Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Use uma rede virtual (VNet) para isolar o tráfego de avaliação no Microsoft Foundry. Este artigo ajuda-o a escolher as orientações adequadas para a configuração da rede, a configurar requisitos específicos de avaliação e a resolver erros comuns relacionados com a rede.
Pré-requisitos
- Um projeto Foundry numa região que apoia a avaliação de VNet.
- Permissões para configurar o isolamento de rede e atribuir funções de controlo de acesso baseado em papéis (RBAC) no Azure.
- Uma VNet e uma sub-rede que possa ser delegada para injeção na rede, ou permissão para a implementar utilizando o modelo de configuração só para avaliação.
Escolha orientação para a configuração da rede
Use a tabela seguinte para encontrar orientações de networking para o seu caso. Volte a este artigo para requisitos e resolução de problemas específicos da avaliação.
| Goal | Guidance |
|---|---|
| Compreenda as opções de isolamento de rede e configure endpoints privados, DNS, listas de permissões de firewalls e acesso à rede pública. | Configure isolamento de rede para Microsoft Foundry |
| Use a solução VNet gerida pela Microsoft para isolamento da rede de saída. | Configurar um VNet gerido para projetos Foundry |
| Ligue um VNet gerido a recursos on-premises ou não-Azure. | Aceder a recursos locais a partir de uma rede gerida pela Foundry |
| Configure uma configuração de rede privada completa que inclua o Foundry Agent Service. | Configuração de rede privada para o Foundry Agent Service |
| Compreenda a arquitetura da rede do Agent Service, o fluxo de tráfego, o dimensionamento das sub-redes e a alocação de IP. | Análise aprofundada da rede do Foundry Agent Service |
| Use um agente de programação para ajudar a planear e configurar os recursos e a rede do Foundry. | Utilizar o Microsoft Foundry Skill nos agentes de codificação |
Configurar requisitos de rede de avaliação
O suporte de rede virtual para avaliação requer injeção de rede através da delegação de sub-rede. Se só precisas de capacidades de avaliação e não precisas de suporte total para agentes, como Azure Cosmos DB, Pesquisa de IA do Azure ou um host de capacidades de projeto, usa o modelo simplificado de configuração apenas para avaliação (15a). O modelo implementa um ambiente mínimo seguro em rede para cenários de avaliação.
Importante
Para evitar falhas na avaliação e na execução dos testes de intrusão, atribua o papel de Utilizador do Foundry à identidade gerida do projeto ao nível do recurso Foundry durante a configuração inicial do projeto.
Importante
As funções RBAC do Foundry foram recentemente renomeadas. Foundry User, Foundry Owner, Foundry Account Owner e Foundry Project Manager foram anteriormente nomeados Azure AI User, Azure AI Owner, Azure AI Account Owner e Azure AI Project Manager. Poderá ainda ver os nomes anteriores em alguns locais enquanto esta alteração de nome está a ser implementada. Os IDs das funções e as permissões principais não são alterados por esta mudança de nome.
Se ligar o Application Insights, os dados de avaliação são enviados para ele.
Suporte para regiões de rede virtual
Pode trazer o seu próprio VNet para avaliação nas seguintes regiões:
| Américas | Europa | Ásia-Pacífico | Médio Oriente e África |
|---|---|---|---|
| Sul do Brasil | Centro de França | Leste da Austrália | Norte da África do Sul |
| Canadá Central | Alemanha Centro-Oeste | Leste do Japão | Norte dos E.A.U. |
| Leste do Canadá | Norte de Itália | Coreia Central | |
| E.U.A. Leste | Leste da Noruega | Sul da Índia | |
| E.U.A. Leste 2 | Polónia Central | Sudeste Asiático | |
| E.U.A. Centro-Norte | Espanha Central | ||
| E.U.A. Centro-Sul | Suécia Central | ||
| E.U.A. Oeste | Norte da Suíça | ||
| E.U.A. Oeste 2 | Sul do Reino Unido | ||
| E.U.A. Oeste 3 | Europa Ocidental |
Configurar suporte de rede virtual para geração de dados
A geração de dados sintéticos e a geração de rastreios para conjuntos de dados utilizam a mesma integração na rede através da delegação de sub-redes que a avaliação. Utilize o modelo de configuração apenas para avaliação (15a) para implementar o ambiente necessário protegido ao nível da rede.
