Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Użyj sieci wirtualnej, aby odizolować ruch oceny w usłudze Microsoft Foundry. Ten artykuł pomaga wybrać odpowiednie wskazówki dotyczące konfiguracji sieci, skonfigurować wymagania dotyczące oceny i rozwiązać typowe błędy oceny związane z siecią.
Prerequisites
- Projekt Foundry w regionie obsługującym ocenę sieci wirtualnej (VNet).
- Uprawnienia do konfigurowania izolacji sieciowej i przypisywania ról kontroli dostępu opartej na rolach (RBAC) platformy Azure.
- Sieć wirtualna (VNet) i podsieć, które można delegować do iniekcji sieciowej, lub uprawnienia do ich wdrożenia przy użyciu szablonu wdrożenia przeznaczonego wyłącznie do celów ewaluacyjnych.
Wybieranie wskazówek dotyczących konfiguracji sieci
Skorzystaj z poniższej tabeli, aby znaleźć wskazówki dotyczące sieci dla danego scenariusza. Wróć do tego artykułu, aby uzyskać informacje o wymaganiach i rozwiązywaniu problemów specyficznych dla oceny.
| Goal | Guidance |
|---|---|
| Poznaj opcje izolacji sieci i skonfiguruj prywatne punkty końcowe, DNS, listy dozwolonych adresów w zaporze oraz dostęp do sieci publicznej. | Konfiguruj izolację sieci dla Microsoft Foundry |
| Użyj rozwiązania sieci wirtualnej zarządzanej Microsoft na potrzeby izolacji sieci wychodzącej. | Konfigurowanie zarządzanej sieci wirtualnej dla projektów foundry |
| Połącz zarządzaną sieć wirtualną z zasobami lokalnymi lub spoza platformy Azure. | Uzyskiwanie dostępu do zasobów lokalnych z sieci zarządzanej przez usługę Foundry |
| Skonfiguruj kompletną konfigurację sieci prywatnej obejmującą usługę Foundry Agent Service. | Konfigurowanie sieci prywatnej dla usługi agenta programu Foundry |
| Omówienie architektury sieci usługi agenta, przepływu ruchu, określania rozmiaru podsieci i alokacji adresów IP. | Szczegółowa analiza sieci usługi Foundry Agent Service |
| Użyj agenta kodowania, aby ułatwić planowanie i konfigurowanie zasobów i sieci usługi Foundry. | Użyj umiejętności Microsoft Foundry w agentach kodowania |
Konfigurowanie wymagań dotyczących sieci ewaluacyjnej
Obsługa sieci wirtualnej do celów oceny wymaga wstrzyknięcia do sieci poprzez delegowanie podsieci. Jeśli potrzebujesz tylko możliwości oceny i nie potrzebujesz pełnej obsługi agenta, na przykład Azure Cosmos DB, Wyszukiwanie AI platformy Azure lub hosta możliwości projektu, użyj uproszczonego szablonu konfiguracji tylko do oceny (15a). Szablon wdraża minimalne środowisko zabezpieczone przez sieć na potrzeby scenariuszy oceny.
Important
Aby zapobiec niepowodzeniom uruchamiania oceny i red teamingu, podczas wstępnej konfiguracji projektu przypisz rolę Użytkownik usługi Foundry do tożsamości zarządzanej projektu w zakresie zasobu Foundry.
Important
Niedawno zmieniono nazwy ról RBAC w usłudze Foundry. Użytkownik Foundry, właściciel Foundry, właściciel konta Foundry i menedżer projektu Foundry były wcześniej nazywane odpowiednio użytkownikiem Azure AI, właścicielem Azure AI, właścicielem konta Azure AI i menedżerem projektu Azure AI. Poprzednie nazwy mogą być nadal widoczne w niektórych miejscach, podczas gdy zmiana nazwy jest wdrażana. Identyfikatory ról i uprawnienia podstawowe są niezmienione przez zmianę nazwy.
Jeśli połączysz usługę Application Insights, dane ewaluacyjne zostaną wysłane do niego.
Obsługa regionów sieci wirtualnej
Możesz użyć własnej sieci wirtualnej (VNet) na potrzeby oceny w następujących regionach:
| Ameryka | Europa | Azja i Pacyfik | Bliski Wschód i Afryka |
|---|---|---|---|
| Brazylia Południowa | Francja Środkowa | Australia Wschodnia | Północna Republika Południowej Afryki |
| Kanada Środkowa | Niemcy Środkowo-Zachodnie | Japonia Wschodnia | Północne Zjednoczone Emiraty Arabskie |
| Kanada Wschodnia | Włochy Północne | Korea Środkowa | |
| Wschodnie stany USA | Norwegia Wschodnia | Indie Południowe | |
| Wschodnie stany USA 2 | Polska Środkowa | Azja Południowo-Wschodnia | |
| Północno-środkowe stany USA | Hiszpania Środkowa | ||
| Południowo-środkowe stany USA | Szwecja Środkowa | ||
| Zachodnie stany USA | Szwajcaria Północna | ||
| Zachodnie stany USA 2 | Południowe Zjednoczone Królestwo | ||
| Zachodnie stany USA 3 | Europa Zachodnia |
Konfigurowanie obsługi sieci wirtualnej na potrzeby generowania danych
Generowanie danych syntetycznych oraz generowanie zestawu danych na podstawie śladów używają tego samego mechanizmu wstrzykiwania sieci poprzez delegowanie podsieci, co ocena. Użyj szablonu konfiguracji tylko do oceny (15a), aby wdrożyć wymagane środowisko zabezpieczone przez sieć.
