Configurar redes virtuais dos serviços de IA do Azure

Artigo
04/05/2024

Os serviços de IA do Azure fornecem um modelo de segurança em camadas. Esse modelo permite que você proteja suas contas de serviços de IA do Azure para um subconjunto específico de redes. Quando as regras de rede são configuradas, apenas os aplicativos que solicitam dados no conjunto especificado de redes podem acessar a conta. Você pode limitar o acesso aos seus recursos com a filtragem de solicitações, que permite solicitações originadas apenas de endereços IP especificados, intervalos de IP ou de uma lista de sub-redes nas Redes Virtuais do Azure.

Um aplicativo que acessa um recurso de serviços de IA do Azure quando as regras de rede estão em vigor requer autorização. A autorização é suportada com credenciais do Microsoft Entra ID ou com uma chave de API válida.

Importante

Ativar regras de firewall para sua conta de serviços de IA do Azure bloqueia solicitações de entrada de dados por padrão. Para permitir a passagem de pedidos, é necessário cumprir uma das seguintes condições:

A solicitação é originada de um serviço que opera em uma Rede Virtual do Azure na lista de sub-redes permitidas da conta de serviços de IA do Azure de destino. A solicitação de ponto de extremidade originada da rede virtual precisa ser definida como o subdomínio personalizado da sua conta de serviços do Azure AI.
O pedido tem origem numa lista permitida de endereços IP.

As solicitações bloqueadas incluem as de outros serviços do Azure, do portal do Azure e de serviços de registro em log e métricas.

Nota

Recomendamos que utilize o módulo do Azure Az PowerShell para interagir com o Azure. Veja Instalar o Azure PowerShell para começar. Para saber como migrar para o módulo do Az PowerShell, veja Migrar o Azure PowerShell do AzureRM para o Az.

Cenários

Para proteger seu recurso de serviços de IA do Azure, você deve primeiro configurar uma regra para negar acesso ao tráfego de todas as redes, incluindo o tráfego da Internet, por padrão. Em seguida, configure regras que concedam acesso ao tráfego de redes virtuais específicas. Essa configuração permite que você crie um limite de rede seguro para seus aplicativos. Você também pode configurar regras para conceder acesso ao tráfego de intervalos de endereços IP públicos selecionados da Internet e habilitar conexões de clientes específicos da Internet ou locais.

As regras de rede são impostas em todos os protocolos de rede para serviços de IA do Azure, incluindo REST e WebSocket. Para acessar dados usando ferramentas como os consoles de teste do Azure, regras de rede explícitas devem ser configuradas. Você pode aplicar regras de rede a recursos de serviços de IA do Azure existentes ou ao criar novos recursos de serviços de IA do Azure. Depois que as regras de rede são aplicadas, elas são aplicadas para todas as solicitações.

Regiões e ofertas de serviços suportadas

As redes virtuais são suportadas em regiões onde os serviços de IA do Azure estão disponíveis. Os serviços de IA do Azure suportam etiquetas de serviço para configuração de regras de rede. Os serviços listados aqui estão incluídos na CognitiveServicesManagement etiqueta de serviço.

Detetor de Anomalias
Azure OpenAI
Content Moderator
Custom Vision
Face
Compreensão de Idiomas (LUIS)
Personalizador
Serviço de voz
Linguagem
Criador de FAQ
Tradutor

Nota

Se você usar o Azure OpenAI, LUIS, Serviços de Fala ou Serviços de Idioma, a CognitiveServicesManagement marca só permitirá que você use o serviço usando o SDK ou a API REST. Para acessar e usar o Azure OpenAI Studio, o portal LUIS, o Speech Studio ou o Language Studio de uma rede virtual, você precisa usar as seguintes tags:

AzureActiveDirectory
AzureFrontDoor.Frontend
AzureResourceManager
CognitiveServicesManagement
CognitiveServicesFrontEnd
Storage (Apenas Speech Studio)

Para obter informações sobre como configurar o Azure AI Studio, consulte a documentação do Azure AI Studio.