Para a disponibilidade de regiões de geração de dados, veja Regiões suportadas para geração de dados.
Resolução de erros de avaliação de rede virtual
Diagnostice a configuração da sua rede virtual
Executa o diagnóstico de configuração do projeto VNet a partir de uma máquina que tenha ligação privada à tua rede virtual. O script inspeciona a configuração existente de um projeto Foundry e a sua conectividade de rede sem executar uma avaliação ou alterar recursos do Azure.
Siga o guia de utilização para preparar os pré-requisitos, realize as verificações diagnósticas apropriadas e reveja o relatório gerado diagnostics.md . O relatório apresenta conclusões acionáveis, provas de apoio, limitações conhecidas e orientações para remediação para o ajudar a resolver problemas de configuração.
A execução de avaliação continua em curso até ao seu tempo de expiração
Uma execução de avaliação pode permanecer em curso porque a configuração de isolamento da rede está incompleta, os endpoints privados necessários não estão configurados enquanto o acesso público à rede está desativado, ou a identidade gerida do projeto não tem permissão para atualizar o estado da execução.
Como resolver o problema:
- Verifique se a injeção de rede e a delegação de sub-redes estão configuradas conforme descrito em Configurar isolamento de rede para Microsoft Foundry. Se só precisar de capacidades de avaliação, compare a sua implementação com o modelo de configuração apenas para avaliação (15a).
- Se o acesso público à rede estiver desativado, verifique se os endpoints privados necessários estão configurados e aprovados, e que o DNS privado resolve os endpoints de recursos da rede que foi injetado no projeto Foundry.
- Certifique-se de que o projeto Foundry tem a configuração da capacidade de anfitrião. Precisamos desta capacidade tanto ao nível da conta Foundry como ao nível do projeto. Se não configuraste o host de capacidades ao nível do projeto Foundry, usa o modelo bicep add-project-capability-host para configurar.
- Verifique se a identidade gerida do projeto tem a função Utilizador do Foundry ao nível do recurso Foundry.
- Para um conjunto de dados grande, execute uma avaliação contra um subconjunto representativo mais pequeno. Se a execução menor terminar, reduza o tamanho do conjunto de dados ou divida o conjunto de dados por várias execuções de avaliação.
A execução da avaliação falha ao iniciar com um erro 403
O erro indica que o acesso à rede está desativado, o acesso público à rede está desativado mas o serviço de avaliação não consegue aceder a um ou mais recursos necessários através do VNet.
Error: Public access is disabled. Please configure private endpoint.
Como resolver o problema:
- Identifique o hostname do recurso nos detalhes de erro ou nos diagnósticos de avaliação.
- Verifique se a injeção de rede e a delegação de sub-redes estão configuradas para avaliação.
- Verifique se o endpoint privado do recurso afetado está configurado e aprovado.
- Verifique se o DNS privado resolve o nome do host e que as regras de rede permitem o acesso a partir do VNet.
- Tente novamente a avaliação executada após as alterações na configuração da rede entrarem em vigor.
Para outros 403 erros, verifique as atribuições RBAC para o utilizador que inicia a execução e para a identidade gerida do projeto. Para questões mais específicas de avaliação, consulte Problemas de avaliação e questões de observabilidade.
O DNS personalizado não consegue resolver pontos finais privados
Se definir um servidor DNS personalizado para uma rede virtual, o sistema não consulta automaticamente as zonas DNS privadas ligadas a essa rede virtual. As definições DNS personalizadas sobrepõem-se à ordem de resolução dos nomes.
Para permitir que DNS personalizado resolva a zona privada, utilize um DNS do Azure Private Resolver numa rede virtual ligada à zona privada. Para orientações de configuração, consulte Arquitetura DNS Centralizada.
Se o seu servidor DNS personalizado correr numa máquina virtual Azure, configure um encaminhador condicional para a zona privada. Defina o destino do encaminhador para o endereço IP do DNS do Azure, 168.63.129.16.