Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Use uma VNet (rede virtual) para isolar o tráfego de avaliação no Microsoft Foundry. Este artigo ajuda você a escolher as diretrizes de configuração de rede apropriadas, configurar requisitos específicos de avaliação e resolver erros comuns de avaliação relacionados à rede.
Pré-requisitos
- Um projeto do Foundry em uma região que dá suporte à avaliação da VNet.
- Permissões para configurar o isolamento de rede e atribuir funções de controle de acesso baseado em função (RBAC) do Azure.
- Uma VNet e uma sub-rede que você possa delegar para injeção de rede, ou permissão para implantá-las usando o modelo de configuração exclusivo para avaliação.
Escolha as diretrizes de configuração de rede
Use a tabela a seguir para encontrar as diretrizes de rede para seu cenário. Retorne a este artigo para obter requisitos e solução de problemas específicos para avaliação.
| Objetivo | Guidance |
|---|---|
| Entenda as opções de isolamento de rede e configure pontos de extremidade privados, DNS, listas de permissões de firewall e acesso à rede pública. | Configure o isolamento de rede para Microsoft Foundry |
| Use a solução de VNet gerenciada por Microsoft para isolamento de rede de saída. | Configurar uma VNet gerenciada para projetos do Foundry |
| Conecte uma VNet gerenciada a recursos locais ou a recursos que não sejam do Azure. | Acessar recursos locais de uma rede gerenciada da Foundry |
| Configure uma configuração de rede privada completa que inclua o Serviço do Foundry Agent. | Configurar a rede privada para o Serviço do Foundry Agent |
| Entenda a arquitetura de rede do Serviço do Agente, o fluxo de tráfego, o dimensionamento da sub-rede e a alocação de IP. | Análise detalhada da rede do Foundry Agent Service |
| Use um agente de codificação para ajudar a planejar e configurar recursos e rede do Foundry. | Utilize o Microsoft Foundry Skill em agentes de codificação |
Configurar requisitos de rede de avaliação
O suporte à rede virtual para avaliação requer injeção de rede por meio da delegação de sub-rede. Se você só precisar de recursos de avaliação e não precisar de suporte completo a agentes, como Azure Cosmos DB, Pesquisa de IA do Azure ou um host de recursos do projeto, use o modelo simplificado de configuração apenas para avaliação (15a). O modelo implanta um ambiente mínimo protegido pela rede para cenários de avaliação.
Important
Para evitar falhas na execução de avaliações e de red teaming, atribua a função Foundry User à identidade gerenciada do projeto no escopo do recurso do Foundry durante a configuração inicial do projeto.
Important
As funções RBAC do Foundry foram renomeadas recentemente. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager eram anteriormente chamados de Usuário do Azure AI, Proprietário do Azure AI, Proprietário da conta do Azure AI e Gerente de Projeto do Azure AI. Você ainda pode ver os nomes anteriores em alguns lugares enquanto essa mudança de nome está sendo implementada. Os IDs das funções e as permissões principais não são alterados com a mudança de nome.
Se você conectar o Application Insights, os dados de avaliação serão enviados a ele.
suporte à região de rede virtual
Você pode trazer sua própria VNet para avaliação nas seguintes regiões:
| Américas | Europa | Pacífico Asiático | Oriente Médio e África |
|---|---|---|---|
| Sul do Brasil | França Central | Leste da Austrália | Norte da África do Sul |
| Canadá Central | Centro-oeste da Alemanha | Leste do Japão | Norte dos EAU |
| Leste do Canadá | Norte da Itália | Coreia Central | |
| Leste dos EUA | Leste da Noruega | Sul da Índia | |
| Leste dos EUA 2 | Polônia Central | Sudeste Asiático | |
| Centro-Norte dos EUA | Espanha Central | ||
| Centro-Sul dos EUA | Suécia Central | ||
| Oeste dos EUA | Norte da Suíça | ||
| Oeste dos EUA 2 | Sul do Reino Unido | ||
| Oeste dos EUA 3 | Oeste da Europa |
Configurar o suporte à rede virtual para geração de dados
A geração de dados sintéticos e a geração de rastreamentos para conjuntos de dados utilizam a mesma injeção na rede via delegação de sub-rede empregada na avaliação. Use o modelo de configuração somente para avaliação (15a) para implantar o ambiente protegido por rede necessário.
