Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Gebruik een virtueel netwerk (VNet) om evaluatieverkeer in Microsoft Foundry te isoleren. Dit artikel helpt u bij het kiezen van de juiste richtlijnen voor het instellen van netwerken, het configureren van evaluatiespecifieke vereisten en het oplossen van veelvoorkomende netwerkgerelateerde evaluatiefouten.
Prerequisites
- Een Foundry-project in een regio die ondersteuning biedt voor VNet-evaluatie.
- Machtigingen voor het configureren van netwerkisolatie en het toewijzen van Azure RBAC-rollen (op rollen gebaseerd toegangsbeheer).
- Een VNet en een subnet die u kunt delegeren voor netwerkinjectie, of toestemming om deze te implementeren met behulp van de installatiesjabloon voor uitsluitend evaluatie.
Richtlijnen voor netwerkinstellingen kiezen
Gebruik de volgende tabel om de netwerkrichtlijnen voor uw scenario te vinden. Ga terug naar dit artikel voor vereisten en probleemoplossing die specifiek zijn voor evaluatie.
| Goal | Guidance |
|---|---|
| Informatie over opties voor netwerkisolatie en het configureren van privé-eindpunten, DNS, acceptatielijsten voor firewalls en openbare netwerktoegang. | Netwerkisolatie configureren voor Microsoft Foundry |
| Gebruik de Microsoft beheerde VNet-oplossing voor uitgaande netwerkisolatie. | Een beheerd VNet configureren voor Foundry-projecten |
| Verbind een beheerd VNet met on-premises- of niet-Azure-resources. | Toegang tot on-premises resources vanuit een beheerd foundry-netwerk |
| Configureer een volledige privénetwerkinstallatie met Foundry Agent Service. | Privénetwerken instellen voor Foundry Agent Service |
| Inzicht in de netwerkarchitectuur van agentservice, verkeersstroom, subnetgrootte en IP-toewijzing. | Uitgebreide informatie over het netwerk van Foundry Agent Service |
| Gebruik een coderingsagent om Foundry-resources en -netwerken te plannen en te configureren. | Gebruik de Microsoft Foundry Skill in het coderen van agents |
Vereisten voor evaluatienetwerk configureren
Ondersteuning voor virtuele netwerken voor evaluatie vereist netwerkinjectie via subnetdelegering. Als u alleen evaluatiemogelijkheden nodig hebt en geen volledige agentondersteuning nodig hebt, zoals Azure Cosmos DB, Azure AI Zoeken of een projectondersteuningshost, gebruikt u de vereenvoudigde sjabloon voor het instellen van alleen evaluatie (15a). Met de sjabloon wordt een minimaal netwerkbeveiligingsomgeving geïmplementeerd voor evaluatiescenario's.
Important
Wijs tijdens de initiële projectconfiguratie de rol Foundry User toe aan de beheerde identiteit van het project op resourcebereikniveau van de Foundry-resource om mislukkingen van evaluatie- en red-teaming-uitvoeringen te voorkomen.
Important
De rollen Foundry RBAC zijn onlangs hernoemd. Foundry User, Foundry Owner, Foundry Account Owner en Foundry Project Manager zijn eerder benoemd Azure AI-gebruiker, Azure AI-eigenaar Azure AI-accounteigenaar en Azure AI Project Manager. Het kan zijn dat u op sommige plekken nog steeds de vorige namen ziet terwijl de naamswijziging wordt doorgevoerd. De rol-id's en basismachtigingen worden niet gewijzigd door de naamswijziging.
Als u Application Insights verbindt, worden er evaluatiegegevens naar verzonden.
Ondersteuning voor regio's voor virtuele netwerken
U kunt uw eigen VNet gebruiken voor evaluatie in de volgende regio's:
| Americas | Europa | Asia Pacific | Midden-Oosten en Afrika |
|---|---|---|---|
| Brazilië Zuid | Frankrijk - centraal | Oost-Australië | Zuid-Afrika - noord |
| Canada Central | Duitsland West Centraal | Japan East | VAE Noord |
| Canada East | Italië - noord | Centraal-Korea | |
| East US | Noorwegen - oost | South India | |
| Oostelijke Verenigde Staten 2 | Centraal Polen | Zuidoost-Azië | |
| Noord-Centraal VS | Spain Central | ||
| Zuid-Centraal Verenigde Staten | Zweden - centraal | ||
| West US | Zwitserland - noord | ||
| Westelijke Verenigde Staten 2 | Verenigd Koninkrijk Zuid | ||
| Westelijke VS 3 | West-Europa |
Ondersteuning voor virtuele netwerken configureren voor het genereren van gegevens
Synthetische gegevensgeneratie en trace-naar-gegevenssetgeneratie maken gebruik van dezelfde netwerkinjectie via subnetdelegatie als bij evaluatie. Gebruik de installatiesjabloon voor alleen evaluatie (15a) om de vereiste door het netwerk beveiligde omgeving te implementeren.
