used by the Supercomputer.')
param aksSubnetPrefix string = '10.0.2.0/24'

@description('Address prefix for the Workspace subnet (delegated to Microsoft.App/environments).')
param workspaceSubnetPrefix string = '10.0.3.0/24'

@description('Address prefix for the Private Endpoint subnet.')
param privateEndpointSubnetPrefix string = '10.0.4.0/24'

@description('Address prefix for the Agent subnet.')
param agentSubnetPrefix string = '10.0.5.0/24'

@description('Address prefix for Search Subnet.')
param searchSubnetPrefix string = '10.0.6.0/24'

@description('VM SKU for the Node Pool.')
param nodePoolVmSize string = 'Standard_D4s_v6'

@description('Maximum number of nodes in the Node Pool.')
@minValue(1)
param nodePoolMaxNodeCount int = 3

@description('Minimum number of nodes in the Node Pool (0 allows scale-to-zero).')
@minValue(0)
param nodePoolMinNodeCount int = 0

@description('Scale set priority for the Node Pool.')
@allowed([
  'Regular'
  'Spot'
])
param nodePoolScaleSetPriority string = 'Regular'

@description('Chat model format.')
param chatModelFormat string = 'OpenAI'

@description('Chat model name to deploy.')
param chatModelName string = 'gpt-5.4'

@description('Enable GitHub Copilot and AI features in the Discovery workspace via the discovery.workbench.enableGhcpAiFeatures tag.')
param enableGhcpAiFeatures bool = true

@description('Enable the VS Code Extension Marketplace in the Discovery workspace via the discovery.workbench.enableExtensions tag.')
param enableExtensions bool = true

@description('Workspace network isolation mode via the NetworkIsolation tag. Set to false to enable public preview access as documented in the Infrastructure portal quickstart.')
param networkIsolation bool = true

// Built-in role definition IDs
var storageBlobDataContributorRoleId = 'ba92f5b4-2d11-453d-a403-e96b0029c9fe'
var discoveryPlatformContributorRoleId = '01288891-85ee-45a7-b367-9db3b752fc65'
var acrPullRoleId = '7f951dda-4ed3-4680-a7ca-43fe172d538d'

resource vnet 'Microsoft.Network/virtualNetworks@2024-05-01' = {
  name: vnetName
  location: location
  properties: {
    addressSpace: {
      addressPrefixes: [
        vnetAddressPrefix
      ]
    }
    subnets: [
      {
        name: 'supercomputerNodepoolSubnet'
        properties: {
          addressPrefix: supercomputerNodepoolSubnetPrefix
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'aksSubnet'
        properties: {
          addressPrefix: aksSubnetPrefix
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'workspaceSubnet'
        properties: {
          addressPrefix: workspaceSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'privateEndpointSubnet'
        properties: {
          addressPrefix: privateEndpointSubnetPrefix
        }
      }
      {
        name: 'agentSubnet'
        properties: {
          addressPrefix: agentSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
      {
        name: 'searchSubnet'
        properties: {
          addressPrefix: searchSubnetPrefix
          delegations: [
            {
              name: 'Microsoft.App.environments'
              properties: {
                serviceName: 'Microsoft.App/environments'
              }
            }
          ]
          serviceEndpoints: [
            {
              service: 'Microsoft.Storage'
            }
          ]
        }
      }
    ]
  }
}

resource managedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2024-11-30' = {
  name: managedIdentityName
  location: location
  properties: {
    isolationScope: 'Regional'
  }
}

resource storageAccount 'Microsoft.Storage/storageAccounts@2023-05-01' = {
  name: storageAccountName
  location: location
  kind: 'StorageV2'
  sku: {
    name: storageAccountSku
  }
  dependsOn: [
    vnet
  ]
  properties: {
    accessTier: 'Hot'
    allowBlobPublicAccess: false
    allowSharedKeyAccess: false
    minimumTlsVersion: 'TLS1_2'
    supportsHttpsTrafficOnly: true
    // NOTE: defaultAction is intentionally 'Allow'. 
    networkAcls: {
      defaultAction: 'Allow'
      bypass: 'AzureServices'
      virtualNetworkRules: [
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
          action: 'Allow'
        }
        {
          id: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'searchSubnet')
          action: 'Allow'
        }
      ]
    }
  }
}