Change the default network access rule (Alterar a regra de acesso de rede predefinida)

Por padrão, os recursos dos serviços de IA do Azure aceitam conexões de clientes em qualquer rede. Para limitar o acesso às redes selecionadas, primeiro tem de alterar a ação predefinida.

Aviso

Fazer alterações nas regras de rede pode afetar a capacidade de seus aplicativos se conectarem aos serviços de IA do Azure. Definir a regra de rede padrão para negar bloqueia todo o acesso aos dados, a menos que regras de rede específicas que concedem acesso também sejam aplicadas.

Antes de alterar a regra padrão para negar acesso, certifique-se de conceder acesso a todas as redes permitidas usando regras de rede. Se você permitir a listagem de endereços IP para sua rede local, certifique-se de adicionar todos os endereços IP públicos de saída possíveis de sua rede local.

Gerir regras de acesso de rede predefinidas

Você pode gerenciar regras de acesso à rede padrão para recursos de serviços de IA do Azure por meio do portal do Azure, do PowerShell ou da CLI do Azure.

Vá para o recurso de serviços de IA do Azure que você deseja proteger.
Selecione Gerenciamento de Recursos para expandi-lo e, em seguida, selecione Rede.
Para negar o acesso por padrão, em Firewalls e redes virtuais, selecione Redes Selecionadas e Pontos de Extremidade Privados.

Somente com essa configuração, desacompanhada de redes virtuais ou intervalos de endereços configurados, todo o acesso é efetivamente negado. Quando todo o acesso é negado, as solicitações que tentam consumir o recurso de serviços de IA do Azure não são permitidas. O portal do Azure, o Azure PowerShell ou a CLI do Azure ainda podem ser usados para configurar o recurso de serviços de IA do Azure.
Para permitir tráfego de todas as redes, selecione Todas as redes.
Selecione Guardar para aplicar as alterações.

Instale o Azure PowerShell e entre ou selecione Abrir Cloudshell.
Exiba o status da regra padrão para o recurso de serviços de IA do Azure.
```
$parameters = @{
  "ResourceGroupName" = "myresourcegroup"
  "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).DefaultAction
```
Você pode obter valores para seu grupo myresourcegroup de recursos e o nome do seu recurso myaccount de serviços do Azure no portal do Azure.

Defina a regra padrão para negar acesso à rede.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "DefaultAction" = "Deny"
}
Update-AzCognitiveServicesAccountNetworkRuleSet @parameters

Defina a regra padrão para permitir o acesso à rede.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "DefaultAction" = "Allow"
}
Update-AzCognitiveServicesAccountNetworkRuleSet @parameters

Instale a CLI do Azure e entre ou selecione Abrir Cloudshell.

Exiba o status da regra padrão para o recurso de serviços de IA do Azure.

az cognitiveservices account show \
    --resource-group "myresourcegroup" --name "myaccount" \
    --query properties.networkAcls.defaultAction

Obtenha o ID do recurso para uso nas etapas posteriores.

resourceId=$(az cognitiveservices account show
    --resource-group "myresourcegroup" \
    --name "myaccount" --query id --output tsv)

Defina a regra padrão para negar acesso à rede por padrão.

az resource update \
    --ids $resourceId \
    --set properties.networkAcls="{'defaultAction':'Deny'}"

Defina a regra padrão para permitir o acesso à rede por padrão.

az resource update \
    --ids $resourceId \
    --set properties.networkAcls="{'defaultAction':'Allow'}"

Conceder acesso a partir de uma rede virtual

Você pode configurar os recursos dos serviços de IA do Azure para permitir o acesso somente de sub-redes específicas. As sub-redes permitidas podem pertencer a uma rede virtual na mesma assinatura ou em uma assinatura diferente. A outra assinatura pode pertencer a um locatário diferente do Microsoft Entra. Quando a sub-rede pertence a uma assinatura diferente, o provedor de recursos Microsoft.CognitiveServices também precisa estar registrado para essa assinatura.

