Azure SRE Agent-netwerkintegratie

Virtuele netwerkintegratie (VNet) bepaalt waar de SRE-agent uitgaand verkeer naartoe kan sturen. Zonder deze telefoon verlopen uitgaande gesprekken via het openbare internet. Hiermee gaat het verkeer via je Azure Virtual Network. Deze netwerkintegratie geeft je dezelfde netwerkniveau-controles die je gebruikt voor andere Azure-workloads: integratie met firewalls, communicatie met resources achter privé-endpoints en zichtbaarheid in je netwerklogs.

Modi voor netwerkbeheer

SRE Agent biedt drie netwerkbesturingsmodi. Selecteer de modus die overeenkomt met uw beveiligingspostuur en operationele context.

Mode	Beschrijving	Ideaal voor
Onbeperkt	Geen netwerkbeperkingen. De agent kan elk interneteindpunt bereiken.	Ontwikkelings-, test- en niet-gevoelige workloads.
Beperkt	Op jokertekens gebaseerde URL staat lijstbesturingselementen toe welke eindpunten de agent kan aanroepen.	Beheer op hostniveau zonder volledige VNet-routering.
Azure VNet	Al het uitgaande niet-platformverkeer wordt via uw VNet geleid, waarop uw DNS- en firewallregels van toepassing zijn.	Productie-implementaties waarvoor controle op uitgaand verkeer en naleving van auditvereisten vereist zijn.

Een netwerkbeheermodus voor uw workload kiezen

Gebruik de volgende criteria om een modus te selecteren:

Azure VNet: kies deze modus als de werkbelasting gevoelige of gereglementeerde gegevens verwerkt, een volledig audittrail van uitgaande netwerkactiviteit vereist of moet voldoen aan het beveiligingsbeleid voor ondernemingen. Deze modus wordt aanbevolen voor bedrijfsimplementaties voor productie.
Beperkt: Kies deze modus als u specifieke externe bestemmingen wilt beperken zonder al het verkeer via een virtueel netwerk te routeren. Deze modus werkt goed wanneer u gedeeltelijke controle nodig hebt zonder de overhead van de volledige configuratie van het virtuele netwerk.
Onbeperkt: kies deze modus als de workload een ontwikkel- of testomgeving op korte termijn is zonder toegang tot gevoelige gegevens. Deze modus is de standaardinstelling.

Als u een modus wilt selecteren, opent u uw agent in de Azure-portal en selecteert u De configuratie van de werkruimte-instellingen>. Schakelen tussen modi op een actieve agent. Instellingen blijven behouden bij moduswijzigingen.

Hoe Azure VNet-modus werkt

In Azure VNet-modus neemt uitgaand verkeer een van de volgende twee paden:

Uw VNet. Standaard wordt al het uitgaande verkeer buiten het platform via een gedelegeerd subnet in uw virtuele netwerk verzonden. Uw NSG-regels, firewallbeleid, aangepaste DNS- en netwerklogboeken zijn allemaal van toepassing. De agent is onderworpen aan dezelfde besturingselementen als elke andere workload in dat subnet. Het kan bereiken wat het subnet kan bereiken en niets meer.

De agent kan resources achter privé-eindpunten, interne services en on-premises systemen bereiken die zijn verbonden via ExpressRoute of VPN, zolang uw netwerkroutes en regels dit toestaan.

Azure SRE-agent-infranetwerk. Platformdiensten waar de agent van afhankelijk is (orkestratie, modelendpoints, telemetrie) lopen altijd via de door Microsoft beheerde infrastructuur. Deze services kunnen niet worden geconfigureerd. Voor sommige agentmogelijkheden, zoals pakketinstallatie, toegang tot codeopslagplaats en externe MCP-servers, moeten openbare services worden bereikt. Als u deze mogelijkheden wilt gebruiken in Azure VNet-modus, schakelt u de bijbehorende wisselknop in. Als een wisselknop is uitgeschakeld, is die mogelijkheid niet beschikbaar, tenzij uw VNet rechtstreeks naar deze services kan worden gerouteerd (bijvoorbeeld via firewallregels op basis van FQDN). Zie Azure infrastructuurnetwerk van de SRE-agent voor meer informatie.