resource blobServices 'Microsoft.Storage/storageAccounts/blobServices@2023-05-01' = {
  parent: storageAccount
  name: 'default'
  properties: {
    cors: {
      corsRules: [
        {
          allowedOrigins: [
            'https://studio.discovery.microsoft.com'
            'https://*.vscode-cdn.net'
            'https://vscode.dev'
          ]
          allowedMethods: [
            'GET'
            'HEAD'
            'DELETE'
            'PUT'
          ]
          allowedHeaders: [
            '*'
          ]
          exposedHeaders: [
            '*'
          ]
          maxAgeInSeconds: 200
        }
      ]
    }
  }
}

resource blobContainer 'Microsoft.Storage/storageAccounts/blobServices/containers@2023-05-01' = {
  parent: blobServices
  name: blobContainerName
  properties: {
    publicAccess: 'None'
  }
}

resource storageBlobDataContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(storageAccount.id, managedIdentity.id, storageBlobDataContributorRoleId)
  scope: storageAccount
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', storageBlobDataContributorRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource discoveryPlatformContributorAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, discoveryPlatformContributorRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId(
      'Microsoft.Authorization/roleDefinitions',
      discoveryPlatformContributorRoleId
    )
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource acrPullAssignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(resourceGroup().id, managedIdentity.id, acrPullRoleId)
  properties: {
    roleDefinitionId: subscriptionResourceId('Microsoft.Authorization/roleDefinitions', acrPullRoleId)
    principalId: managedIdentity.properties.principalId
    principalType: 'ServicePrincipal'
  }
}

resource supercomputer 'Microsoft.Discovery/supercomputers@2026-06-01' = {
  name: supercomputerName
  location: location
  tags: {
    version: 'v2'
  }
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'aksSubnet')
    identities: {
      clusterIdentity: {
        id: managedIdentity.id
      }
      kubeletIdentity: {
        id: managedIdentity.id
      }
      workloadIdentities: {
        '${managedIdentity.id}': {}
      }
    }
  }
}

resource nodePool 'Microsoft.Discovery/supercomputers/nodePools@2026-06-01' = {
  parent: supercomputer
  name: nodePoolName
  location: location
  dependsOn: [
    vnet
  ]
  properties: {
    subnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'supercomputerNodepoolSubnet')
    vmSize: nodePoolVmSize
    maxNodeCount: nodePoolMaxNodeCount
    minNodeCount: nodePoolMinNodeCount
    scaleSetPriority: nodePoolScaleSetPriority
  }
}

resource workspace 'Microsoft.Discovery/workspaces@2026-06-01' = {
  name: workspaceName
  location: location
  tags: {
    version: 'v2'
    'discovery.workbench.enableGhcpAiFeatures': string(enableGhcpAiFeatures)
    'discovery.workbench.enableExtensions': string(enableExtensions)
    NetworkIsolation: string(networkIsolation)
  }
  dependsOn: [
    vnet
  ]
  properties: {
    workspaceIdentity: {
      id: managedIdentity.id
    }
    supercomputerIds: [
      supercomputer.id
    ]
    agentSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'agentSubnet')
    privateEndpointSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'privateEndpointSubnet')
    workspaceSubnetId: resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, 'workspaceSubnet')
  }
}

resource chatModelDeployment 'Microsoft.Discovery/workspaces/chatModelDeployments@2026-06-01' = {
  parent: workspace
  name: chatModelDeploymentName
  location: location
  properties: {
    modelFormat: chatModelFormat
    modelName: chatModelName
  }
}

resource discoveryStorageContainer 'Microsoft.Discovery/storageContainers@2026-06-01' = {
  name: storageContainerName
  location: location
  properties: {
    storageStore: {
      kind: 'AzureStorageBlob'
      storageAccountId: storageAccount.id
    }
  }
}

resource project 'Microsoft.Discovery/workspaces/projects@2026-06-01' = {
  parent: workspace
  name: projectName
  location: location
  dependsOn: [
    chatModelDeployment
  ]
  properties: {
    storageContainerIds: [
      discoveryStorageContainer.id
    ]
  }
}

@description('Resource ID of the Supercomputer.')
output supercomputerId string = supercomputer.id