Habilite um ponto de extremidade de serviço para serviços de IA do Azure na rede virtual. O ponto de extremidade do serviço roteia o tráfego da rede virtual por meio de um caminho ideal para o serviço Azure AI. Para obter mais informações, consulte Pontos de extremidade de serviço de Rede Virtual.

As identidades da sub-rede e da rede virtual também são transmitidas com cada pedido. Os administradores podem então configurar regras de rede para o recurso de serviços de IA do Azure para permitir solicitações de sub-redes específicas em uma rede virtual. Os clientes com acesso concedido por essas regras de rede devem continuar a atender aos requisitos de autorização do recurso de serviços de IA do Azure para acessar os dados.

Cada recurso de serviços de IA do Azure dá suporte a até 100 regras de rede virtual, que podem ser combinadas com regras de rede IP. Para obter mais informações, consulte Conceder acesso a partir de um intervalo de IP da Internet mais adiante neste artigo.

Definir as permissões necessárias

Para aplicar uma regra de rede virtual a um recurso de serviços de IA do Azure, você precisa das permissões apropriadas para as sub-redes a serem adicionadas. A permissão necessária é a função de Colaborador padrão ou a função de Colaborador de Serviços Cognitivos. As permissões necessárias também podem ser adicionadas a definições de função personalizadas.

O recurso de serviços de IA do Azure e as redes virtuais às quais é concedido acesso podem estar em assinaturas diferentes, incluindo assinaturas que fazem parte de um locatário diferente do Microsoft Entra.

Nota

Atualmente, a configuração de regras que concedem acesso a sub-redes em redes virtuais que fazem parte de um locatário diferente do Microsoft Entra é suportada apenas por meio do PowerShell, da CLI do Azure e das APIs REST. Você pode exibir essas regras no portal do Azure, mas não pode configurá-las.

Configurar regras de rede virtual

Você pode gerenciar regras de rede virtual para recursos de serviços de IA do Azure por meio do portal do Azure, do PowerShell ou da CLI do Azure.

Para conceder acesso a uma rede virtual com uma regra de rede existente:

Vá para o recurso de serviços de IA do Azure que você deseja proteger.
Selecione Gerenciamento de Recursos para expandi-lo e, em seguida, selecione Rede.
Confirme que selecionou Redes Selecionadas e Pontos de Extremidade Privados.
Em Permitir acesso de, selecione Adicionar rede virtual existente.
Selecione as opções Redes virtuais e Sub-redes e, em seguida, selecione Ativar.

Nota

Se um ponto de extremidade de serviço para serviços de IA do Azure não tiver sido configurado anteriormente para a rede virtual e sub-redes selecionadas, você poderá configurá-lo como parte desta operação.

Atualmente, apenas redes virtuais que pertencem ao mesmo locatário do Microsoft Entra estão disponíveis para seleção durante a criação da regra. Para conceder acesso a uma sub-rede em uma rede virtual que pertence a outro locatário, use o PowerShell, a CLI do Azure ou as APIs REST.
Selecione Guardar para aplicar as alterações.

Para criar uma nova rede virtual e conceder-lhe acesso:

Na mesma página do procedimento anterior, selecione Adicionar nova rede virtual.
Forneça as informações necessárias para criar a nova rede virtual e selecione Criar.
Selecione Guardar para aplicar as alterações.

Para remover uma regra de rede virtual ou sub-rede:

Na mesma página dos procedimentos anteriores, selecione ... (Mais opções) para abrir o menu de contexto da rede virtual ou sub-rede e selecione Remover.
Selecione Guardar para aplicar as alterações.

Instale o Azure PowerShell e entre ou selecione Abrir Cloudshell.

Liste as regras de rede virtual configuradas.

$parameters = @{
   "ResourceGroupName" = "myresourcegroup"
   "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).VirtualNetworkRules

Habilite um ponto de extremidade de serviço para serviços de IA do Azure em uma rede virtual e sub-rede existentes.