Samenvatting van verkeersroutering

Verkeerstype	Path	Configureerbare?
Uw Azure-infrastructuur (Log Analytics, App Insights, AKS, databases, Key Vaults)	Uw VNet	Ja. Wordt standaard via uw VNet gerouteerd.
On-premises systemen (ExpressRoute/VPN)	Uw VNet	Ja. Toegankelijk als uw netwerkroutes dit toestaan.
Platformservices (indeling, modeleindpunten, telemetrie)	Azure SRE-agent-infrastructuurnetwerk	No. Altijd gerouteerd via beheerde infrastructuur.
Pakketregisters (PyPI, npm, NuGet, apt)	Infrastructuurnetwerk van SRE-agent (in-/uitschakelen) of uw VNet (FQDN-regel)	Ja. Schakeloptie per register of vooraf geïnstalleerde pakketten
Codeopslagplaatsen (GitHub, GHE, Azure DevOps)	Infrastructuurnetwerk van SRE-agent (in-/uitschakelen) of uw VNet (FQDN-regel)	Ja. Wisselknop per provider
Externe MCP-servers	Infrastructuurnetwerk van SRE-agent (in-/uitschakelen) of uw VNet (FQDN-regel)	Ja. Eén wisselknop
Aanvullende hostnamen	Infranetwerk van de SRE-agent (voor hosts in de lijst)	Ja. Aangepaste lijst
Connectorverkeer	Openbaar internet	No. Niet via VNet geleid.
Binnenkomend (privé-eindpunt)	Niet ondersteund	No. Alleen uitgang.

Azure VNet-modus configureren

Subnetvereisten

Azure VNet-modus vereist een toegewezen subnet in uw virtuele netwerk:

Grootte: /27 of groter.
Delegatie: Het subnet moet worden gedelegeerd aan Microsoft.App/environments.
Regio: Het subnet moet zich in dezelfde regio bevinden als uw SRE-agentresource.
Toegewezen: Het subnet kan niet worden gedeeld met andere services.

Azure VNet-modus instellen

Ga naar Instellingen>Werkruimteconfiguratie>Netwerk.
Selecteer Azure VNet als modus voor uitgaand verkeer.
Selecteer Subnetten doorzoeken.
Selecteer uw abonnement, resourcegroep, virtueel netwerk en subnet dat voldoet aan de vereisten voor het subnet.
Selecteer Opslaan.
Test de agent met een representatief incident om te bevestigen dat deze de resources kan bereiken die nodig zijn.

Azure SRE-agent-infrastructuurnetwerk

Sommige agentmogelijkheden zijn afhankelijk van openbare services die moeilijk zijn om lijst per IP-adres toe te staan. In de Azure VNet-modus vereisen deze mogelijkheden ofwel een schakelaar voor het infranetwerk (waarbij die categorie via het infrastructuurnetwerk van de Azure SRE-agent wordt gerouteerd) of FQDN-gebaseerde firewallregels in uw VNet die het verkeer rechtstreeks toestaan. Zie het overzicht van verkeersroutering voor de volledige lijst met categorieën en paden.

Als u een wisselknop uitschakelt en uw VNet de service niet kan bereiken, is die mogelijkheid niet beschikbaar.

Opmerking

U kunt een Azure Policy toepassen om de wisselknop voor het infranetwerk te beperken of uit te schakelen, zodat geen enkele operator verkeer buiten het VNet kan routeren.

Vooraf geïnstalleerde pakketten

Installeer pakketten vooraf in de installatiekopieën van de basisschijf in de sandbox, zodat deze beschikbaar zijn telkens wanneer de agent wordt uitgevoerd. Deze functie is handig wanneer uw hulpprogramma's of scripts afhankelijk zijn van specifieke pakketten die niet zijn opgenomen in de standaard sandbox-omgeving.

Vooraf geïnstalleerde pakketten configureren:

Open uw agent in de Azure-portal en selecteer Settings>Werkruimteconfiguratie.
Selecteer het tabblad Pakketten .
Voer de pakketnaam in, selecteer het pakketbeheer (pip of NuGet) en geef eventueel een versie op.
Selecteer + Pakket toevoegen.

Opmerking

NuGet-vermeldingen moeten .NET CLI-hulpprogramma's zijn (bijvoorbeeld dotnet-ef). U kunt bibliotheekpakketten niet globaal installeren.

Instellingen voor omzeiling van virtuele netwerken

Wanneer u Azure VNet-modus inschakelt, kunt u met de sectie On the infra network van de werkruimteconfiguratiepagina categorieën verkeer buiten uw VNet routeren via het openbare internet. Als u geen van deze besturingselementen inschakelt, wordt al het verkeer van de agent via uw VNet gerouteerd.