Para obter disponibilidade de região de geração de dados, consulte regiões com suporte para geração de dados.
Solucionar problemas de erros de avaliação de rede virtual
Diagnosticar sua configuração de rede virtual
Execute o diagnóstico de instalação do projeto VNet de um computador que tenha conectividade privada com sua rede virtual. O script inspeciona uma configuração de projeto do Foundry existente e sua conectividade de rede sem executar uma avaliação ou alterar Azure recursos.
Siga o guia de uso para preparar os pré-requisitos, executar as verificações de diagnóstico apropriadas e examinar o relatório gerado diagnostics.md . O relatório fornece descobertas acionáveis, evidências de suporte, limitações conhecidas e diretrizes de correção para ajudá-lo a resolver problemas de configuração.
A execução da avaliação permanece em andamento até atingir o tempo limite
Uma execução de avaliação pode permanecer em andamento porque a configuração de isolamento de rede está incompleta, os pontos de extremidade privados necessários não são configurados enquanto o acesso à rede pública está desabilitado ou a identidade gerenciada do projeto não tem permissão para atualizar o status de execução.
Como resolver o problema:
- Verifique se a injeção de rede e a delegação de sub-rede estão configuradas conforme descrito em Configurar o isolamento de rede para Microsoft Foundry. Se você precisar apenas de recursos de avaliação, compare sua implantação com o modelo de instalação somente avaliação (15a).
- Se o acesso à rede pública estiver desabilitado, verifique se os pontos de extremidade privados necessários estão configurados e aprovados e se o DNS privado resolve os pontos de extremidade de recurso da rede que foi injetada no projeto Foundry.
- Certifique-se de que o projeto Foundry tenha a configuração de capacidade de hospedagem. Precisamos, de fato, da capacidade de hospedar tanto no nível da conta Foundry quanto no nível do projeto. Se você não tiver configurado o host de funcionalidade de nível de projeto do Foundry, use o modelo bicep add-project-capability-host para instalação.
- Verifique se a identidade gerenciada do projeto possui a função Foundry User no escopo do recurso do Foundry.
- Para um conjunto de dados grande, execute uma avaliação em relação a um subconjunto representativo menor. Se a execução menor for concluída, reduza o tamanho do conjunto de dados ou divida o conjunto de dados em várias execuções de avaliação.
A execução de avaliação falha ao iniciar com um erro 403
O erro indica que o acesso à rede está desabilitado, o acesso à rede pública está desabilitado, mas o serviço de avaliação não pode alcançar um ou mais recursos necessários por meio da VNet.
Error: Public access is disabled. Please configure private endpoint.
Como resolver o problema:
- Identifique o hostname do recurso nos detalhes do erro ou nos diagnósticos de avaliação.
- Verifique se a injeção de rede e a delegação de sub-rede estão configuradas para avaliação.
- Verifique se o ponto de extremidade privado do recurso afetado está configurado e aprovado.
- Verifique se o DNS privado resolve o nome do host e se as regras de rede permitem o acesso de dentro da VNet.
- Repita a execução da avaliação depois que as alterações de configuração de rede entrarem em vigor.
Para outros 403 erros, verifique as atribuições de RBAC para o usuário que inicia a execução e para a identidade gerenciada do projeto. Para obter mais problemas específicos de avaliação, consulte Solucionar problemas de avaliação e observabilidade.
O DNS personalizado não resolve pontos de extremidade privados
Se você definir um servidor DNS personalizado para uma rede virtual, o sistema não consultará automaticamente zonas DNS privadas vinculadas a essa rede virtual. As configurações de DNS personalizadas substituem a ordem de resolução de nomes.
Para habilitar o DNS personalizado para resolver a zona privada, use um resolvedor privado DNS do Azure em uma rede virtual vinculada à zona privada. Para obter diretrizes de configuração, consulte a arquitetura DNS centralizada.
Se o servidor DNS personalizado for executado em uma máquina virtual Azure, configure um encaminhador condicional para a zona privada. Defina o destino do encaminhador para o endereço IP do DNS do Azure, 168.63.129.16.