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" `
    -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" `
    -AddressPrefix "CIDR" `
    -ServiceEndpoint "Microsoft.CognitiveServices" | Set-AzVirtualNetwork

Adicione uma regra de rede para uma rede virtual e uma sub-rede.
```
$subParameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myvnet"
}
$subnet = Get-AzVirtualNetwork @subParameters | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"

$parameters = @{
    -ResourceGroupName "myresourcegroup"
    -Name "myaccount"
    -VirtualNetworkResourceId $subnet.Id
}
Add-AzCognitiveServicesAccountNetworkRule @parameters
```
Gorjeta

Para adicionar uma regra de rede para uma sub-rede em uma rede virtual que pertence a outro locatário do Microsoft Entra, use um parâmetro totalmente qualificado VirtualNetworkResourceId no formato /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name.

Remova uma regra de rede para uma rede virtual e uma sub-rede.

$subParameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myvnet"
}
$subnet = Get-AzVirtualNetwork @subParameters | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "VirtualNetworkResourceId" = $subnet.Id
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Instale a CLI do Azure e entre ou selecione Abrir Cloudshell.

Liste as regras de rede virtual configuradas.

az cognitiveservices account network-rule list \
    --resource-group "myresourcegroup" --name "myaccount" \
    --query virtualNetworkRules

Habilite um ponto de extremidade de serviço para serviços de IA do Azure em uma rede virtual e sub-rede existentes.

az network vnet subnet update --resource-group "myresourcegroup" --name "mysubnet" \
--vnet-name "myvnet" --service-endpoints "Microsoft.CognitiveServices"

Adicione uma regra de rede para uma rede virtual e uma sub-rede.
```
subnetid=$(az network vnet subnet show \
    --resource-group "myresourcegroup" --name "mysubnet" --vnet-name "myvnet" \
    --query id --output tsv)

# Use the captured subnet identifier as an argument to the network rule addition
az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --subnet $subnetid
```
Gorjeta

Para adicionar uma regra para uma sub-rede em uma rede virtual que pertença a outro locatário do Microsoft Entra, use uma ID de sub-rede totalmente qualificada no formato /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name.

Você pode usar o --subscription parâmetro para recuperar a ID da sub-rede para uma rede virtual que pertence a outro locatário do Microsoft Entra.

Remova uma regra de rede para uma rede virtual e uma sub-rede.

$subnetid=(az network vnet subnet show \
    --resource-group "myresourcegroup" --name "mysubnet" --vnet-name "myvnet" \
    --query id --output tsv)

# Use the captured subnet identifier as an argument to the network rule removal
az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --subnet $subnetid

Importante

Certifique-se de definir a regra padrão para negar, ou as regras de rede não têm efeito.

Conceder acesso a partir de um intervalo de IP da Internet

Você pode configurar os recursos de serviços de IA do Azure para permitir o acesso de intervalos de endereços IP públicos específicos da Internet. Essa configuração concede acesso a serviços específicos e redes locais, que efetivamente bloqueiam o tráfego geral da Internet.

Você pode especificar os intervalos de endereços da Internet permitidos usando o formato CIDR (RFC 4632) no formato 192.168.0.0/16 ou como endereços IP individuais como 192.168.0.1.

Gorjeta

Não há suporte para intervalos de endereços pequenos que usam /31 tamanhos de prefixo ou /32 prefixos. Configure esses intervalos usando regras de endereço IP individuais.

As regras de rede IP só são permitidas para endereços IP públicos da Internet . Os intervalos de endereços IP reservados para redes privadas não são permitidos nas regras de IP. As redes privadas incluem endereços que começam com 10.*,172.31.*172.16.* - e .192.168.* Para obter mais informações, consulte Espaço de Endereço Privado (RFC 1918).

Atualmente, apenas endereços IPv4 são suportados. Cada recurso de serviços de IA do Azure suporta até 100 regras de rede IP, que podem ser combinadas com regras de rede virtual.

Configurar o acesso a partir de redes locais

Para conceder acesso de suas redes locais ao seu recurso de serviços de IA do Azure com uma regra de rede IP, identifique os endereços IP voltados para a Internet usados pela sua rede. Entre em contato com o administrador da rede para obter ajuda.