Aby uzyskać informacje o dostępności regionu generowania danych, zobacz Obsługiwane regiony generowania danych.
Rozwiązywanie problemów z błędami oceny sieci wirtualnej
Diagnozowanie konfiguracji sieci wirtualnej
Uruchom diagnostykę konfiguracji projektu VNet na komputerze, który ma prywatne połączenie z siecią wirtualną. Skrypt sprawdza istniejącą konfigurację projektu Foundry i jego łączność sieciową bez uruchamiania oceny lub zmiany zasobów Azure.
Postępuj zgodnie z przewodnikiem użycia, aby przygotować wymagania wstępne, uruchomić odpowiednie testy diagnostyczne i przejrzeć wygenerowany diagnostics.md raport. Raport zawiera wyniki umożliwiające podejmowanie działań, dowody pomocnicze, znane ograniczenia i wskazówki dotyczące korygowania, które ułatwiają rozwiązywanie problemów z konfiguracją.
Przebieg oceny pozostaje w toku, dopóki nie upłynął limit czasu
Przebieg oceny może pozostać w toku , ponieważ konfiguracja izolacji sieciowej jest niekompletna, wymagane prywatne punkty końcowe nie są skonfigurowane, gdy dostęp do sieci publicznej jest wyłączony lub tożsamość zarządzana projektu nie ma uprawnień do aktualizowania stanu uruchomienia.
Aby rozwiązać problem:
- Sprawdź, czy iniekcja sieci i delegowanie podsieci zostały skonfigurowane zgodnie z opisem w temacie Konfigurowanie izolacji sieciowej dla usługi Microsoft Foundry. Jeśli potrzebujesz tylko możliwości oceny, porównaj wdrożenie z szablonem konfiguracji tylko do oceny (15a).
- Jeśli dostęp do sieci publicznej jest wyłączony, sprawdź, czy wymagane prywatne punkty końcowe są skonfigurowane i zatwierdzone, a prywatny system DNS rozpoznaje punkty końcowe zasobów z sieci, która została wstrzyknięta do projektu Foundry.
- Upewnij się, że projekt Foundry ma możliwość konfiguracji hosta. Potrzebujemy możliwości hostowania zarówno na poziomie konta Foundry, jak i projektu. Jeśli host funkcji na poziomie projektu Foundry nie został skonfigurowany, użyj szablonu Bicep add-project-capability-host, aby go skonfigurować.
- Sprawdź, czy tożsamość zarządzana projektu ma rolę Użytkownika usługi Foundry na poziomie zasobu Foundry.
- W przypadku dużego zestawu danych uruchom ocenę dla mniejszego reprezentatywnego podzestawu. Jeśli krótszy przebieg zakończy się pomyślnie, zmniejsz rozmiar zestawu danych lub podziel zestaw danych na kilka przebiegów ewaluacji.
Uruchomienie przebiegu oceny nie powiodło się z powodu błędu 403
Błąd wskazuje, że dostęp do sieci jest wyłączony, dostęp do sieci publicznej jest wyłączony, ale usługa oceny nie może uzyskać dostępu do co najmniej jednego wymaganego zasobu za pośrednictwem sieci wirtualnej.
Error: Public access is disabled. Please configure private endpoint.
Aby rozwiązać problem:
- Zidentyfikuj nazwę hosta zasobu w szczegółach błędu lub diagnostyce oceny.
- Sprawdź, czy iniekcja sieci i delegowanie podsieci zostały skonfigurowane do oceny.
- Sprawdź, czy prywatny punkt końcowy dla zasobu, którego dotyczy problem, został skonfigurowany i zatwierdzony.
- Sprawdź, czy prywatny system DNS rozpoznaje nazwę hosta i czy reguły sieci zezwalają na dostęp z sieci wirtualnej.
- Ponów próbę uruchomienia oceny po wprowadzeniu zmian konfiguracji sieci.
W przypadku innych błędów 403 sprawdź przypisania RBAC dla użytkownika uruchamiającego proces oraz dla tożsamości zarządzanej projektu. Więcej problemów specyficznych dla oceny opisano w sekcji Rozwiązywanie problemów z oceną i obserwowalnością.
Niestandardowy system DNS nie rozpoznaje prywatnych punktów końcowych
Jeśli zdefiniujesz niestandardowy serwer DNS dla sieci wirtualnej, system nie będzie automatycznie wykonywać zapytań dotyczących prywatnych stref DNS połączonych z tej sieci wirtualnej. Niestandardowe ustawienia DNS zastępują kolejność rozpoznawania nazw.
Aby umożliwić niestandardowemu serwerowi DNS rozpoznawanie nazw w strefie prywatnej, użyj usługi Azure DNS Private Resolver w sieci wirtualnej połączonej z tą strefą prywatną. Aby uzyskać wskazówki dotyczące konfiguracji, zobacz Scentralizowana architektura DNS.
Jeśli niestandardowy serwer DNS działa na maszynie wirtualnej Azure, skonfiguruj usługę przesyłania dalej warunkowego dla strefy prywatnej. Ustaw adres docelowy serwera przekazującego na adres IP usługi Azure DNS, 168.63.129.16.