Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Используйте виртуальную сеть для изоляции трафика оценки в Microsoft Foundry. В этой статье вы можете выбрать соответствующие рекомендации по настройке сети, настроить требования к оценке и устранить распространенные ошибки оценки, связанные с сетью.
Необходимые условия
- Проект Foundry в регионе, поддерживающем оценку виртуальной сети.
- Разрешения для настройки сетевой изоляции и назначения ролей Azure для управления доступом на основе ролей (RBAC).
- Сеть VNet и подсеть, которые можно делегировать для внедрения в сеть, или разрешение на их развертывание с помощью шаблона развертывания только для оценки.
Выбор руководства по настройке сети
Используйте следующую таблицу, чтобы найти рекомендации по сети для вашего сценария. Вернитесь к этой статье для требований и устранения неполадок, относящихся к оценке.
| Goal | Guidance |
|---|---|
| Общие сведения о параметрах сетевой изоляции и настройке частных конечных точек, DNS, списков разрешений брандмауэра и доступа к общедоступной сети. | Настройка сетевой изоляции для Microsoft Foundry |
| Используйте решение виртуальной сети под управлением Microsoft для исходящей сетевой изоляции. | Настройка управляемой виртуальной сети для проектов Foundry |
| Подключите управляемую виртуальную сеть к локальным или не Azure ресурсам. | Доступ к локальным ресурсам из управляемой сети Foundry |
| Настройте полную настройку частной сети, включающую службу агента Foundry. | Настройка частной сети для службы агента Foundry |
| Общие сведения о сетевой архитектуре службы агента, потоке трафика, изменении размера подсети и выделении IP-адресов. | Подробное представление о сети службы агента Foundry |
| Используйте агент программирования для планирования и настройки ресурсов и сетей Foundry. | Использование навыка Microsoft Foundry в агентах для программирования |
Настройка требований к сети оценки
Для оценки поддержки виртуальной сети требуется внедрение сети через делегирование подсети. Если вам нужны только возможности оценки и не нужна полная поддержка агента с такими компонентами, как Azure Cosmos DB, Поиск с использованием ИИ Azure или хост возможностей проекта, используйте упрощённый шаблон настройки только для оценивания (15a). Шаблон развёртывает минимальную среду, защищённую на сетевом уровне, для сценариев оценки.
Important
Чтобы предотвратить сбои при выполнении оценки и процедур red teaming, назначьте роль Foundry User управляемому удостоверению проекта на уровне ресурса Foundry при первоначальной настройке проекта.
Important
Роли RBAC в Foundry были недавно переименованы. Foundry User, Foundry Owner, Foundry Account Owner и Foundry Project Manager ранее назывались пользователь Azure AI, владелец Azure AI, владелец учетной записи Azure AI и руководитель проекта Azure AI. Пока новое название внедряется, вы всё ещё можете видеть прежние названия в некоторых местах. Идентификаторы ролей и основные разрешения при переименовании не меняются.
При подключении Application Insights данные оценки отправляются в него.
Поддержка региона виртуальной сети
Вы можете использовать собственную виртуальную сеть для оценки в следующих регионах:
| Америка | Европа | Азиатско-Тихоокеанский регион | Ближний Восток и Африка |
|---|---|---|---|
| Бразилия (Юг) | Центральная Франция | Australia East | Север Южной Африки |
| Центральная Канада | Западно-Центральная Германия | Japan East | UAE North |
| Canada East | Italy North | Центральная Корея | |
| East US | Norway East | Южная Индия | |
| Восток США 2 | Poland Central | Юго-Восточная Азия | |
| северо-центральная часть США | Spain Central | ||
| Южно-Центральный регион США | Центральная Швеция | ||
| West US | Северная Швейцария | ||
| Западная часть США 2 | UK South | ||
| Западная часть США 3 | West Europe |
Настройка поддержки виртуальной сети для создания данных
Создание синтетических данных и генерация набора данных на основе трассировки используют то же подключение к сети через делегирование подсети, что и при оценке. Используйте шаблон установки только для оценки (15a) для развертывания требуемой среды, защищенной сетью.