Se você usar o Azure ExpressRoute local para emparelhamento público ou emparelhamento da Microsoft, precisará identificar os endereços IP NAT. Para obter mais informações, consulte O que é o Azure ExpressRoute.

Para emparelhamento público, cada circuito de Rota Expressa, por padrão, usa dois endereços IP NAT. Cada um é aplicado ao tráfego de serviço do Azure quando o tráfego entra no backbone de rede do Microsoft Azure. Para o emparelhamento da Microsoft, os endereços IP NAT usados são fornecidos pelo cliente ou fornecidos pelo provedor de serviços. Para permitir o acesso aos recursos de serviço, tem de permitir estes endereços IP públicos na definição da firewall do IP dos recursos.

Para encontrar seus endereços IP de circuito de Rota Expressa de emparelhamento público, abra um tíquete de suporte com a Rota Expressa usando o portal do Azure. Para obter mais informações, consulte Requisitos de NAT para emparelhamento público do Azure.

Gerenciando regras de rede IP

Você pode gerenciar regras de rede IP para recursos de serviços de IA do Azure por meio do portal do Azure, do PowerShell ou da CLI do Azure.

Vá para o recurso de serviços de IA do Azure que você deseja proteger.
Selecione Gerenciamento de Recursos para expandi-lo e, em seguida, selecione Rede.
Confirme que selecionou Redes Selecionadas e Pontos de Extremidade Privados.
Em Firewalls e redes virtuais, localize a opção Intervalo de endereços . Para conceder acesso a um intervalo de IP da Internet, introduza o endereço IP ou intervalo de endereços (em formato CIDR). Apenas são aceites endereços IP públicos válidos (não reservados).

Para remover uma regra de rede IP, selecione o ícone da lixeira ao lado do intervalo de endereços.
Selecione Guardar para aplicar as alterações.

Instale o Azure PowerShell e entre ou selecione Abrir Cloudshell.

Liste as regras de rede IP configuradas.

$parameters = @{
  "ResourceGroupName" = "myresourcegroup"
  "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).IPRules

Adicione uma regra de rede para um endereço IP individual.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "ipaddress"
}
Add-AzCognitiveServicesAccountNetworkRule @parameters

Adicione uma regra de rede para um intervalo de endereços IP.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "CIDR"
}
Add-AzCognitiveServicesAccountNetworkRule @parameters

Remova uma regra de rede para um endereço IP individual.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "ipaddress"
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Remova uma regra de rede para um intervalo de endereços IP.

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "CIDR"
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Instale a CLI do Azure e entre ou selecione Abrir Cloudshell.

Liste as regras de rede IP configuradas.

az cognitiveservices account network-rule list \
    --resource-group "myresourcegroup" --name "myaccount" --query ipRules

Adicione uma regra de rede para um endereço IP individual.

az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "ipaddress"

Adicione uma regra de rede para um intervalo de endereços IP.

az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "CIDR"

Remova uma regra de rede para um endereço IP individual.

az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "ipaddress"

Remova uma regra de rede para um intervalo de endereços IP.

az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "CIDR"

Importante

Certifique-se de definir a regra padrão para negar, ou as regras de rede não têm efeito.

Utilizar pontos finais privados

Você pode usar pontos de extremidade privados para seus recursos de serviços de IA do Azure para permitir que clientes em uma rede virtual acessem dados com segurança pelo Azure Private Link. O ponto de extremidade privado usa um endereço IP do espaço de endereço de rede virtual para seu recurso de serviços de IA do Azure. O tráfego de rede entre os clientes na rede virtual e o recurso atravessa a rede virtual e um link privado na rede de backbone do Microsoft Azure, o que elimina a exposição da Internet pública.

Os pontos de extremidade privados para recursos de serviços de IA do Azure permitem:

Proteja seu recurso de serviços de IA do Azure configurando o firewall para bloquear todas as conexões no ponto de extremidade público para o serviço de IA do Azure.
Aumente a segurança da rede virtual, permitindo que você bloqueie a exfiltração de dados da rede virtual.
Conecte-se com segurança aos recursos de serviços de IA do Azure de redes locais que se conectam à rede virtual usando o Gateway de VPN do Azure ou ExpressRoutes com emparelhamento privado.