Niet elke externe service biedt een Azure servicetag. GitHub is bijvoorbeeld geen Azure-service en wordt er geen servicetag weergegeven. Als uw agent GitHub moet bereiken, is het onderhouden van een lijst met IP-adressen van de provider de enige optie met een laag 4-gebaseerde firewall. Die lijsten veranderen regelmatig, en een firewall die niet bijgewerkt blijft, zorgt ervoor dat de agent niet meer werkt.

Hetzelfde geldt voor verschillende belangrijke openbare services, zoals PyPI, npm, NuGet en containerregisters. Deze services werken van grote, vaak veranderende globale IP-bereiken en vallen niet onder Azure servicetags.

Met de bypass-schakelaars kan de agent deze hosts bereiken via de uitgaande verbinding van het platform. Uw netwerkteam werkt firewallregels bij of wordt verplaatst naar een firewall die ondersteuning biedt voor het filteren van hostnamen of FQDN-filters (Fully Qualified Domain Name). Voorbeelden zijn Azure Firewall Premium met FQDN-regels of een virtueel netwerkapparaat dat transportlaagbeveiligingsinspectie ondersteunt.

Beschouw de bypassopties als een tijdelijk hulpmiddel, niet als een permanente vervanging voor uitgaande filtering op basis van hostnamen.

De volgende besturingselementen zijn beschikbaar:

Beheersing	Beschrijving
Toegang tot de MCP-server	Wanneer deze functie is ingeschakeld, routeert MCP-serververkeer via het openbare internet in plaats van uw virtuele netwerk.
Toegang tot Package Manager	Wanneer dit is ingeschakeld, routeert Package Manager-verkeer (PyPI, npm, NuGet) via het openbare internet in plaats van uw virtuele netwerk.
Codeopslagplaatsen	Selecteer welke leveranciers van coderepositories (GitHub, GitHub Enterprise, Azure DevOps) via het openbare internet worden gerouteerd in plaats van via uw virtuele netwerk.
Aanvullende hosts	Voer extra hostnamen of jokertekenpatronen (bijvoorbeeld `github.com`, `*.example.com`) `raw.contoso.io`in om via het openbare internet te routeren in plaats van uw virtuele netwerk. Uw geconfigureerde pakketten staan automatisch hun eigen hosts toe.

Overwegingen voor bestuur

Toegang tot deze besturingselementen is gericht op gebruikers met de rol SRE-agentbeheerder. Het creëren van een SRE-agent in een bedrijfsomgeving is op zichzelf al een belangrijke handeling in het kader van governance, omdat organisaties doorgaans uitgebreide goedkeuring vereisen om services in productie te brengen. De bypassopties zijn een aspect van het bredere verhaal rond enterprise governance, dat beheerde identiteiten, on-behalf-of (OBO)-referenties en RBAC-machtigingen omvat. De agent kan alleen doen wat de machtigingen toestaan en de netwerkconfiguratie bepaalt waar dat verkeer heengaat.

Inspecteer netwerkactiviteiten

Beheerders kunnen Instellingen,>Werkruimteconfiguratie,>Inspecteren en netwerkaudit gebruiken om gefilterde toegestane en afgewezen uitgaande verzoeken van de agent te bekijken. Gebruik de host, methode, pad en beslissing om bestemmingen te identificeren die geblokkeerd zijn door het Limited- of Azure VNet-beleid.

Netwerkaudit omvat alleen beslissingen over het egressbeleid van agents. Het is geen volledig controlespoor van het netwerkverkeer en bevat niet alle runtime-, connector-, platform-, firewall-, DNS- of proxygebeurtenissen.

Wat gebeurt er wanneer het netwerk een oproep blokkeert

Als een uitgaande aanvraag wordt geweigerd door een NSG-regel of geen route heeft, ziet de agent dezelfde netwerkfout als elke workload in dat subnet zou zien. De agent rapporteert de mislukking in de uitvoer van zijn onderzoek (bijvoorbeeld 'Kan Log Analytics-werkruimte niet bereiken: time-out bij de verbinding') en gaat verder met de hulpprogramma's en gegevens die wel bereikbaar zijn. Als een kritieke gegevensbron onbereikbaar is, is het onderzoek onvolledig en rapporteert de agent deze voorwaarde.

Limitations

De volgende beperkingen gelden.

Alleen uitgaand verkeer: Virtuele-netwerkintegratie beheert alleen uitgaand verkeer. Binnenkomende verbindingen met de agent vanuit een particulier netwerk worden niet ondersteund.
Connectors routeren niet door het virtuele netwerk: Connectorverkeer loopt via het openbare internet.

Feedback

Is deze pagina nuttig?

Last updated on 2026-08-25