@description('Resource ID of the Node Pool.')
output nodePoolId string = nodePool.id

@description('Resource ID of the Workspace.')
output workspaceId string = workspace.id

@description('Resource ID of the Chat Model Deployment.')
output chatModelDeploymentId string = chatModelDeployment.id

@description('Resource ID of the Discovery Storage Container.')
output storageContainerId string = discoveryStorageContainer.id

@description('Resource ID of the Project.')
output projectId string = project.id

@description('Resource ID of the User-Assigned Managed Identity.')
output managedIdentityId string = managedIdentity.id

@description('Resource ID of the Storage Account.')
output storageAccountId string = storageAccount.id

@description('Resource ID of the Virtual Network.')
output vnetId string = vnet.id

この Bicep ファイルには、複数の Azure リソースが定義されています。

• Microsoft。Network/virtualNetworks - スーパーコンピューター ノード プール、AKS、ワークスペース、プライベート エンドポイント、およびエージェント ワークロード用の 5 つのサブネットを持つ仮想ネットワーク。
• Microsoft。ManagedIdentity/userAssignedIdentities - スーパーコンピューターとワークスペース認証用のユーザー割り当てマネージド ID。
• Microsoft.Storage/storageAccounts - Azure Blob Storage アカウントで、Discovery Studio と VS Code の統合に対応する CORS ルールを持っています。
• Microsoft.Authorization/roleAssignments - マネージド ID のストレージ Blob データ共同寄稿者、探索プラットフォーム共同寄稿者、および AcrPull ロールの割り当て。
• Microsoft.Discovery/スーパーコンピューター - クラスター、kubelet、ワークロード ID を持つスーパーコンピューター リソース。
• Microsoft。Discovery/supercomputers/nodePools - VM サイズ、最小/最大ノード数、スケール セットの優先順位を持つ構成可能なノード プール。
• Microsoft。検出/ワークスペース - エージェント、プライベート エンドポイント、ワークスペース サブネットを含むスーパーコンピューターにリンクされたワークスペース。
• Microsoft。Discovery/workspaces/chatModelDeployments - ワークスペースでのチャット モデルのデプロイ。
• Microsoft。Discovery/storageContainers - Azure Blob Storage アカウントによってサポートされるストレージ コンテナー。
• Microsoft.Discovery/ワークスペース/プロジェクト - ストレージコンテナーにリンクされたプロジェクト。

Bicep ファイルをデプロイする

1. Bicep ファイルを main.bicep としてローカル コンピューターに保存します。

2. <prescribedSCName>や<presecribedWSName>のプレースホルダーを使いたいスーパーコンピュータ名やワークスペース名に置き換えてください。 location以外の地域に展開する場合はswedencentralパラメータを更新してください。

3. Azure CLI または Azure PowerShell を使用して Bicep ファイルをデプロイします。

   Azure CLI

   az group create --name exampleRG --location swedencentral
   az deployment group create --resource-group exampleRG --template-file main.bicep --parameters location=swedencentral supercomputerName=<prescribedSCName> workspaceName=<presecribedWSName>
   

   Azure PowerShell

   New-AzResourceGroup -Name exampleRG -Location swedencentral
   New-AzResourceGroupDeployment -ResourceGroupName exampleRG -TemplateFile ./main.bicep -location swedencentral -supercomputerName <prescribedSCName> -workspaceName <presecribedWSName>
   

デプロイが完了すると、デプロイが成功したことを示すメッセージが表示されます。

デプロイメントを検証する

Azure portal、Azure CLI、または Azure PowerShell を使用して、リソースグループ内のデプロイ済みリソースをリスト表示します。

Azure CLI

az resource list --resource-group exampleRG

Azure PowerShell

Get-AzResource -ResourceGroupName exampleRG

リソースをクリーンアップする

リソースが不要になったら、Azureポータル、Azure CLI、またはAzure PowerShellを使ってリソースグループのすべてのリソースを削除してください。

Azure CLI

az group delete --name exampleRG

Azure PowerShell

Remove-AzResourceGroup -Name exampleRG

次のステップ

インフラを構築しプロジェクトを作成したら、次のステップを進めてください:

• Microsoft Discovery Studio でエージェントと共有セッションを開始します