Compreender os endpoints privados

Um ponto de extremidade privado é uma interface de rede especial para um recurso do Azure em sua rede virtual. A criação de um ponto de extremidade privado para seu recurso de serviços de IA do Azure fornece conectividade segura entre clientes em sua rede virtual e seu recurso. O ponto de extremidade privado recebe um endereço IP do intervalo de endereços IP da sua rede virtual. A conexão entre o ponto de extremidade privado e o serviço de IA do Azure usa um link privado seguro.

Os aplicativos na rede virtual podem se conectar ao serviço através do ponto de extremidade privado perfeitamente. As conexões usam as mesmas cadeias de conexão e mecanismos de autorização que usariam de outra forma. A exceção são os Serviços de Fala, que exigem um ponto de extremidade separado. Para obter mais informações, consulte Pontos de extremidade privados com os Serviços de Fala neste artigo. Os pontos de extremidade privados podem ser usados com todos os protocolos suportados pelo recurso de serviços de IA do Azure, incluindo REST.

Pontos de extremidade privados podem ser criados em sub-redes que usam pontos de extremidade de serviço. Os clientes em uma sub-rede podem se conectar a um recurso de serviços de IA do Azure usando pontos de extremidade privados, enquanto usam pontos de extremidade de serviço para acessar outros. Para obter mais informações, consulte Pontos de extremidade de serviço de Rede Virtual.

Quando você cria um ponto de extremidade privado para um recurso de serviços de IA do Azure em sua rede virtual, o Azure envia uma solicitação de consentimento para aprovação ao proprietário do recurso de serviços de IA do Azure. Se o usuário que solicita a criação do ponto de extremidade privado também for proprietário do recurso, essa solicitação de consentimento será aprovada automaticamente.

Os proprietários de recursos de serviços de IA do Azure podem gerenciar solicitações de consentimento e os pontos de extremidade privados por meio da guia Conexão de ponto de extremidade privado para o recurso de serviços de IA do Azure no portal do Azure.

Especificar pontos de extremidade privados

Ao criar um ponto de extremidade privado, especifique o recurso de serviços de IA do Azure ao qual ele se conecta. Para obter mais informações sobre como criar um ponto de extremidade privado, consulte:

Ligar a terminais privados

Nota

O Serviço OpenAI do Azure usa uma zona DNS privada e um encaminhador de zona DNS pública diferentes de outros serviços de IA do Azure. Para obter os nomes corretos de zona e encaminhador, consulte Configuração de zona DNS dos serviços do Azure.

Os clientes em uma rede virtual que usam o ponto de extremidade privado usam a mesma cadeia de conexão para o recurso de serviços de IA do Azure que os clientes que se conectam ao ponto de extremidade público. A exceção é o serviço de fala, que requer um ponto de extremidade separado. Para obter mais informações, consulte Usar pontos de extremidade privados com o serviço de fala neste artigo. A resolução DNS roteia automaticamente as conexões da rede virtual para o recurso de serviços de IA do Azure por meio de um link privado.

Por padrão, o Azure cria uma zona DNS privada anexada à rede virtual com as atualizações necessárias para os pontos de extremidade privados. Se você usar seu próprio servidor DNS, talvez seja necessário fazer mais alterações na configuração do DNS. Para atualizações que podem ser necessárias para pontos de extremidade privados, consulte Aplicar alterações de DNS para pontos de extremidade privados neste artigo.

Usar pontos de extremidade privados com o serviço de Fala

Consulte Usar o serviço de fala por meio de um ponto de extremidade privado.

Aplicar alterações de DNS para pontos de extremidade privados

Quando você cria um ponto de extremidade privado, o registro de recurso DNS CNAME para o recurso de serviços de IA do Azure é atualizado para um alias em um subdomínio com o prefixo privatelink. Por padrão, o Azure também cria uma zona DNS privada que corresponde ao privatelink subdomínio, com os registros de recurso DNS A para os pontos de extremidade privados. Para obter mais informações, consulte O que é o DNS Privado do Azure.