Zie Beschikbare regio's voor gegevensgeneratie.
Evaluatiefouten van virtuele netwerken oplossen
De configuratie van uw virtuele netwerk vaststellen
Voer de diagnostische installatie van het VNet-project uit vanaf een computer met privéconnectiviteit met uw virtuele netwerk. Het script inspecteert een bestaande Foundry-projectconfiguratie en de bijbehorende netwerkverbinding zonder een evaluatie uit te voeren of Azure resources te wijzigen.
Volg de gebruikshandleiding om de vereisten voor te bereiden, de juiste diagnostische controles uit te voeren en het gegenereerde diagnostics.md rapport te controleren. Het rapport biedt bruikbare bevindingen, ondersteunende bewijzen, bekende beperkingen en herstelrichtlijnen om u te helpen bij het oplossen van configuratieproblemen.
Evaluatieuitvoering wordt uitgevoerd totdat er een time-out optreedt
Een evaluatierun kan In uitvoering blijven omdat de configuratie voor netwerkisolatie onvolledig is, vereiste privé-eindpunten niet zijn geconfigureerd terwijl toegang via het openbare netwerk is uitgeschakeld, of de beheerde identiteit van het project niet over de machtigingen beschikt om de runstatus bij te werken.
Hoe u het probleem op kunt lossen:
- Controleer of netwerkinjectie en subnetdelegering zijn geconfigureerd zoals beschreven in Netwerkisolatie configureren voor Microsoft Foundry. Als u alleen evaluatiemogelijkheden nodig hebt, vergelijkt u uw implementatie met de installatiesjabloon voor alleen evaluatie (15a).
- Als openbare netwerktoegang is uitgeschakeld, controleer dan of de vereiste privé-eindpunten zijn geconfigureerd en goedgekeurd, en of privé-DNS de resource-eindpunten omzet vanuit het netwerk dat in het Foundry-project is geïnjecteerd.
- Zorg ervoor dat voor het Foundry-project de capability host is geconfigureerd. We hebben de mogelijkheid nodig om te hosten, zowel op Foundry-accountniveau als op projectniveau. Als u de capability-host op Foundry-projectniveau nog niet hebt ingesteld, gebruikt u de bicep-template add-project-capability-host om dit in te stellen.
- Controleer of de beheerde identiteit van het project de rol Foundry User heeft binnen het resourcebereik van Foundry.
- Voer voor een grote gegevensset een evaluatie uit op basis van een kleinere representatieve subset. Als de kleinere uitvoering is voltooid, verkleint u de grootte van de gegevensset of splitst u de gegevensset over meerdere evaluatieuitvoeringen.
De evaluatieuitvoering kan niet worden gestart met een 403-fout
De fout geeft aan dat netwerktoegang is uitgeschakeld, openbare netwerktoegang is uitgeschakeld, maar de evaluatieservice kan een of meer vereiste resources niet bereiken via het VNet.
Error: Public access is disabled. Please configure private endpoint.
Hoe u het probleem op kunt lossen:
- Zoek de hostnaam van de resource in de details van de fout of in de evaluatiediagnostiek.
- Controleer of netwerkinjectie en subnetdelegering zijn geconfigureerd voor evaluatie.
- Controleer of het privé-eindpunt voor de betreffende resource is geconfigureerd en goedgekeurd.
- Controleer of de hostnaam wordt omgezet door privé-DNS en of netwerkregels toegang toestaan vanuit het VNet.
- Voer de evaluatieuitvoering opnieuw uit nadat de wijzigingen in de netwerkconfiguratie van kracht zijn.
Voor andere 403 fouten controleert u de RBAC-toewijzingen voor de gebruiker die de uitvoering start en voor de beheerde identiteit van het project. Zie Problemen met evaluatie en waarneembaarheid oplossen voor meer evaluatiespecifieke problemen.
Aangepaste DNS lost private eindpunten niet op
Als u een aangepaste DNS-server definieert voor een virtueel netwerk, voert het systeem niet automatisch een query uit op privé-DNS-zones die aan dat virtuele netwerk zijn gekoppeld. De aangepaste DNS-instellingen overschrijven de volgorde van de naamomzetting.
Als u aangepaste DNS wilt inschakelen om de privézone om te zetten, gebruikt u een Azure DNS Private Resolver in een virtueel netwerk dat is gekoppeld aan de privézone. Zie Gecentraliseerde DNS-architectuur voor configuratierichtlijnen.
Als uw aangepaste DNS-server wordt uitgevoerd op een Azure virtuele machine, configureert u een voorwaardelijke doorstuurserver voor de privézone. Stel de bestemming van de doorstuurserver in op het Azure DNS IP-adres, 168.63.129.16.