Сведения о доступности регионов создания данных см. в разделе "Поддерживаемые регионы" для создания данных.
Устранение ошибок оценки виртуальной сети
Диагностика конфигурации виртуальной сети
Запустите диагностику установки проекта виртуальной сети с компьютера с частным подключением к виртуальной сети. Скрипт проверяет существующую конфигурацию проекта Foundry и его сетевое подключение без выполнения оценки или изменения Azure ресурсов.
Следуйте руководству по использованию, чтобы подготовить предварительные требования, выполнить соответствующие диагностические проверки и просмотреть созданный diagnostics.md отчет. В отчете представлены практические выводы, поддерживающие доказательства, известные ограничения и рекомендации по исправлению, которые помогут вам устранить проблемы конфигурации.
Выполнение оценки продолжается до тех пор, пока не истекает время ожидания
Запуск оценки может оставаться в состоянии Выполняется, если настройка сетевой изоляции не завершена, необходимые частные конечные точки не настроены при отключенном общедоступном сетевом доступе или управляемая идентификация проекта не имеет разрешения на обновление состояния запуска.
Чтобы решить эту проблему, выполните указанные ниже действия.
- Убедитесь, что внедрение сети и делегирование подсети настроены, как описано в разделе "Настройка сетевой изоляции для Microsoft Foundry". Если вам нужны только возможности оценки, сравните развертывание с шаблоном установки только для оценки (15a).
- Если доступ к общедоступной сети отключен, убедитесь, что необходимые частные конечные точки настроены и утверждены, и что частный DNS разрешает конечные точки ресурсов из сети, которая была внедрена в проект Foundry.
- Убедитесь, что в проекте Foundry настроен хост возможностей. Нам действительно нужна возможность размещать это как на уровне учетной записи Foundry, так и на уровне проекта. Если вы не настроили узел возможностей на уровне проекта Foundry, используйте шаблон Bicep add-project-capability-host для его настройки.
- Убедитесь, что управляемой идентичности проекта назначена роль Foundry User на уровне ресурса Foundry.
- Для большого набора данных выполните оценку с меньшим репрезентативным подмножеством. Если меньший запуск завершается успешно, уменьшите размер набора данных или разбейте набор данных на несколько запусков оценки.
Запуск оценки не запускается из-за ошибки 403
Ошибка указывает, что сетевой доступ отключен, доступ к общедоступной сети отключен, но служба оценки не может получить один или несколько необходимых ресурсов через виртуальную сеть.
Error: Public access is disabled. Please configure private endpoint.
Чтобы решить эту проблему, выполните указанные ниже действия.
- Определите имя узла ресурса в сведениях об ошибке или в диагностических данных оценки.
- Убедитесь, что интеграция с сетью и делегирование подсети настроены для проверки.
- Убедитесь, что частная конечная точка для затронутого ресурса настроена и утверждена.
- Убедитесь, что частный DNS разрешает имя узла и что сетевые правила разрешают доступ из виртуальной сети.
- Повторите выполнение оценки после того, как изменения конфигурации сети вступили в силу.
Для других 403 ошибок проверьте назначения ролей RBAC для пользователя, который запускает выполнение, и для управляемого удостоверения проекта. Дополнительные сведения о проблемах, связанных с оценкой, см. в разделе "Устранение неполадок с оценкой и наблюдаемостью".
Пользовательский DNS не разрешает частные конечные точки
Если вы определяете пользовательский DNS-сервер для виртуальной сети, система не запрашивает частные зоны DNS, связанные с этой виртуальной сетью. Настраиваемые параметры DNS переопределяют порядок разрешения имен.
Чтобы настраиваемый DNS мог разрешать приватную зону, используйте Azure DNS Private Resolver в виртуальной сети, связанной с приватной зоной. Инструкции по настройке см. в разделе "Централизованная архитектура DNS".
Если пользовательский DNS-сервер работает на виртуальной машине Azure, настройте условный сервер пересылки для частной зоны. Задайте IP-адрес Azure DNS 168.63.129.16 в качестве адреса назначения для сервера пересылки.