Quando você resolve a URL do ponto de extremidade de fora da rede virtual com o ponto de extremidade privado, ela é resolvida para o ponto de extremidade público do recurso de serviços de IA do Azure. Quando é resolvido a partir da rede virtual que hospeda o ponto de extremidade privado, a URL do ponto de extremidade é resolvida para o endereço IP do ponto de extremidade privado.

Essa abordagem permite o acesso ao recurso de serviços de IA do Azure usando a mesma cadeia de conexão para clientes na rede virtual que hospeda os pontos de extremidade privados e clientes fora da rede virtual.

Se você usar um servidor DNS personalizado em sua rede, os clientes deverão ser capazes de resolver o FQDN (nome de domínio totalmente qualificado) do ponto de extremidade do recurso de serviços do Azure AI para o endereço IP do ponto de extremidade privado. Configure o servidor DNS para delegar o subdomínio de link privado à zona DNS privada da rede virtual.

Gorjeta

Ao usar um servidor DNS personalizado ou local, você deve configurar seu servidor DNS para resolver o nome do recurso de serviços do Azure AI no privatelink subdomínio para o endereço IP do ponto de extremidade privado. Delegue o privatelink subdomínio à zona DNS privada da rede virtual. Como alternativa, configure a zona DNS no servidor DNS e adicione os registros DNS A.

Para obter mais informações sobre como configurar seu próprio servidor DNS para oferecer suporte a pontos de extremidade privados, consulte os seguintes recursos:

Conceder acesso a serviços confiáveis do Azure para o Azure OpenAI

Você pode conceder a um subconjunto de serviços confiáveis do Azure acesso ao Azure OpenAI, mantendo regras de rede para outros aplicativos. Esses serviços confiáveis usarão a identidade gerenciada para autenticar seu serviço Azure OpenAI. A tabela a seguir lista os serviços que podem acessar o Azure OpenAI se a identidade gerenciada desses serviços tiver a atribuição de função apropriada.

Serviço	Nome do provedor de recursos
Serviços de IA do Azure	`Microsoft.CognitiveServices`
Azure Machine Learning	`Microsoft.MachineLearningServices`
Pesquisa de IA do Azure	`Microsoft.Search`

Você pode conceder acesso de rede a serviços confiáveis do Azure criando uma exceção de regra de rede usando a API REST:


accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Azure AI resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Nota

O recurso de serviço confiável só está disponível usando a linha de comando descrita acima e não pode ser feito usando o portal do Azure.

Para revogar a exceção, defina networkAcls.bypass como None.

Para verificar se o serviço confiável foi habilitado no portal do Azure,

Usar o Modo de Exibição JSON na página de visão geral de recursos do Azure OpenAI
Escolha sua versão mais recente da API em Versões da API. Apenas a versão mais recente da API é suportada, 2023-10-01-preview .

Preços

Para obter detalhes de preços, consulte Preços do Azure Private Link.

Próximos passos

Explore os vários serviços de IA do Azure
Saiba mais sobre os pontos de extremidade de serviço da Rede Virtual

Configurar redes virtuais dos serviços de IA do Azure

Cenários

Regiões e ofertas de serviços suportadas

Change the default network access rule (Alterar a regra de acesso de rede predefinida)

Gerir regras de acesso de rede predefinidas

Conceder acesso a partir de uma rede virtual

Definir as permissões necessárias

Configurar regras de rede virtual

Conceder acesso a partir de um intervalo de IP da Internet

Configurar o acesso a partir de redes locais

Gerenciando regras de rede IP

Utilizar pontos finais privados

Compreender os endpoints privados

Especificar pontos de extremidade privados

Ligar a terminais privados

Usar pontos de extremidade privados com o serviço de Fala

Aplicar alterações de DNS para pontos de extremidade privados

Conceder acesso a serviços confiáveis do Azure para o Azure OpenAI

Preços

Próximos passos

Recursos adicionais